「AIにどこまで任せるか」を見極める力が新しいAIスキルに
AIエージェントが本人に代わってログインし、パスワードを使い、人間から完全に独立してタスクを実行できるのなら、従業員は次のような問いを考えなければならない。
・エージェントに入らせてよいアカウントはどれか
・そのアクセス権で、エージェントはどんな操作を実行しうるか
・認証の最中、そして認証の後に、エージェントはどんなデータを読み取っているのか
・何については、なお人間の承認が必要か
・エージェントが従業員の認証情報を使って動いているときに重大な問題が起きたら、責任を負うのは誰か
これらは、私たちがまだ答えを探している最中の問いだ。
もう1つ、検討を始めるべき重要な問いがある。従業員が未承認のAIエージェントを使ったり、勤務先のIT部門や上長の事前確認なしにパスワードへのアクセスを与えたりした場合、それは懲戒の対象になりうるのか。なるとすれば、どの程度重い処分になるのか。
最悪のシナリオでは、あなたのログイン認証情報を使って動くAIエージェントが、許可されていないメッセージや不適切な連絡を送信したり、業務の根幹に関わる情報を書き換えたりするおそれがある。
具体的には、次のようなリスクを考えざるを得ない。
・AIエージェントが財務データを改ざんしたり、決済処理を実行したりする
・資料が削除されたり上書きされたりする
・顧客データのセキュリティ侵害が引き起こされ、雇用主が規制当局からの追及という外部リスクにさらされる
マイクロソフトのWork Trend Index 2026は、AIエージェントの導入がすでに本格化していることを示した上で、こう報告している。「AIは人間にできることを広げると同時に、優れた判断力の価値も高めている。私たちが調査したAI利用者の大半が、この点を認識している」。
「AIがより多くの仕事を担うようになる中で、どの人間のスキルの重要性が増すかを尋ねたところ、上位に挙がったのは2つだった。AIの出力の品質管理（50%）と、情報を客観的に分析して筋道立った判断を下すクリティカルシンキング（46%）だ。そして86%が、AIの出力は最終的な答えではなく出発点として扱い、考えることへの責任は自分が持ち続けていると答えている」。
同レポートはまた、あるパラドックスも指摘している。従業員の側はAIエージェントを受け入れる準備が十分にできているのに、組織の側がまだ追いついていないのだ。このギャップがシャドーAI（会社の承認を得ずに使われるAI）を生み、適切なルールが整っていなければセキュリティインシデントを増やしかねない。
ここから見えてくるのは、AIエージェントが技術部門やIT部門だけの問題ではないという現実だ。これはすべての従業員に関わる問題であり、業界の規制当局や資格認定団体も、この流れに合わせて危険性を認識し、動き始めている。
BYOAI（Bring Your Own AI）──広がるシャドーAI
雇用主の側も、AIを迅速に導入する必要性は認識している。実際のところ、多くの企業は競合他社からの圧力と市場の期待にさらされている。しかし、この導入の急ぎ足の中で、安全性とセキュリティが犠牲になるおそれがある。
ベライゾンの調査によれば、承認されていない「シャドー」AIを使う従業員はこの1年で15%から45%へと3倍に急増した。働き手は、乗り遅れればキャリアで後れを取るという不安から、急いで適応しようとAIエージェントを試し、職場にBYOAI（Bring Your Own AI、私用AIアカウントの持ち込み利用）の形で持ち込むことさえある。一方、IBMによれば、2025年の世界のデータ侵害の平均コストは444万ドル（約7億2400万円）に達したという。
IBMの調査ではまた、AI関連のサイバーセキュリティインシデントを報告した組織の97%が、適切なAIアクセス制御を備えていなかったことも分かっている。
NIST（米国立標準技術研究所）やサイバーセキュリティの業界団体ISC2といった組織・団体は、まさにこうした問題への取り組みを進めている。
たとえばISC2は現在、業界標準となることを目指した「AI Security Certification」と呼ばれる認定資格の開発を進めており（現在は策定に向けて意見やフィードバックを募っている段階だ）、2027年のリリースを予定している。
