経営幹部の78%が、独立したAIガバナンス監査に90日以内に合格できるという強い確信を持てていません。今月公表されたGrant Thorntonによる、950人のCスイートおよびシニアリーダーを対象とした調査から得られたこの数字は、コンプライアンス分野がしばらく前から言語化しようとしてきた問題を端的に表しています。多くの組織が、説明も測定も正当化もできないAIを導入しているのです。Grant Thorntonはこれを「AIプルーフギャップ」と呼んでいます。
ビジネスへの影響は現実のものです。AIを全面的に統合している組織は、まだパイロット段階の組織に比べ、AIによる売上成長を報告する割合が約4倍高く、58%対15%となっています。半数近くが、AIが期待した成果を上げられない主な原因としてガバナンスとコンプライアンスの不備を挙げています。それにもかかわらず、取締役会の4分の3が大規模なAI投資を承認している一方で、その半数近くはガバナンスに関する期待値を定めておらず、AIリスクを常設の議題にもしていません。
取締役会は、問題が起きたときにどうなるかを問うことなく、AI投資を承認しています。
ガバナンスこそがスピードを持続可能にする
データに表れた確信の差が、状況を明確に物語っています。AIをまだパイロット段階で運用している組織のうち、90日以内に独立したガバナンス監査に合格できると強く確信しているのはわずか7%です。一方、AIを全面的に統合している組織では、その割合は74%に達します。その差は10倍で、ビジネス成果の差とほぼ完全に一致しています。
意思決定がどのように行われ、結果に誰が責任を持つのかを示せれば、新しいユースケースがリスク委員会にかかるたびに減速する必要はありません。それに対応する仕組みがあるからです。これが、Maven AGIが「Built In, Not Bolted On（後付けではなく、組み込み型）」と呼ぶ考え方です。ガバナンスを後から重ねるのではなく、最初からプラットフォームに組み込んでおくということです。導入済みのAIシステムにコンプライアンスを後付けするのは、最初から組み込む場合に比べてコストがかかり、業務への影響も大きく、信頼性もはるかに低くなります。
Cスイートの足並みの問題
Grant Thorntonのデータは、私がよく耳にする緊張関係を示しています。CIOやCTOは、COOに比べて「従業員はAI導入の準備が完全に整っている」と答える割合が5倍高くなっています。特にエージェント型AIについては、COOの54%が規制やコンプライアンスの不確実性を懸念しているのに対し、CIOとCTOではわずか20%にとどまります。
この懸念の差そのものがガバナンス上のリスクです。テクノロジーを導入する人と、その影響を受ける業務を運営する人が、同じ状況を見ていないのです。このずれが続くと、ガバナンスの問題は先送りされます。懸念している部門には予算権限がなく、予算権限を持つ部門は問題を認識していないからです。
エージェント型AIが次の説明責任のギャップになる
コンプライアンスチームが最も注目すべきなのは、エージェント型AIに関する調査項目です。4社に3社近くが、パイロット、拡大、本番運用のいずれかの形で、すでにエージェント型AIに自社のデータやプロセスへのアクセスを与えています。しかし、障害発生時に備えた検証済みのインシデント対応計画を持っているのは、わずか5社に1社です。
これは新たなプログラムを必要とする新しい問題ではありません。多くの組織は、サイバーセキュリティの分野ですでにインシデント対応の力を備えています。継続的な監視、検知、明確なエスカレーション経路、監査証跡、明確な責任体制です。インフラは存在しています。欠けているのは、それをAI導入と結びつけることです。必要な能力の大部分はすでに手元にあるにもかかわらず、多くの組織がAIガバナンスを別個の分野として扱っています。
特にエンタープライズのカスタマーエクスペリエンス（CX）の領域では、AIエージェントが問い合わせの解決、決済処理、予約の調整、アカウントデータへのアクセスを、大規模かつリアルタイムで行っています。顧客成果と規制遵守に責任を持つオペレーションチームが、エッジケースでエージェントがどう振る舞うのか、障害時に何が起きるのか、監査証跡が十分に機能するのかといった疑問を持つのは当然です。こうした疑問には、口頭での保証ではなく、システムレベルでの答えが求められます。
エンタープライズのコンプライアンスチームが今すべきこと
- ガバナンスの前に、エージェント型AIの利用状況を把握する。 棚卸ししていないものは管理できません。多くの組織は、AIエージェントが何をしているのか、どのデータに触れているのか、どの程度の自律性で動いているのかを正確に把握できていません。これが欠かせない第一歩ですが、多くの組織はまだ踏み出せていません。
- AIコンプライアンスを年次プロジェクトではなく、継続的な取り組みとして扱う。 EU AI法の高リスクAIシステムに関する要件は、2026年8月2日に全面適用されます。ISO 42001がエンタープライズの調達チェックリストに登場する頻度も高まっています。年1回のレビューサイクルでは追いつけません。
- インシデントになる前に、Cスイートの足並みのずれを解消する。 CIOとCOOの間で、自社のAIリスクの所在についての見方が根本的に異なる場合、そのずれは計画段階の議論ではなく、障害として表面化します。AIの準備状況、説明責任、リスクについての共通の定義を、導入前に確立しておく必要があります。
- AIインシデント対応計画を策定し、検証する。 必要なのはポリシー文書ではなく、検証済みの手順です。担当者を割り当て、AIシステムがどのように意思決定するかを文書化し、必要になる前に対応を実際に試しておきましょう。サイバーセキュリティで同様の取り組みをしてきた組織であれば、比較的早く応用できます。
- AIベンダーに第三者認証を求める。 ベンダーのAIプラットフォームを導入する場合、そのベンダーのコンプライアンス体制は自社のコンプライアンス体制の一部になります。本物の認証を持つベンダーであれば、ためらうことなく開示するはずです。
待つことの代償
AIプルーフギャップは雪だるま式に拡大します。ガバナンスを1週間先送りするごとに、その差を埋めるのは前の週より難しくなります。ガバナンスの及ばない取り組みが1つ増えるたびに、次の取り組みの測定と正当化がさらに難しくなるからです。
早期に説明責任のインフラを構築した組織は、すでに先を行っています。慎重だったからではなく、備えができていたからです。彼らは自信を持って拡大できます。そうでなかった組織は、想定していなかったリスクへの対応に追われています。
Maven AGIが信頼性とコンプライアンスに実際にどう取り組んでいるかは、一般公開しているTrust Center（https://trust.mavenagi.com）でご覧いただけます。
エンタープライズのカスタマーエクスペリエンス（CX）向けにAIプラットフォームをご検討中の方は、ぜひお気軽にご相談ください。デモのお申し込みはこちら：https://www.mavenagi.com/demo
自社の会話でお試しください。
無料の個別デモをお申し込みください。
