AIは、企業が何十年も先送りしてきた問題との対峙を迫っている。組織は、事業全体で蓄積してきた膨大な未活用のデータ資産を抱えている。AIは、このデータを活用する初めての本格的な機会をもたらす一方で、AI導入における最大の制約にもなっている。具体的には、企業データのうち実際に利用できるものがあまりにも少ないという問題だ。
企業データの大半は、ガバナンスも監査も行き届かず、それを必要とするAIシステムから事実上利用できない状態に置かれている。多くの経営幹部は、AIにおける最大の優位性はモデルの選択にあると考えている。だが、誰もが同じフロンティアモデルにアクセスできるなら、それは優位性にはならない。本当の差別化要因はガバナンスギャップにある。すなわち、企業が保有するデータと、その利用権限を証明できるデータとの距離である。これが、自社データのうちアクセス可能であるだけでなく、安全に活用できる量を決定し、AIを実験する企業と長期的価値を引き出す企業を分ける。
ガバナンスギャップはAI以前から存在し、AIがそれを無視できなくした
企業は何十年分ものデータ資産を収集し、誰がどの目的でアクセスできるかについて、その場しのぎの判断を重ねてきた。人間の規模で見れば、ガバナンス層の欠落による影響は管理可能に見え、コンプライアンスのコストを考えれば、むしろ望ましいとさえ捉えられていた。ガバナンスは投資ではなく最小化すべきコストと見なされ、ガバナンステクノロジーはデータ収集のペースからさらに後れを取った。
ペタバイト規模のデータを抱える企業は、最新のフロンティアAIモデルの導入に前のめりになってきた。Menlo Venturesによると、2025年の企業による生成AI支出は、わずか12カ月で115億ドル（約1兆8200億円）から370億ドル（約5兆8400億円）へと300%以上増加した。筆者の会社であるProsper Insights & Analyticsの最近の調査では、経営幹部と事業主の53.8%が、コンテンツ作成、調査、個人アシスタント用途などで、すでに職場で生成AIを利用していることがわかった。AIは企業の最上層にまで浸透し、データの利用可能性と、それを責任ある形で利用できる実現可能性との間にある拡大するギャップを浮き彫りにしている。
既存企業のリスク
AI導入が加速する一方で、停滞したデータガバナンスは、監査されていない潜在的に私的なデータがモデルに流れ込む事態を招き、AIセキュリティインシデントの増加につながっている。スタンフォード大学のAI Incident Databaseは、2025年に記録されたAIインシデントが362件に上り、前年から55.4%増加したとしている。
一方、規制当局はこの拡大する問題に対し、巨額の制裁金を科すことで対処を強めている。EU域内の個人データのプライバシーとセキュリティを保護するために設計された欧州連合（EU）のGDPR（一般データ保護規則）は、企業の全世界年間売上高の最大4%に相当する制裁金を定めている。EU AI法は、基準を満たさない高リスクAIシステムに対し、最大1500万ユーロまたは全世界年間売上高の3%の制裁金を導入している。米国では、Metaが個人データを違法に収集したとして2025年にテキサス州が回収した14億ドル（約2210億円）の和解金のように、企業に対して巨額の罰金が科される事例が出ている。
金銭的制裁は、企業が自社の保有データを把握し、規制当局から求められれば、その利用方法を正当化できるべきだという前提に基づいている。知らなかったという主張は十分な法的防御にはならない。重要なデータガバナンス基盤がなければ、AIモデルが特定のデータセットにアクセスした理由を規制当局に問われた際、多くの企業が示せる答えはそれだけになってしまう。
ガバナンスギャップは指数関数的に拡大している
必要なインフラを構築するための猶予は、多くの経営幹部が認識している以上に急速に失われつつある。Gartnerは、フォーチュン500企業の平均的なAIエージェント利用数が、2025年の15から2028年には15万に増えると予測している。コンプライアンスはすでに、手作業によるリスクレビューやプライバシーレビューに埋もれ、後手に回っていた。新たなエージェント統合が加わるたびに負荷は増え、各エージェントがリアルタイムで独自にデータアクセスの判断を下すため、レビューはどのチームにも処理しきれない速度で積み上がっていく。
Forresterの脅威調査によれば、組織の63%はいまだ正式なAIガバナンスポリシーを持たず、AI関連の侵害をすでに経験した組織の97%は、発生時に適切なAIアクセス制御を整えていなかった。セキュリティチームの5分の4が、自社が導入したエージェントによるリスクの高い挙動を直接確認したと報告している。AIの利用とAIへの備えの間にあるギャップは、もはや無視できないものになった。
企業データのうちAIシステムが利用できるものを制御し、それをリアルタイムで強制するガバナンス企業Ethycaの創業者兼CEOであるCillian Kieranは、このギャップが広がる様子を何年も見てきた。同氏のAIガバナンスプラットフォーム「Astralis」は現在、米国の大手金融機関内で毎秒6000リクエストを処理している。「人間によるレビューが対応できる段階は、ずいぶん前に過ぎました」と同氏は語る。「AIエージェントの自律性が高まるにつれ、AIを組み込んだワークフローを信頼するということは、情報を安全に保ちながら、その可能性を活用するために構築されたガードレールを信頼することを意味します。1日に数億件ものリクエストが発生するなかで、エージェントが行うすべてのリクエストの背後に人を置くことはできません。セキュリティは後付けではなく、最初から組み込まれていなければなりません」
AI戦略の問題の中に隠れたデータアーキテクチャの問題
AI戦略の意思決定は取締役会で行われ、データアーキテクチャの意思決定はエンジニアリングチームが行う。その結果、構造的な断絶が生まれる。AIの成果に責任を持つ人々は、その成果が依存するデータインフラを所有しておらず、所有している人々は、それを適切なレベルで修正する権限や可視性を持つことがほとんどない。経営陣の関心が最先端モデルへ向かう一方で、ボトルネックはガバナンスにある。ガバナンスギャップが経営層に見えるようになる頃には、通常それは導入の停滞や規制当局からの質問をきっかけとしており、アーキテクチャ上の負債はすでに積み上がっている。
従業員や経営幹部は、その背後にある仕組みを必ずしも理解していなくても、その不確実性を感じ取っている。Prosperのデータでは、経営幹部の39.3%、従業員の36.8%が、AIを信頼するにはより多くの人間による監督が必要だと答えている。また、経営幹部の32.5%、従業員の30.9%は、AIが利用するデータについてより多くの開示を求めている。どちらの数字も同じ違和感を示している。AIはすでに、多くの企業のインフラでは説明しきれないほど大きな信頼を託されていることを、人々は理解しているのだ。その不安はしばしば、企業を誤った解決策へと向かわせる。
ブレーキではなく加速装置としてのガバナンス
AIはリスク水準を高めており、多くの企業はガバナンスが追いつくまでAIのデータアクセスを制限することで対応している。このアプローチは、ガバナンスをAIを速く動かすためのインフラではなく、解決すべき問題として扱っている。「スピードと安全性は相反するものではありません。人々は『ガバナンス』や『ハーネス』と聞くと、物事を遅くする非生産的なプロトコルを思い浮かべます」とKieranは言う。「実際はその逆です。適切に実装されたガバナンスはボトルネックではなくなり、AIがどこまで進めるか、どれだけ速く進めるかを決めるインフラになります」
データが安全に利用できると確認されれば、レビュー時間や蓄積されたリスクを減らすだけでなく、AI導入を前進させながら、AIシステムへ一貫して流し込むことができる。明確に定義され、強制可能なガードレールは、AIがデータでできることを制限するのではなく、拡張する。それは、毎回許可を求める状態から、データ層で信頼性を証明し、AIが要求する速度で最も価値のある資産を活用する状態への移行である。
どの業界のどの企業も、次の四半期には同じフロンティアモデルのライセンスを取得できる。しかし、独自データについて同じことは言えない。優位性は常に、データを解き放つことにある。ガバナンスを削減すべき間接費として扱い続ける企業は、後に規制当局へ説明責任を果たさなければならない。一方で、別の企業は、エージェントの大群が独自のルールを定める前に、今のうちに地味な作業に取り組むだろう。モデル開発企業は新たなモデルを出し続ける。しかし上限を決めるのは社内であり、自社データのうち実際に利用できる量なのである。
開示事項：上記で参照した消費者心理調査は、筆者の会社であるProsper Insights & Analyticsが実施したものである。これは全米小売業協会が利用しているものと同じデータセットであり、経済ベンチマーク用としてAmazon Web Services、Databricks、London Stock Exchange Groupからも入手可能である。
