2026年におけるエージェント型AIに関する議論の多くは、AIモデルの機能、すなわちエージェントの推論レイヤー、インターフェース、そして実行するタスクをどのように構築するかという点に終始してきた。
多くの組織にとって、これらの機能がもたらす影響が最優先事項となってきた一方で、その下部にあるレイヤー、すなわちアイデンティティ、権限、そして監査能力については見過ごされてきた。エージェントによるあらゆる決定には、レビュー担当者が実際に追跡できる経路が必要である。これには、クエリログやアクセスしたデータソースから、たどった推論プロセス、そして最終的な出力に至るまでが含まれる。
このガバナンスレイヤーは、選択するモデルやアプローチにかかわらず、エージェントを大規模に導入するすべての企業に必要となるものだ。
エージェントの統合はいまだハードル
エージェントを既存の企業システム全体にどう統合するかは、普及拡大を阻む要因であり続けている。顧客関係管理（CRM）、ITサービスのチケット管理システム、APIと統合するために必要なデジタル上のハンドシェイクも含まれる。企業の46%が「既存システムとの統合を主要な障害として挙げている」。
驚くことではない。エージェント型システムに安全で信頼できるアクセスを与えるのは難しい。
情報を共有するために基幹システムに接続するあらゆるアプリケーションと同様、エージェントも企業の既存のアクセス規則を遵守しなければならない。これには、すでに導入されているアイデンティティシステムに対して権限をチェックすることも含まれる。エージェントに適切な権限を付与できなければ、コンプライアンスやデータ漏洩の問題を招くリスクがある。監査で問題視されるような類の問題だ。
組織のリーダーは、誰が、あるいはどのシステムがエージェントの行動を承認するのか、その承認をどのように取り消すのか、何かがうまくいかなかったときに何がログに記録されるのか、そして人間をどのようにループに組み込むのかを考慮しなければならない。
私は過去数十年にわたり何千ものスタートアップと面会してきたが、業務効率とビジネスの生産性を高めるためにエージェントを導入したいという意欲が非常に高いことを身をもって知っている。PwCの調査によると、組織の79%がエージェントを導入しており、そのうちの66%が生産性の向上を報告している。
しかし同時に、適切なアイデンティティを備えたエージェントを統合することは、企業（たとえ最も経験豊富な起業家が率いる企業であっても）にとって依然として極めて困難な課題であるとも言える。その前提を踏まえ、組織が適切なアイデンティティを持つエージェントを統合するためのプレイブック（手引書）を提案したい。
この領域で事業を構築する創業者にとって何を意味するのか
銀行、保険会社、病院、あるいはコンプライアンスの重要性が大きい規制市場向けにエージェントを構築する創業者は、自社システムがいくつかの機能要件を満たせるようにすべきである。
権限を新たに作るのではなく継承する（そう、従業員のように）
第一に、エージェントは購入者に対し、自らが閲覧を許可されている情報に関する独自の判断を信用するように求めるべきではない。そうではなく、アイデンティティプロバイダーから既存の役割構成、そしてすべての相互接続システムに至るまで、購入者がすでに運用しているアクセスルールに組み込むべきである。これにより、エージェントに独自の権利セットを付与するのではなく、新入社員と同じように権限をプロビジョニングできるようになる。
判断経路を追跡し、ログに記録する
確かに結果は重要だが、そこに至るまでのプロセスも同様に重要である。レビュー担当者は、エージェントが何をクエリしたか、どのシステムにアクセスしたか、回答に達するためにどのような手順を踏み、何を実行したかを確認できなければならない。これは、監査のレビュー中にコンプライアンス部門から求められたときに後から追加するよりも、バージョン1の開発段階で有機的に組み込んでおく方が簡単であり、コスト効率も高い。
責任ある所有者を割り当てる
顧客が導入するすべてのエージェントには、それが何にアクセスでき、なぜアクセスできるのかを定義する担当者を紐付ける必要がある。これは、人間がエージェントの運用を監視できる「ヒューマン・イン・ザ・ループ（人間介在）」の仕組みと考えればよい。スタートアップがこの仕組みをオンボーディングプロセスに組み込んでおけば、顧客企業のコンプライアンスチームが自ら構築しなければならない手順を省くことができる。
機能ごとにアクセスの範囲を限定する
すべての権限は、特定のタスクに対して付与されるものとして扱う必要がある。チケットを読み取ることができるサポートエージェントが、同じアカウントに属しているからという理由だけで、決済データを自動的にエクスポートできるようにすべきではない。
ワークフローを規律するルールを熟知する
エージェントの運用は業務を高速化させるが、同時にコンプライアンスリスクも高める。自社のアーキテクチャが満たしている要件（それが決済処理の基準であれ、金融リスク評価ルールであれ、データの現地保管要件であれ）を正確に説明できる創業者であれば、法務やリスク管理の審査をより迅速に通過することができる。
絞り込まれた、明確に定義されたワークフローから始める
導入は常に、特定のタスクを実行するように設計されるべきである。スコープを絞り込むことは、志が低いことを意味しない。規制の厳しい環境において、スコープの限定は、コンプライアンスを単なる努力目標から真のガバナンスへと変貌させる。
品質とネイティブなコンプライアンスがより安全な製品を生む
私の経験では、同等の能力を持つエージェントを提供する2社のスタートアップがあったとしても、そのうち1社だけがこうしたコンプライアンス上の問いにすでに答えているなら、両社が同じスピードで契約を獲得することはない。
アイデンティティ、権限、監査機能をプロダクトに計画的に組み込み、構築するスタートアップは、組織のリスクチーム、コンプライアンス部門、監査部門が抵抗なく承認できるものを作っているのである。
エージェント型AIが進化するなかで注目に値するのは、まさにこのアイデンティティというソフトウェアレイヤーである。華やかさはないかもしれないが、これこそが、より刺激的で実務的な機能が、レビューのために差し戻されたり、最悪の場合フリーズしたりすることなく、実際のデータ上で稼働するかどうかを左右するのだ。
多くの人が平凡だとみなす「権限レイヤー」の開発にエンジニアリングの時間を費やしているスタートアップこそが、すべての企業がエージェント主導の製品を出荷するために必要とするコンポーネントを構築していると、私が信じる理由はここにある。
