人工知能にはルールと枠組みが必要だ：なぜガバナンスは政治を超えなければならないのか

高速道路が安全であるのは、単に運転手が交通法規を守っているからというだけではありません。安全は、速度制限、車線表示、ガードレールといった、スムーズな交通の流れを維持し、ちょっとしたミスが重大な事故に発展するのを防ぐための仕組みにかかっています。

AIガバナンスも同様の仕組みで機能します。ポリシーはルールを定めますが、運用管理こそが、テクノロジー、ユーザー、リスクの変化に対応して組織を正しい方向に導く鍵となります。

組織が人工知能の導入を加速させるにつれ、多くの組織がポリシー、ガバナンスフレームワーク、および適切な利用ガイドラインの策定に注力してきました。これらは必要な第一歩です。しかし、ポリシーだけでは、AIシステムが誤ったデータにアクセスしたり、不適切なアプリケーションと連携したり、意図しない運用リスクを生み出したりするのを防ぐことはできません。

欧州人工知能法（EU AI法）は、AIガバナンスを役員レベルの課題とし、AIを使用または開発する組織に対し、特にリスクの高いシステムに関して、リスクを特定、管理、文書化することを義務付けている。

これにより、監視、文書化、データガバナンス、透明性に関する新たな期待が高まっている。しかし、規制だけでは最大の実際的な課題は解決できない。AIの導入は、ガバナンスよりも速いペースで進んでいるのだ。

従業員は汎用的なAIツールを使用し、開発者はコーディングアシスタントに頼り、ビジネスチームは既存のプラットフォーム全体にAI機能を展開している。多くの場合、これらのテクノロジーは、セキュリティ、コンプライアンス、リスク管理チームが、それらが何にアクセスできるか、どのシステムに影響を与えるか、組織全体のリスクプロファイルをどのように変化させるかを十分に理解する前に導入されている。

これは、組織の目標と実際の運用状況との間のギャップです。組織はAIのユースケースや承認済みのガバナンスフレームワークを持っているかもしれませんが、実際にはビジネス全体で運用されているAIのごく一部しか管理していないことがよくあります。

このギャップを埋めるには、人工知能を単なる法令遵守の問題ではなく、運用上の課題として捉えることから始める必要があります。実際には、ポリシーの枠を超えて、AIがどのように利用されているかを理解し、ビジネスリスクに応じて管理策を適用し、AIの進化する能力に合わせてガバナンスを適応させていくことが求められます。

隠れたAIがガバナンスの課題を変えつつある

従来のガバナンスでは、組織は事業全体で使用されているテクノロジーを把握していることが前提とされていました。しかし、人工知能はこの現実を変えました。隠れたAIは、もはや従業員が公開ツールを試用するだけにとどまりません。

また、定期的なソフトウェアアップデートを通じて提供される組み込み型AI機能、ビジネスユーザーが作成したAIを活用したワークフロー、正式なAIプロジェクトとして扱われることなく企業システム全体で動作する独立エージェントなども含まれます。これらの機能は、ガバナンスプロセスがそれらを特定、評価、管理するよりも速いペースで導入されることがよくあります。

今日、人工知能は従業員を支援するだけでなく、従業員に代わって行動する役割も担っています。AIエージェントは、自身が代表する人物やシステムから継承した権限を用いて、情報を取得したり、ワークフローを起動したり、企業システムと連携したり、業務上の意思決定を行ったりすることができます。

このため、組織における攻撃の状況は劇的に変化しました。セキュリティチームはもはや、人、デバイス、アプリケーションを保護するだけでなく、環境内を移動し、機密情報にアクセスし、重要なワークフローと連携し、自律的に意思決定を行うことができる自律システムも保護する必要があります。

適切に管理されない場合、新しいAIエージェントはそれぞれ、偶発的な悪用や悪意のある活動につながる可能性のある新たな経路となる。

組織がルールを定め、状況が道筋を作る。

EUのAI法は、AIライフサイクル全体を通して、説明責任、監視、リスク管理を強く重視している。しかし、これらの期待に応えるには、単なる文書化以上のものが必要となる。

規制は組織が達成すべき成果を規定するものであり、課題は、人工知能が絶えず進化する環境において、それらの要件を運用上のガバナンスに落とし込むことにある。

これは、人工知能を文脈の中で理解することから始まります。AIシステムを単独で見てリスクを評価することはできません。社内文書を要約するAIアシスタントは、商業的に機密性の高い情報にアクセスするまでは、比較的リスクが低いように見えるかもしれません。

同様に、調達を自動化するAIエージェントは通常の状況下では安全に動作するかもしれないが、金融取引を承認したり、特権的なIDを継承したり、重要なビジネスシステム全体にわたってアクションを開始したりできる場合、そのリスクプロファイルは劇的に変化する。

リスクの定義は、人工知能そのものにとどまらず、それに関連するID、アプリケーション、インフラストラクチャ、データ、ビジネスプロセスなども含まれます。AIがこれらのシステム間で相互接続される度合いが高まるにつれ、サイバーセキュリティとの関連性もますます強まっています。

イノベーションにはルールと基盤が必要だ

人工知能は、組織の運営方法、イノベーションのあり方、そして競争のあり方を今後も変革し続けるだろう。しかし、AIの真の可能性を最大限に引き出す組織は、最も長いポリシー文書を持つ組織ではないだろう。

彼らは、ガバナンスを日々の業務に統合し、他の重要な資産に適用するのと同じ規律でAIのアイデンティティと権限を管理し、技術の進化に合わせて制御を継続的に適応させていく役割を担うことになるだろう。

EUのAI法は説明責任に関する期待を高めたが、単なる政策や法令遵守にとどまらない組織こそが、人工知能の潜在能力を最大限に引き出す上で最適な立場にあるだろう。

自律型人工知能の時代において、ガバナンスはもはや単にルールを定めることだけではなく、組織がセキュリティ、信頼性、回復力を損なうことなく自信を持ってイノベーションを起こせるような安全策を構築することである。

私たちは、最高のAI搭載ウェブサイト構築ツールをレビューしました。