毎日、あらゆる部門で、従業員が顧客データ、取引記録、契約内容をAIのプロンプトに入力している。彼らはそれ自体、何も悪いことをしているわけではない。このテクノロジーがそうした行為を促しているのだ。
しかし、欧州法の下では、こうしたやり取りのかなりの数がデータ侵害にあたる。そして、そのほとんどは追跡されていない。
これは、単一の機能部門の隙間からこぼれ落ちたガバナンス上の欠陥ではない。法務部門はGDPR（一般データ保護規則）を理解しているが、AIツールに何が入力されているかを把握できていない。IT部門はインフラの一部を把握できるが、各チームやベンダー全体に広がるツールの全容までは見えていない。人事、オペレーション、営業の各部門は、それぞれが孤立した形でAIを利用しているが、社外に出ていく情報を記録している部門はない。
どのツールが稼働しているのか、どのチームが使っているのか、何に費用が支払われているのかについて、事業横断的な記録を持つ唯一の機能部門は財務である。つまり、好むと好まざるとにかかわらず、CFO（最高財務責任者）はコンプライアンス上の問題を引き受けることになったのだ。
ガバナンスなきAIによって企業がさらしているリスク
今日、GDPR違反やレピュテーション（評判）の毀損は、必ずしもハッキング、漏えい、第三者に起因するとは限らない。従業員が知らず知らずのうちに、機密性の高い顧客データや従業員データを、企業向けではないAIツールに入力するとき、企業の内部から生じる。このように個人データを未承認の処理者に移転することは、プロンプトが送信された瞬間に違反となる。
そのツールがEU域外でホストされている場合(現在の主要モデルの大半はそうである)、事態は急速に深刻化する。同じ行為が、Schrems II判決の下で国際データ移転法に違反する可能性があるためだ。例えば、アムステルダムの従業員が、米国でホストされているAIツールに顧客情報を貼り付けたとしよう。このシナリオは無害に聞こえるが、何か問題が起きることを必要とせずに、2つの別個の法的違反を同時に引き起こした可能性がある。
欧州の規制当局はこれまでに、GDPR違反に対して70億ドル（約1兆1300億円）超の制裁金を科しており、そのうち45億ドル（約7280億円）超は2023年以降のものだ。この時期は、職場でのAIの大量導入とほぼ完全に重なっている。
リスクはさらに高まる見通しだ。EU AI法（欧州AI規制法）は、金融サービスにおける高リスクAIシステムに広範な義務を導入する。これらの要件は当初、2026年8月2日から適用される予定だったが、多くの高リスクシステムに関する主要な期限は2027年後半まで延期された。これは、組織が無駄にしてはならない猶予である。
なぜなら、信用判断、不正検知、顧客向けの金融プロセスでAIを利用するあらゆる企業にとって、これは依然として差し迫った規制上のリスク層だからだ。コンプライアンスを証明できなければ、制裁金にとどまらず、企業がEUで事業を行う能力にも影響を及ぼしかねない。
幸いなことに、企業にはAIの利用とガバナンスに関する証跡が存在する。たとえ、それが最も分かりやすい場所にあるわけではないとしてもだ。
ガバナンスの地図が財務部門にある理由
こうしたリスクにもかかわらず、私の見立てでは、欧州の中堅企業の大半には、AIガバナンスを専門に担う機能部門がない。しかし、彼らが持っているものがある。すべてのカード取引、クラウド請求、経費計上されたソフトウェアサブスクリプションについて詳細な記録を抱える財務チームだ。
それは不完全で欠落もあるかもしれないが、他のどの機能部門も到底及ばない、AIツール利用に関する事業横断的な視点である。事業全体でどのツールが稼働しているのか、どのチームが使っているのか、各チームが何に、誰に支出しているのかを示している。
このデータは、AIガバナンスにおける重要な盲点のいくつかに対処する助けとなる。データ保護責任者は、追跡されていないものを統治できない。一方、法務部門は、帰属が特定されていないやり取りについてリスクを評価できない。このデータがなければ、可視化のためのインフラはそもそも存在しない。
規制当局がAI関連のデータ侵害を調査するとき、最初の問いは、誰がどのツールが使われていることを、いつ把握していたのか、となる可能性が高い。現在の欧州企業の大半において、それを把握できる立場にある唯一の機能部門は財務である。経営層は、そのように財務を捉え始めることが不可欠になっている。
AIガバナンスの全体像をつなぐために財務チームがすべきこと
最初の一歩は、支出記録そのものから始めることだ。どのツールが企業向け（エンタープライズ）で、どれが個人向け（コンシューマー）なのかを問うべきである。企業向けツールにはデータ処理契約が付随する。つまり、入力がどのように扱われるかを正確に定めた、監査可能な条件である。個人向けツールにはそれがないことが多く、入力されたデータは、自社のエコシステムの外側、また自社のデータ保護能力の及ばないところで、将来のモデルのバージョンを訓練するために使われる可能性がある。機密データが一度そのパイプラインに入ってしまえば、取り戻す仕組みはない。現在、その区別を大規模に徹底できる唯一の機能部門は財務である。財務こそが、事業全体を通じて最も完全な全体像を把握できる唯一の存在だからだ。
そこから、財務チームは支出の全体像を法務およびデータ保護機能につなげるべきである。財務記録は、あらゆるコンプライアンス対応の基盤であり、これは問いが投げかけられる前に行われなければならない。規制当局からの圧力を受けてから遡及的に構築するのは、はるかに不利な立場に置かれることを意味するからだ。
結論
現時点では、企業がこの責任を正式にCFOへ委ねている可能性は低い。しかし、組織の反応が遅いからといって、財務チームまで遅れる必要はない。財務チームの強みは、データを解釈し、事業全体の点と点を結び付けることで、安定性とイノベーションを解き放つ能力にある。
AIガバナンスに関しては、文脈は変わったかもしれないが、求められるスキルセットは変わっていない。
