7割の企業が生成AI「個人利用」への対策せず デロイト調査

デロイト トーマツ グループが発表した企業の不正リスク調査は、AI導入の実態と処理の落差を鮮烈に映し出している。生成AIの「個人利用」への対策について、74%の企業が「実施していない、分からない」と回答した。驚くべきは、ガイドラインの策定・周知は72%が進めているのに、入出力データを記録・保管している企業は11%、出力結果を定期的に監査する企業は8%に過ぎないという点だ。つまり企業は「AIを使うな」と書いた紙は貼っているが、実際に何が起きているかは見ていない状態だ。

これは組織管理の古い落とし穴だ。「ルールはある」と「ルールが機能している」は全く別物である。張り紙だけあって実運用がない状況は、防火扉に「施錠してください」と書いて放置するのと同じだ。機密情報がAIに入力されるリスク、出力の誤りをそのまま業務に流し込むリスク、こうしたインシデント発生は時間の問題だろう。特に製造業や金融業では、1件の漏洩や誤出力が信用失墜に直結する。調査対象の397社のうち、AIをビジネスに組み込んでいない企業はわずか9%。つまり大半が既にリスクを抱えたままだ。

必要なのは「禁止項目リスト」だけではなく、ログ記録・定期監査の仕組みを同時に構築することだ。機密データをAIに入れないのは当然だが、それが実際に守られているかを誰がどう確認するのか。出力が本当に正しいかをチェックする人とプロセスは必要か。こうしたガバナンスの細部こそが、AI導入の成否を分ける。ルールを作ったら、それが動いているか見張り続けることが、AI時代の経営には不可欠な負荷として降りかかっている。