セキュリティ責任者の半数、AIツール経由で機密データが流出したと報告

BlackFogの調査により、セキュリティ責任者のおよそ半数（47%）が、自組織のAIツールを通じて機密データの流出を経験していたことがわかりました。

これらのインシデントのうち77%は、企業が承認したAIツールで発生していました。

調査チームは、今回の結果から、多くの組織が、企業での利用を承認済みのツールも含め、AIツールに共有されているデータの種類を把握できていないことが明らかになったと指摘しています。

回答者の62%は、AIツールにデータを送信しているユーザーや部門を特定できると答えました。一方で、AIツールを通じて組織外に出たデータの種類について何らかの記録を提示できると答えた人は、半数に満たない48%でした。

BlackFogの創業者兼CEOであるダレン・ウィリアムズ（Darren Williams）氏は、次のようにコメントしています。「この結果は、セキュリティチームが、従業員に使用を許可するAIツールを決めるだけでは不十分であることを示しています。組織は、ツールに共有される情報そのものも管理しなければなりません」

ほぼすべての組織（98%）が、AIの利用ポリシーを策定していると回答しました。ただし、そのポリシーを実際に執行する能力には大きなばらつきがありました。

より広範なAI利用ポリシーを包括的な技術的統制で裏付けているのは、わずか過半数（56%）です。約3分の1（35%）は、AIのプロンプトに入力してはならない情報を定めた文書化済みのポリシーはあるものの、技術的な強制手段はないと答えました。

一方、セキュリティ責任者の39%は、AIの導入が統制できる速度を上回って進んでいると認めています。こうして対応が追いついていないと感じている回答者のうち、包括的なAI統制を整えているのは27%にとどまりました。

AIエージェントは組織のガバナンス戦略の対象外

11月4日に公開されたBlackFogの調査では、組織の環境で稼働するAIエージェントをめぐるガバナンス上の大きな欠落も浮き彫りになりました。

過半数の56%が、従業員の代理として動作する自律型AIエージェントは、自組織の既存の統制の対象外にあると明らかにしました。

この問題が最も多く見られたのはテクノロジー業界と通信業界で、回答者の70%が、自律型AIエージェントは組織の統制の外にあると答えています。

さらに、承認されていないAIツールをブロックまたは制限できると答えたセキュリティ責任者は54%にとどまりました。約3分の1（32%）はシャドーAIの利用を検知できるものの、一貫して阻止することはできていません。