AIエージェント時代の権限設計 第5回:AIガバナンスは設計判断である ― 連載②の総決算と外部相互作用への接続

連載②も最終回です。

第1回(主体性)→ 第2回(最小権限)→ 第3回(HITL)→ 第4回(境界設計)と、4層の防御構造を積み上げてきました。Replit事件・EchoLeak・メモリポイズニング・Lovable・Moltbook——これら連載①と連載②を貫いて参照してきた事件の構造命題は、この4層に分解して処方できる、というのが連載②前半が確立した認識です。

ところが、ここまでの議論には、ある種の偏りがあります。

すべて「組織の中で運用するAIエージェントを、組織がどう設計するか」を扱ってきました。ID発行も、権限分離も、HITLゲートも、境界設計も、「自社で使うAI」の話です。

しかし、AIエージェント時代の組織は、もう一つの側面に直面しています。「外部から自社にやってくるAIエージェントに、自社サイトがどう応答するか」——これが第5回が扱う、もう一つの側面です。連載②前半が「AIエージェントを送り出す側」の設計を扱ったのに対して、第5回後半は「AIエージェントを受け入れる側」の設計を扱います。

そして、両者は同じ命題で繋がっています——AIガバナンスは、技術ではなく、組織の設計判断の蓄積である。

第5回はこの命題を中心に、連載②前半の総決算(第1〜4節)、AIガバナンスの組織問題(第5〜7節)、外部相互作用という別側面(第8〜9節)、そして連載②全体のまとめ(第10節)という構成で進めます。

1. 4層構造の総決算 ― 連載②前半が積み上げてきたもの

最初に、連載②第1〜4回が積み上げてきた4層を、もう一度俯瞰します。

4層は独立した処方ではなく、重ね合わせて初めて機能する設計です。

• 第1層だけでは、IDが発行されたエージェントに広い権限が付与されれば、Replit型の事故は依然として起こる
• 第2層だけでは、削除権限を持つエージェントが人間承認なしに削除を実行すれば、事故は起こる
• 第3層だけでは、すべてのエージェントが全権限を持つ状況で、人間が承認できない量のアクションが流れ込めばRubber Stampが発生する
• 第4層だけでは、内部の正規ルートで起こる事故は防げない

そして、これら4層はこの順序で積み上げる必要があります。

1. 主体性(第1回)→ そうしないと、誰の権限を絞るのかが定義できない
2. 最小権限(第2回)→ そうしないと、どのアクションにHITLを設置するかの粒度が定まらない
3. HITL(第3回)→ そうしないと、危険行為が無監督で実行される
4. 境界設計(第4回)→ そうしないと、外部からの侵入で全層が迂回される

この4層の積み上げが、連載②前半の処方の核心です。連載①で見た「AIに動くだけを最適化する性向」「AIは鏡である」という命題を踏まえて、意志のないAIに対して、組織が意志を持って関与し続ける構造を作ること——これが、4層構造の意味です。

2. しかし、技術処方だけでは組織は動かない

ここまでの議論は、技術的・設計的な処方でした。第1回(主体性整備のステップ)は実装可能、第2回(3カテゴリ分離)は実装可能、第3回(HITLゲート)は実装可能、第4回(境界設計)は実装可能。すべて実装可能な処方です。

ところが、ここに連載①第5回で扱った「日本企業の3つの構造」が、再び立ちはだかります。

• 情シス部門は、AIエージェントを「ツール」として認知しており、「準社員」として扱う発想がない
• 事業部門は、AIエージェントを「自分たちの生産性ツール」として個別に導入しており、組織横断の整備を求めない
• 経営層は、AIエージェントのリスクを「遠い話」と認識しており、整備のための投資判断ができない
• セキュリティ部門は、本連載のような4層を要求するが、事業部門から「動くものを止める邪魔者」と扱われる

技術処方は、組織の中で実装する責任を持つ主体がいなければ、絵に描いた餅です。連載①第5回で「機密情報漏えい29.3%→35.1%」というJIPDECのデータを示したとき、その背後にあるのは「漏えいを起こす技術」ではなく、「漏えいを防ぐ責任を組織として確立できなかった判断の連鎖」でした。

これが、AIガバナンスの本質です。AIガバナンスは、技術ではない。AIをどう設計するかの判断の蓄積である。

連載②第5回は、この設計判断の蓄積を、組織として確立する方法に踏み込みます。

3. シャドーAI ― すでに統制されていない現実から始める

ガバナンスの議論を、理想論から始めることはできません。現実は、すでに統制されていないからです。

2025年末から2026年にかけて公開された複数の調査・統計集約では、未承認AI利用、可視性不足、個人アカウント経由の利用が広く問題化していることが共通して示されています。ただし、調査主体・対象範囲・サンプル定義は調査ごとに異なるため、本文では傾向値として扱います。

これらの数字が示しているのは、シャドーAIが「例外的な逸脱」ではなく、現代企業の標準的な運用状態だということです。AIガバナンスを「これから整備する」という出発点に立つ組織はもはや存在せず、ほとんどの組織は「すでに統制不能な現実」を出発点にガバナンスを始める必要があります。

そして、最も興味深いのが承認ツールと未承認ツールの「使われ方」のギャップです。多くの調査が共通して示すのは、企業が公式に承認したエンタープライズAIツールが業務に追いつかず、従業員が個人的に見つけた「実際に使えるもの」を選んだ結果としてシャドーAIが発生する、という構造です。これは反逆ではなく、業務上の合理的な選択です。

ここから、ガバナンスの第一原則が立ち上がります——

シャドーAIは、禁止しても消えない。可視化し、合法化し、統制下に置くしかない。

2026年のHealthcare Brewの調査が示した数字は、この戦略の効果を実証しました——承認された代替ツールを提供すると、未承認利用が89%減少する。禁止ではなく、より使いやすい承認手段の提供が、最も効果的な統制策です。同じ調査は、ある医療システムでの介入で、承認ツール提供による未承認AI利用89%減と、臨床医1人当たり1日32分の時間節約を同時に実現したと報告しています。

4. シャドーAI統制の3層フレームワーク ― 発見・統制・有効化

具体的な統制の枠組みを、3層に整理します。これも業界標準ではなく、複数の実務家・調査会社が共通して提案している現時点の合意点として参照してください。

第1段:Discover(発見)

JumpCloudが整理する通り、ガバナンスの最初のステップは「見えないものは統制できない」を直視することです。

実装の優先順位は、シンプルです。

• ネットワークレベルの可視化:プロキシログ・DLPツール・SIEMで、AI関連サービスへのトラフィックを観測する
• ID連携経由の使用追跡:SaaS統合管理(SSPM)ツールで、SSO経由のAI利用を追跡
• エージェント棚卸し(連載②第1回 Step 1の組織版):個別エージェントレベルではなく、組織全体でどのAIツールが使われているかをマッピング
• 継続的な再発見:シャドーAIは増殖し続けるため、四半期ごとの再棚卸し

Awarewaysの調査では、AIツールがIT部門に可視化されている割合は11%以下——89%は完全に見えていない、という現実があります。Discoverは「整備の最初のステップ」ではなく、現状把握すら未着手の組織が大半、という認識から始める必要があります。

第2段:Govern(統制)

可視化された後の統制は、3階層ポリシーで構造化します。

Fully Approved(無制限承認)
組織として全面的に承認するAIツール。データ取り扱いの標準ルールに従う限り、業務での自由利用を許可。例:社内開発・運用するエージェント、契約済みエンタープライズプラン。

Limited Use(条件付き利用)
特定の条件下でのみ承認するAIツール。例:「公開情報のみ・機密情報は不可」「特定部門のみ」「一時的な実験フェーズのみ」。条件と期限を明示する。

Prohibited(禁止)
組織として禁止するAIツール。例:データ訓練を回避するオプションがないツール、規制対象データを扱う業務での未認証ツール、特定の地理的制限のあるツール。

3階層分類のポイントは、Limited Useカテゴリの存在です。多くの組織は「承認」と「禁止」の二択で考えますが、これではシャドーAIが発生します。Limited Useを置くことで、「使ってよいが条件がある」というニュアンスが扱えるようになります。

第3段:Enable(有効化)

統制だけではシャドーAIは消えません。承認ツールを実際に使えるものにする必要があります。多くの組織で観察される「承認ツールが使われない」現象は、ここの失敗の結果です。

実装の核心:

• 承認AIへのSSOアクセスを統一:ID基盤と統合し、承認ツールの利用を「個人アカウントで使うより楽」にする
• 継続的トレーニング:「年1回のe-learning」では機能しない。in-context learning(業務フローの中での随時学習)が効果的(Lenovo Work Reborn Research 2026)
• フィードバックループ:従業員が「承認ツールに何が足りないか」を伝える経路を作る。新しいシャドーAIの発生を、ニーズシグナルとして扱う
• ハードブロックではなく、リアルタイム警告:機密情報をAIに貼り付けようとした時点で、ブロックではなく警告と選択肢提示を行う設計

3層フレームワークは、連載②前半の4層構造と同じく、独立した施策ではなく重ね合わせて機能するものです。Discoverなしのガバナンスは机上の空論、ガバナンスなしのEnableは無秩序、EnableなしのガバナンスはシャドーAIの量産機になります。

5. 経産省AI事業者ガイドライン第1.2版 ― 国の指針が「AIエージェント」を組み込んだ意味

ここまで、シャドーAI統制を扱ってきました。これは事業者の自主的判断による統制でしたが、2026年は日本の規制環境が決定的な転換点を迎える年でもあります。

2026年3月31日、経済産業省と総務省は「AI事業者ガイドライン第1.2版」を公表しました。第1.0版(2024年4月)、第1.1版(2025年3月)に続く、第3版です。第1.2版の最大の特徴は、AI概念を「Web上の対話型AI」から「自律的かつ物理世界に影響を与えるAI」へと拡張したことです——AIエージェントとフィジカルAIが、ガイドラインの正式な対象として組み込まれました。

本ガイドラインは法的拘束力を持たない「ソフトロー」であり、準拠していなくても直接的な制裁が課されるものではありません。しかし、政府が事業者に示す行動基準として、日本企業がAIガバナンスを整備する際の最も重要な参照基準です。準拠の不備は、ステークホルダーへの説明責任、対外的な信頼、そしてブランド価値に直結します。実務上、事実上のデファクトスタンダードと位置づけられています。

第1.2版の改訂で本連載の論点と直接関連する変更点を、3つ整理します。

変更点1:AIエージェント時代のHuman-in-the-Loop明文化

第1.2版改訂案を解説した記事が指摘する通り、「AIエージェントが外部に影響を与える操作を行う前に、人間の判断を挟む仕組みが必要」というHuman-in-the-Loop原則が、より明確に位置づけられました。これは連載②第3回で扱った内容そのものです。経産省ガイドラインも、自動完結してよい業務(社内文書要約、データ集計、議事録ドラフト)と、人間確認が必要な業務(顧客メール送信、契約書作成、SNS投稿、外部システムへのデータ書き込み)を区別する判断軸を提示しています。

変更点2:「AIを使わないことがリスクである」という基本姿勢

経済産業省のAI産業戦略室 室長補佐 近藤俊輔氏が明確に表明する通り、ガイドラインの基本姿勢は「AIを使わないことがリスクです」。これは連載①の基音である「AIは動くに最適化、安全に最適化されていない」という認識と、組み合わせて読むべきです。使わないリスクと、使うリスクの両方が存在する。ガバナンスは、これら二つのリスクのバランスを取る判断の蓄積です。

変更点3:アジャイルガバナンス

第1.2版は、技術の急速な進化に対応するため、アジャイルガバナンス——固定的なルール集ではなく、リスクと機会を継続的に見直す動的な枠組み——を採用しています。これは連載②全体の処方とも整合します。第1〜4層の処方も、固定的なチェックリストではなく、組織の業務特性・リスク許容度に応じて継続的に判断される設計判断です。

第1.2版が示すのは、国レベルでも、AIガバナンスを「設計判断の蓄積」として扱う方向だ、ということです。これは事業者にとって、ガイドライン準拠を「形式的な遵守」ではなく「設計判断の質を継続的に高める活動」として位置づける根拠になります。

6. DX推進部門とセキュリティ部門の協調 ― 組織内の力学

ガイドラインを参照する組織内では、典型的な力学が発生します。

DX推進部門は、AIエージェント導入による業務効率化・新規事業創出を推進します。事業の競争力に直結するため、経営層の支持を得やすい立場です。

セキュリティ部門は、本連載が扱ってきたような4層のリスク管理を求めます。事故を防ぐ責任を持つため、慎重な検証を求める立場です。

この両者の力学が、AIガバナンスの実装を決定します。

両部門が独立に動くと、典型的な失敗モードが発生します。

DX推進部門が独走する場合:
セキュリティ部門が知らないところでAIエージェント導入が進む。連載①第3回で見たLovableのチャット履歴漏洩の構図——Uber、Zendesk、Microsoft、NVIDIAの従業員が自社のセキュリティ部門が知らないところで業務データをLovableに貼り付けていた——が、日本企業でも再現される。

セキュリティ部門が独走する場合:
過剰な承認プロセスが導入され、承認ツールが業務に追いつかない。「承認ツールが使われない」現象が日本企業でも発生する。従業員はシャドーAIに流れ、事故が起きるまで誰も把握しない。

正解は、両者の協調です。具体的には、DX推進部門の「速さ」とセキュリティ部門の「安全」を、個別判断として記録する仕組みを作ること。これが「設計判断の蓄積」の実体です。

協調の場の設計について、いくつかの実装パターンがあります。

• AI Risk Council:DX推進・セキュリティ・法務・事業部門の代表が参加する常設の検討会。新しいAIエージェント導入時のリスク評価と、その判断記録を担う
• AI Champion制度:各事業部門に「AI推進責任者」を置き、DX推進部門・セキュリティ部門との橋渡し役を担わせる
• Living AI Inventory:組織内のAIエージェント・AIツール・利用状況の全体像を、継続的に更新するインベントリ。両部門の共通参照点

これらの実装は、組織の規模・成熟度に応じて選択します。共通する原則は、判断を記録し、見直し続ける構造を作ることです。判断記録なきガバナンスは、人事異動で消失します。

7. 経営層のコミットメント ― 投資判断としてのAIガバナンス

組織の力学を統合するのは、最終的には経営層の意思決定です。

経産省AI事業者ガイドラインでも明示されている通り、「経営層のリーダーシップのもと、適切なAIガバナンスを構築することで、リスクをマネジメントしていくことが重要」です。これは形式的な要請ではなく、AIガバナンスが投資判断である以上、避けられない要件です。

Gartnerの予測では、AIガバナンス支出は2026年に4.92億ドル、2030年までに10億ドルを超える、とされています。これは「ガバナンスを整備すべきか」ではなく、「どの規模で・どの優先順位で投資するか」が議論の対象になりつつあることを示しています。

経営層の意思決定として、以下の3つを位置づけることが必要です。

1. AI事故の発生確率と影響規模を、定量的に経営判断の対象にする

連載①第5回のJIPDECデータ(機密情報漏えい29.3%→35.1%)、連載②第1回のNHI統計(71%未ローテーション、97%過剰権限、88%が事象経験)、IBM Cost of a Data Breach 2025のシャドーAI侵害追加コスト$670,000——これらは「リスクを認識する」段階のための数字ではなく、「経営判断の根拠」として使う数字です。事故が起きる確率と、起きた場合の影響規模を、対策投資の経済合理性として評価する。

2. ガバナンス整備を「コスト」ではなく「事業継続性」として位置づける

連載①第3回でLovableの「セキュリティはコストとして処罰される」インセンティブ構造を見ました。市場のインセンティブが個別企業の判断を歪めるとき、それを修正できるのは経営判断です。ガバナンスは事業を遅らせる「コスト」ではなく、事業を継続させる「保険」として位置づける——この視点の転換が必要です。

3. CISO・DPO・AIガバナンス責任者の権限を明示

役職を作るだけでは機能しません。経営判断に拒否権を持つ権限を、明示的に与える必要があります。「事業を遅らせる」という反論に対して、「それでも止める」と判断できる権限が経営層から委譲されていなければ、ガバナンスは事業部門の力学に押し切られます。

これら3つは、第1〜2層の処方(個別エージェントの主体性整備・権限分離)とは違って、技術ではなく組織判断の問題です。だが、技術処方の上に組織判断が乗らなければ、4層構造は組織の中で実装されません。

連載②全体は、結局のところ、ここに収斂します——AIガバナンスは、技術ではない。経営層を含む組織全体の、設計判断の蓄積である。

8. もう一つの側面 ― 外部AIエージェントから見た自社

ここまで、組織内部のAIガバナンスを扱ってきました。連載②前半の4層も、第5回前半のシャドーAI統制も、すべて「自社が運用するAIエージェント」の話でした。

しかし、AIエージェント時代の組織は、もう一つの側面に直面しています。

外部から自社のWebサイト・APIに、他社のAIエージェントがアクセスする時代——これが第5回後半が扱う、もう一つの側面です。

具体的には:

• ユーザーが自社の競合サービスを比較するためにAIエージェントを使う際、AIエージェントが自社サイトにアクセスし、製品情報・価格・スペックを抽出する
• 顧客がAIエージェント経由で自社にカスタマー問い合わせを送る
• 取引先のAIエージェントが、自社の取引APIに接続して、業務を自動化する
• AIエージェントが自社サイトのコンテンツを引用して、ユーザーに回答する

こうした「外部AIエージェントとの相互作用」は、2026年現在、すでに観測可能な現実です。Anthropic・OpenAI・Googleの主要LLMが、Web検索やドキュメント取得をエージェント機能として実装しており、ユーザーの問いに応じて自社サイトを参照しています。

そして、この外部相互作用は、自社のWebインターフェース設計の質に依存します。

これは、連載②前半の4層とは異なる種類の問題です。内部運用の問題ではなく、自社が外部AIエージェントエコシステムにどう接続されているかの問題。SEO(検索エンジン最適化)が「人間が検索エンジン経由で来る経路」の最適化だったのに対して、これは「AIエージェントが自社にたどり着く経路」の整備です。業界では、これをGEO(Generative Engine Optimization)、AEO(Answer Engine Optimization)、LLM最適化、AIエージェント互換性、などの言葉で呼び始めています。

そして、この問題は、連載②前半が扱った組織内部のAIガバナンスと、同じ命題で繋がっています——

自社が運用するAIエージェントを設計判断として扱える組織は、自社が外部AIエージェントとどう相互作用するかも設計判断として扱える。

逆も成立します。自社のWebが外部AIエージェントから見て読みにくい・誤解を招く・最新でない組織は、自社が運用するAIエージェントの設計も雑である可能性が高い。両者は、同じ「AIエージェントを認知・管理する単位として扱えているか」という組織判断の現れです。

9. AIエージェント互換性診断Pro ― 外部相互作用の可視化ツール

unTypeが提供するAIエージェント互換性診断Proは、まさにこの「外部AIエージェントから見た自社」を可視化するツールです。

診断Proは、自社のWebサイトが、外部AIエージェントから見て正しく認知され・正しく解釈され・正しく相互作用できるかを、5カテゴリ36項目で自動測定します。検査項目は、W3C・Schema.org・RFC 9309(robots.txt標準)・llmstxt.orgといった国際標準の準拠状況をベースにしており、AIエージェントが自社サイトにアクセスする際の「読みやすさ」「正確性」「安全性」を、客観的に評価します。Pro版はサイト全体(複数ページ)を一括測定し、ページ別のスコアと改善優先度を提示する点が、無料版(1ページ測定)との大きな違いです。

ここで重要なのは、診断Proが測定しているものと、測定していないものを明確に区別することです。

診断Proが測定するもの:

• 自社のWebサイトが外部AIエージェントから見て、正しい構造・正しいメタデータ・正しい標準準拠を備えているか
• 自社の公開情報が、AIエージェントによって誤解されない形式で提供されているか
• ページ別のスコア分布から、改善優先度の高いページがどこか

診断Proが測定しないもの:

• 自社が運用するAIエージェントの権限設計(連載②第1〜4回が扱った主題)
• 自社の組織内部のAIガバナンス体制(第5回前半が扱った主題)
• 自社のシャドーAI統制状況

診断Proは、連載②前半が扱った「内部運用」とは別の、「外部相互作用」を扱うツールです。両者は、同じ命題の別側面として位置づけられます。

そして、診断Proが診ているのは、設計判断の質です。Webサイトのメタデータが整備されているか・構造化データが適切に実装されているか・robots.txtが正しく書かれているか・llms.txtが用意されているか——これらすべては、「外部AIエージェントを認知・管理する単位として扱えているか」という組織の判断の現れです。技術的な仕様適合の問題というより、組織がAIエージェント時代をどう設計判断として捉えているか、の指標です。

連載②前半が「内部運用の設計判断」を、診断Proが「外部相互作用の設計判断」を、それぞれ扱う。両者を組み合わせると、組織のAIエージェント時代への対応の全体像が見えてきます。

まずは無料診断(1ページ測定・登録不要)で自社サイトの現状把握から始めることができます。サイト全体のスコア分布と改善優先度の可視化が必要な場合は、Pro版(複数ページ測定・PDFレポート自動生成)が選択肢です。詳細はunTypeのAIエージェント互換性診断 Pro、または無料診断を参照してください。本記事は連載②の最終回として、内部運用と外部相互作用が同じ判断軸で繋がっていることを示すまでが役割です。

10. 連載②全体のまとめ ― AIガバナンスは設計判断の蓄積である

連載②全体を、最後に俯瞰します。

第1回(主体性):エージェントを「道具」ではなく「準社員」として扱う。ID発行・責任者割当・ライフサイクル定義。第三命題「識別なき主体を権限の対象にしてはならない」を確立。

第2回(最小権限):3カテゴリ分離(削除・外部送信・金融)、動的シークレット注入、職務記述書。最小権限原則の古典をAIエージェント向けに翻訳。

第3回(HITL):HITL/HOTLの区別、Replit Plan Mode・Claude Permissionsの分析、Rubber Stamp防止の4原則、ガバナンスレイヤ集約。「業界がまだ標準化に至っていない領域」と明示しつつ、現時点の判断軸を提示。

第4回(境界設計):プロンプトインジェクション、EchoLeak、メモリポイズニング、CaMeL/Dual LLM Pattern、6つの境界パターン。「完全防御は原理的に困難」と明示しつつ、被害を限定する境界設計を提示。

第5回(本記事・ガバナンス):4層の総決算、シャドーAI統制(Discover/Govern/Enable)、経産省AI事業者ガイドライン第1.2版、DX推進部門とセキュリティ部門の協調、経営層のコミットメント、外部AIエージェントとの相互作用。

連載②全体を貫く命題は、第1回で立てたものです——

識別(identity)なき主体を、権限の対象にしてはならない。AIエージェントは「道具」ではなく「準社員」として、組織が認知・管理する単位に格上げされなければならない。

この命題は、4層の技術処方として展開されました。さらに、第5回でガバナンスレイヤに引き上げられました。そして最後に、外部AIエージェントとの相互作用にも適用されました。「組織が認知・管理する単位として扱えているか」という問いは、内部のエージェントにも、組織のシャドーAI状況にも、外部AIエージェントとの相互作用にも、同じ形で問われる、ということです。

連載①が「現実の可視化」(Moltbook、Lovable、Replit、AI由来CVE 35件、機密情報漏えい35.1%)を、連載②が「現実への対応」(4層構造とガバナンス)を扱いました。両者を繋ぐのは、意志のないAIに対して、組織が意志を持って関与し続ける構造を作るという命題です。

そして連載③が、もう一つの側面——AI開発ツール自体が攻撃面になる現実を扱います。Vercel侵害(2026年4月19日)、Bitwarden CLI乗っ取り(4月22日)、SAP CAP汚染(4月29日)。攻撃者はもはやアプリではなく、開発者が使うAIツールそのものを狙い始めています。連載①と連載②が「組織内部の運用と防御」を扱ったとすれば、連載③は「開発エコシステム全体への攻撃」を扱う、別レイヤの議論です。

連載②の最後に、書き手として記しておきたいことが一つあります。

連載①第4回で「AIは鏡である」と書きました。連載②第4回で「攻撃者が鏡を歪める」と書きました。連載②全体を通して論じてきたのは、結局のところ、こういうことです——

鏡の質は、鏡を磨く側の判断の質に等しい。

AIエージェントを準社員として扱うか道具として扱うか、権限を絞るか広くするか、人間承認を組み込むか省略するか、外部入力を信頼するか分離するか、シャドーAIを禁止するか可視化するか、外部AIエージェントとの接続を放置するか整備するか——これらすべては、組織の判断の連鎖です。技術ではなく、判断です。

その判断の蓄積が、AIガバナンスです。連載②全体が示してきたのは、この一点です。

まとめ

AIガバナンスは、技術ではなく、組織の設計判断の蓄積です。連載②前半(第1〜4回)が確立した4層の技術処方——主体性・最小権限・HITL・境界設計——は、組織として実装する責任主体がいなければ、絵に描いた餅です。

シャドーAIは、すでに統制されていない現実から始める必要があります。Netskope 2026の調査で47%が個人アカウント経由でgenAIにアクセスし、月223件のデータポリシー違反が平均的な組織で発生し、IBM 2025の調査では63%の組織がAIガバナンスポリシーを持たない——これがガバナンス整備の出発点です。禁止ではなく、Discover(発見)→ Govern(統制)→ Enable(有効化)の3層フレームワークで、可視化と承認代替手段の提供を組み合わせる。Healthcare Brew 2026が示した「承認代替手段提供で未承認利用が89%減少」が、ガバナンスの本質を物語っています——本質は「禁止」ではなく「より使いやすい承認手段の提供」にある。

経産省AI事業者ガイドライン第1.2版(2026年3月31日公表)は、AIエージェント・フィジカルAIを正式に組み込み、Human-in-the-Loop原則を明文化し、アジャイルガバナンスを採用しました。法的拘束力のないソフトローですが、日本企業のAIガバナンスのデファクトスタンダードとして、設計判断の質を継続的に高める活動の参照基準となります。

組織内部では、DX推進部門とセキュリティ部門の力学が、ガバナンスの実装を決定します。両者の協調を、AI Risk Council・AI Champion制度・Living AI Inventoryなどで構造化する。最終的に、経営層が「事故の発生確率を経営判断の対象にする・ガバナンスを事業継続性として位置づける・CISO/DPO/AIガバナンス責任者に拒否権を委譲する」ことで、組織判断としてのガバナンスが確立されます。

そして、もう一つの側面として、外部から自社にやってくるAIエージェントとの相互作用があります。連載②前半は「自社が運用するAIエージェント」を扱いましたが、AIエージェント時代の組織は、自社が外部AIエージェントエコシステムにどう接続されているかも設計判断の対象です。SEOがWebサイトの検索可視性を整備したように、AIエージェント時代は外部AIエージェントから見た自社の整備が必要になります。unTypeのAIエージェント互換性診断Proは、この外部相互作用を5カテゴリ36項目で可視化するツールです。連載②前半が扱った「内部運用」とは別の、「外部相互作用」の側面を扱います。両者は、同じ「組織が認知・管理する単位として扱えているか」という判断軸の現れです。

連載②は、ここで完結します。連載①「vibe codingの代償」と合わせて、現実の可視化(連載①)と現実への対応(連載②)の両輪が揃いました。

連載③「AI開発ツール自体が攻撃面になった日」は、もう一つの未踏領域——攻撃者が開発者の使うAIツールそのものを狙う時代——を扱います。Vercel、Bitwarden、SAP CAP——2026年4月の3週間で連続発生した事件群が示すのは、組織の境界が「開発者個人」まで降りてくる時代です。

連載①が問題意識を、連載②が処方箋を提供したように、連載③は次の時代の認識を提供します。鏡を磨く側の判断の質を、私たちはどこまで引き上げられるか——その問いに、連載③が応えます。

参考情報

• 経済産業省: AI事業者ガイドライン検討会 — 第1.2版策定の検討会

• 経済産業省: AI事業者ガイドライン第1.2版(2026年3月31日公表) — 第1.2版本編・別添・チェックリスト

• 総務省: AI事業者ガイドライン掲載ページ — 総務省側公表資料

• PwC Japan: 「AI事業者ガイドライン案」 解説編 — ソフトローとしての性格と実務的な位置づけ

• PC-Webzine: 総務省と経済産業省が策定した「AI事業者ガイドライン」とは? — 経済産業省AI産業戦略室 近藤俊輔氏インタビュー

• MIRAINA:【2026年3月最新】AI事業者ガイドライン改定とは? — 第1.2版改訂の主要変更点解説

• デロイト トーマツ: AI事業者ガイドライン解説 — 大手コンサルによる解説

• Netskope Cloud and Threat Report 2026 — 個人アカウント経由47%、月223件違反、genAI利用者3倍増の一次資料

• Cybersecurity Dive: Risky shadow AI use remains widespread — Netskope 2026の主要数値の独立報道

• Vectra AI: Shadow AI Explained — 3階層ポリシー、Healthcare Brew 2026の89%減効果

• Help Net Security: Shadow AI risks deepen as 31% of users get no employer training — Lenovo Work Reborn Research 2026

• Unseen Security: The State of Shadow AI 2026 — IBM 2025、Awareways 2025、Gartner予測の集約データ集

• JumpCloud: 11 Stats About Shadow AI in 2026 — Discover/Govern/Enableフレームワーク

• SQ Magazine: Shadow AI Usage Statistics 2026 — シャドーAI統計集約

• unType: AIエージェント互換性診断 Pro — 5カテゴリ36項目、サイト全体の一括測定+PDFレポート自動生成

• unType: AIエージェント互換性診断(無料版) — 1ページ測定・登録不要・約30秒