セキュリティチームとAIツール:経営層は「制御できないもの」を採用しない

AIは、あらゆる企業にとって注目のテーマです。CEOが生産性向上への活用法を議論し、一般の人々も日常の疑問をすぐに解決するためにAIを使うようになった今、AIを避けて通ることはできません。

企業にとっての魅力は明らかです。AI搭載ツールは時間を節約し、反復作業を自動化し、会議からコンテンツ制作まであらゆる業務を効率化します。たとえばInstagramをざっと眺めるだけでも、AIを使ってメニューを宣伝している飲食店が数多く見つかります。 

しかし、日々の業務にAIを取り入れる企業が増えるにつれ、もう一つの問いが重要性を増しています。それは、人々がこれらのツールを本当に安全に使えるのか、という問いです。

ニュースでも最近、AIの安全性に関する報道が数多く出ています。当然ながら、AIツール導入の障壁も生じます。そこで本記事では、AIに関して経営層が「制御できないもの」を採用しない理由を探ります。 

第一の課題は可視性

経営層にとって最大の懸念の一つは、組織全体でAIがどのように使われているかを正確に把握することです。

従業員はすでに、文書の要約、メールの作成、データの分析、技術的な問題の切り分けなどに、一般消費者向けのAIプラットフォームを使っているかもしれません(ChatGPTは誰もが耳にしたことがあるでしょう)。こうしたツールがITチームやセキュリティチームに知られないまま使われていれば、組織は事実上、管理されていないテクノロジー層を抱えることになります。

そこで、データをめぐる疑問が生じます。AIシステムにはどのような情報が入力されているのか。その情報はどこに保存されるのか。誰がアクセスできるのか。そして、その後どうなるのか。

可視性がなければ、セキュリティチームはリスクを適切に評価も管理もできません。

制御を最初から組み込む必要がある

AI導入を拡大するには、従業員に「できること」と「できないこと」を示すポリシーだけでは不十分です。安全な行動を取りやすくする技術的な制御が求められます。たとえば、従業員が利用できるAIツールの制限、共有できるデータの管理、AIの利用状況の監視、社内システムとやり取りするAIエージェントへの明確な権限設定などが考えられます。

同じ原則は、AIによる自動化にも当てはまります。メールを送信したり、顧客記録にアクセスしたり、業務システムを更新したりできるAIエージェントには、明確に定義された境界が必要です。AIに許可されていること、そして何より禁止されていることが見えていれば、経営層はこうしたテクノロジーをはるかに承認しやすくなります。

セキュリティを後回しにしてはならない

従来のソフトウェアは、一般に予測可能なプロセスを軸に設計されています。一方、AIシステムは受け取る情報や指示によって出力が変わるため、挙動が異なる場合があります。

そのため、ガバナンスはとりわけ重要です。セキュリティチームは、問題が起きてから呼ばれるのではなく、AIツールを導入する前から関与する必要があります。利用ポリシー、アクセス制御、監査プロセスの策定を支援し、必要に応じてAIの動作を停止・制限する仕組みも整えるべきです。

比較セキュリティ

これは、従業員のAI利用を妨げるという意味ではありません。むしろ過度な制限は、人々が独自の回避策を探す原因になります。目指すべきは、制御された形での導入です。

結局のところ、職場におけるAIの未来は、最先端のモデルを使う企業だけのものではありません。AIを強力かつ制御可能にできる企業のものになります。経営層にとって、この違いは、AIの試験導入を承認するか、組織全体に展開するかの分かれ目になるかもしれません。

あなたは現在、どのAIツールを、なぜ使っていますか。近々、新しいツールを試す予定はありますか。