シャドーAI（従業員が会社の承認を得ずに導入するAIツールのこと）は、昨年発生したセキュリティインシデントの43％に関与しており、前年のほぼ2倍に達している。また、データ侵害を受けた企業の68％は、AIの利用を規定するポリシーをまったく策定していなかった。これらの数値は、7月29日に公開されたIBMの「データ侵害のコストに関する調査レポート 2026（Cost of a Data Breach Report 2026）」によるものだ。同レポートは2025年3月から2026年2月の間にデータ侵害の被害に遭った602の組織を対象としており、シャドーAIに関する割合はIBMのプレスリリースではなく、レポート本編に記載されている。その4日後、EU AI法（EU AI Act）第50条（透明性に関する規定）が発効し、人間が機械とやり取りしている場合に、企業はその旨を開示することが義務付けられた。これは同法の中では対応が容易な部分であり、チャット画面にテキストを1行追加するだけで要件を満たせる。しかし、そのテキストを表示させるためには、どのシステムに開示が必要なのかを把握していなければならない。ここで、先ほどの「68％」という数字が大きな意味を持ち始める。
監視の目はベンダーに向かい、シャドーAIのリスクは社内に放置された
リスク委員会は、ハルシネーション（幻覚）、バイアス、ポイズニング、ミスアライメント（調整の狂い）といった「モデルの挙動」に2年間を費やしてきた。この取り組み自体は本質的なものであり、すでに最も注目を集めている課題に向けられている。大半のエンタープライズ（企業向け）ツールが動作するベースとなるモデルを提供しているのは、3〜5社の大手ベンダーだ。規制当局の監視や安全対策（ガードレール）への投資はこれらのベンダーが引き受けており、企業に販売されるAI製品の多くは、これら一握りのシステムをラッパー（包装）したものにすぎない。しかし、誰も注意を払っていないリスクは、さらに1つ下のレイヤー、すなわち従業員やソフトウェアエージェントが実際にそれらをどう利用しているかという部分に潜んでいる。
サイバーリスクを企業の取締役会が理解できる財務の言葉に変換する事業を展開し、現在は同様の確率モデルをAIのリスク評価にも適用しているリスク定量化企業、Kovrr（コヴル）の共同創業者兼CEOであるヤキール・ゴラン（Yakir Golan）は、このリスクの不均衡を示す数字を挙げている。彼は、この数値が特定のデータセットに基づくものではなく、長年にわたる顧客との打ち合わせから得た感覚的なものであると断りつつ、次のように語った。「利用リスクが70〜75％、モデル自体のリスクが25％というのが現状だ。しかし企業は、利用リスクが90〜95％、モデルのリスクが5〜10％であるかのように管理すべきだ。業界トップのモデルは厳しく監視されているが、社内での実質的な利用状況は放置されているからだ」
これらの比率は、関心がどこに向いているかを示す専門家の見解であり、その背後にある論理は容易に検証できる。それは、購入企業自身のネットワーク内部における権限、データの流れ、ベンダーとの接続部分に付随的なリスクが存在することを示しており、これはIBMの調査結果とほぼ一致する。自社のAIモデルやアプリケーションが関与したインシデントの割合は、前年の13％から21％へと上昇した。また、AIシステムが攻撃を受けた企業のうち、92％がそれらのツールへのアクセス制御を適切に行えていなかった。これらの数値はすでにデータ侵害を受けた企業を対象としているため、市場全体というよりも失敗事例の傾向を示している。アクセス制御の不備は「モデルのリスク」に分類されがちだが、実態は「利用上の失敗」である。これは、AIエージェントを設定した担当者が別のチームに異動した後も、そのエージェントがメールボックスやコードリポジトリへの常時アクセス権限を持ち続けている場合に発生する問題と同じだ。
開示の前提となるのはアセットの棚卸し
AIに関するデジタル・オムニバスは「規則（EU）2026/1744」となり、7月24日にEU官報に掲載され、7月27日に発効した。これにより、附属書III（Annex III）に基づく独立型のハイリスクAIに対する義務の適用は2027年12月まで、規制対象製品に組み込まれたハイリスクAIに対する義務の適用は2028年8月まで先送りされた。しかし、第50条は変更されなかった。8月2日以降、プロバイダーはユーザーがAIシステムとやり取りしていることを通知し、合成コンテンツには機械が人工生成物として検出できるようなマークを付さなければならない。また導入企業（デプロイヤー）は、感情認識やバイオメトリック分類の実施、ディープフェイクの公開について開示する義務があり、導入企業側への猶予期間は一切設けられていない。唯一の例外措置として、機械判読可能なマークの付与要件のみ2026年12月まで延期されたが、これも8月2日より前にすでに欧州市場に出ていたシステムに限定されている。自社が運用しているシステムを一度も棚卸し（カタログ化）したことがない企業にとって、これらの要件に対応することは不可能だ。
企業が自社のIT資産をどこまで把握しているかを示すデータは、一方向を指し示している。UpGuard（アップガード）の「シャドーAIの実態調査（State of Shadow AI survey）」（2025年11月発表、セキュリティリーダー500人と従業員1000人を対象）によると、従業員の81％、セキュリティリーダーの88％が、会社が承認していないAIツールの利用を認めている。さらに、従業員の45％は、特定のアプリケーションがブロックされた場合、回避策を見つけて利用していると回答した。これらは自己申告によるデータであり、UpGuardがこの分野のツールを販売している企業であることを考慮し、数値そのものよりも傾向として捉えるべきだろう。それを差し引いても残るのは、企業が承認しているAIと、従業員が実際に使っているAIとの間のギャップであり、後者が企業の会計帳簿に承認済みの項目として現れることは極めて稀だ。
ゴランも、クライアントからの問い合わせという需要側から同じギャップを感じ取っている。「人々は、どのようなリスクにさらされているのか、修復の優先順位をどうすべきかを求めて当社のドアを叩くが、可視性（可視化）の面でも大きなギャップが存在する。これはリスクの定量化に直結する問題だ。ほぼリアルタイムで何が起きているかを把握する必要があり、今や可視化こそが極めて重要になっている」。彼が挙げる利用リスクのトップ3は、データ漏洩、不適切な権限管理、サードパーティベンダーによるリスクであり、承認済みのシステムしか追跡していない企業には、これら3つのリスクは一切見えない。Kovrrのアプローチは、ブラウザや安全なブラウザ拡張機能、エンドポイント、ネットワークトラフィック、アイデンティティ（ID）およびデータガバナンスシステム、サードパーティ製モデルのアクティビティからテレメトリ（遠隔測定データ）を収集し、分析モデルを回す前に、承認されたアセットとシャドーアセットを分類することだ。ある大手製造業（ゴランの説明では匿名）は、自社のAIアセットをマッピングし、そのデータを用いてEUの「NIS2指令（ネットワーク・情報システム安全確保指令）」に基づく評価を裏付け、2026年を通じて財務的な影響度に基づいて修復作業の優先順位を決定した。
規制当局よりも先に保険の引き受け手が動いた
保険会社はより早く、そして静かに動いていた。IBMのレポートに示されたコストの側面が、その理由を物語っている。昨年、データ侵害による世界全体の平均被害額は、IBMの調査史上最高となる500万ドル（約7億9500万円）弱（前年比12％増）に達した。さらに、攻撃者がAIを悪用したデータ侵害の場合、被害額はそれを約100万ドル（約1億5900万円）上回った。米国の保険会社向けに標準的な保険約款を策定しているVerisk（ベリスク）傘下の機関ISO（保険サービス事務所）は、企業総合賠償責任保険向けに「生成AI免責条項」を流通させている。フォーム番号はCG 40 47 01 26で、2026年1月版の日付が付されている。この条項は、「生成人工知能に起因する、または帰すべき」人身傷害および財物損害に対する補償を除外するものであり、双方の賠償責任補償に適用される。また、被保険者が自ら直接テクノロジーを使用した場合だけでなく、ベンダーを通じて使用した場合にも適用される。この条項を適用するかどうかは保険会社自身が判断するため、正確な読み方は、すべての企業が静かに補償を失ったわけではなく、免責するための標準的な経路が確立され、保険会社が選択的に保険ポリシーに組み込み始めている、というものだ。
これとは対照的に、AIのリスクを明示的に補償する保険も同じ市場に存在するが、現時点では規模が小さく、オーダーメイドで設計されている。ミュンヘン再保険（Munich Re）の「aiSure」は、契約上のパフォーマンス保証、差別や知的財産に関する訴訟、ハルシネーション、規制当局による罰金、AIの誤作動による財務損失などを補償しており、同社は2018年からAI製品・サービス向けの保険を提供していると説明している。ロイズ（Lloyd's）のシンジケートの支援を受けるArmilla（アルミラ）は、2025年5月に保険の引き受けを開始し、ハルシネーションを含むAIのエラーに起因する損失を補償し、損害賠償金や訴訟費用をカバーしている。
保険の引き受け手（アンダーライター）にとって、マッピングされていないAI資産の価格を設定することは、設計図のない建物の価値を査定するようなものだ。最悪のシナリオを想定して査定するしかない。しかし、査定人は建物の中を歩いて自分で図面を描くことができるが、AI資産は誰も歩いて回ることができない。なぜなら、月曜日に開いているブラウザのタブと、金曜日に開いているタブとでは、その姿が変わってしまうからだ。このような保険が一般的になるまでどのくらいの期間がかかるかという質問に対し、ゴランは具体的な数字を挙げた。「マスマーケット向けの標準的なAI保険が普及するには、あと2年ほどかかるだろう。引き受け手が自信を持って資産の状況を可視化できるようになることが先決だ」
数値の信頼性は、マッピングの正確さに比例する
これらに対する最も強力な異論は、この分野を考案した当事者の内部から提起されている。米国の通信・サイバーポリシーについて大統領に助言を行う国家安全保障電気通信諮問委員会（NSTAC）は、2024年3月の報告書において、セキュリティ業界の「指標に対するリテラシー（理解度）」は低く、主観的な定性的判断に対して、あたかもそれが客観的なデータであるかのように数学的演算を行っていると指摘した。「主観的な測定値に誤った計算を組み合わせることは、不適切な意思決定につながる」と同委員会は結論づけている。委員会自身ではなく、同委員会へのプレゼンターたちは、独自の定量化フレームワークで説明できるデータ侵害のばらつき（分散）は、わずか10％から15％にすぎないと語った。
この批判は、20年にわたる損失履歴の蓄積があるサイバー分野に向けられたものだ。AIの定量化における歴史はそのわずか一部にすぎないため、この指摘は最初の対象よりもAI分野においてさらに重くのしかかる。不完全な棚卸し（資産リスト）に基づいて作成されたモデルは、潜在的なリスクを過小評価すると同時に、根拠のない自信を生み出してしまう。後者の失敗はより大きな代償を伴う。なぜなら、それが「意思決定」として取締役会に提出されるからだ。
ゴラン自身が示すプロセスの順序も、この依存関係を認めている。「リスクの定量化は、アセットのマッピングと使用状況の監視という土台の上にあるレイヤーだ。これによって、信頼できる取締役会への報告を可能にし、コンプライアンスのギャップに財務的な優先順位を付けることができる」。委員会と専門家の意見は、定量化の価値はその土台となる可視性を超えないという点で一致しているが、その先については意見が分かれる。委員会の調査結果は、棚卸しが完了した後であっても、算出された数値を疑うべきであることを示唆しているのに対し、ゴランの顧客は、その数値を信頼できるものにするために彼に報酬を支払っている。なお、今回のインタビューにおいて、NSTACの調査結果についてゴランに直接問いかけることはしなかった。
ゴランは、規制当局の動きが十分に速いとは考えていない。また、取締役会についての彼の見方によれば、投資家からの「AIを導入せよ」という圧力が、依然として「AIを管理せよ」という圧力を上回っているという。彼のクライアントの1社は、従業員が社内データをどこに送信しているかを監視するために安全なブラウザ拡張機能を導入し、その後、同じ拡張機能を利用して中国製のモデルへのトラフィックを遮断するように設定した。これについて規制当局からの指示はなく、保険会社からの要求でもなかった。誰かがようやくトラフィックを可視化できるようになったからこそ実現したことだ。他のすべての企業も、遅かれ早かれ、保険会社のアンケートや規制当局からの通知によって同じ質問を突きつけられることになる。そのとき企業は、誰かに問われる前にたまたま導入していたシステムで回答せざるを得なくなるだろう。
