「責任あるAI」とサイバーセキュリティを企業リスクマネジメントにどう組み込むか
- 2 日前
- 読了時間: 8分
更新日：1 日前
企業にとって、AIの積極的な利活用とリスク管理は、二者択一ではありません。テクノロジーリスクの多面性に留意しつつ、AIガバナンスとサイバーセキュリティを人・データ・技術・バリューチェーンを横断する一つの企業リスクとして統合的に管理することが有効です。このような企業リスクマネジメントにあたっては、技術部門だけではなく、内部統制・ガバナンスに関連する担当者・プロフェッショナルにも積極的な役割が求められています。
AIの普及が問い直す企業リスクマネジメント
生成AIをはじめとするAIは、文書作成、翻訳・要約、契約書レビュー、顧客対応、採用・人事評価、生産設備の制御など、企業活動の幅広い場面に浸透しています。AIは業務の効率化とイノベーションを促進する一方、誤情報、差別、プライバシー侵害、知的財産権侵害、情報漏えい、安全事故、犯罪利用など、複合的なリスクも生じさせます。
また、AIシステムは大量のデータ、クラウドサービス、外部モデルやソフトウェアに依存し、サイバー攻撃の対象・経路にもなります。AIが攻撃の自動化や精緻化に用いられる一方、AIへのデータ汚染、プロンプトインジェクション、モデルや出力の改ざんなどにより、企業の判断や業務自体が損なわれる危険もあります。責任あるAIとサイバーセキュリティは、切り離して論じることができない課題です。
このような問題意識から、当職は、企業のテクノロジー関連法務を支援してきけた経験を踏まえ、月刊監査役792号に「『責任あるAI』を企業リスクマネジメントにどう組み込むか―多面的なAIリスクに対応する内部統制・監査の実務」を寄稿しました。以下では、月刊監査役733号に寄稿した「『サイバーセキュリティ・ガバナンス』強化の意義と実践―サイバーセキュリティに関する各国規制・実務の動向をふまえて」で提示した視点も踏まえ、両者を企業リスクマネジメントに統合するための考え方を紹介します。
「責任あるAI」を多面的にとらえる5つの視点
責任あるAIとは、単にAI関連法令に違反しないことにとどまりません。OECD・AI原則が示す、包摂的な成長、人権・民主主義的価値の尊重、透明性・説明可能性、頑健性・セキュリティ・安全性、アカウンタビリティと整合する形で、AIを開発・提供・利用することを意味します。その実務化には、次の5つの視点が重要です。
① 機能・用途・リスクの多面性： 生成、認識、予測、推薦、判断支援、スコアリング、制御、AIエージェントなど、AIの機能・用途によりリスクは異なります。AI台帳を整備し、用途、モデル、入出力データ、関係部署、リスクと軽減措置を可視化することが出発点となります。
② ルールの多面性： OECD・AI原則、G7広島AIプロセス、EU・AI法、日本のAI法、NIST AI RMF、日本のAI事業者ガイドライン、人権デュー・ディリジェンス（DD）関連ルール、個人情報・知的財産・労働・消費者に関する既存法令など、ハードローとソフトローを重ね合わせて対応する必要があります。
③ 人への影響の多面性： AIは消費者、労働者、取引先、市民、子どもや社会的に脆弱な立場にある人々など、多様なステークホルダーの権利に影響します。影響評価だけでなく、意義ある対話と、問題が生じた場合の是正・救済まで組み込むことが重要です。
④ 企業の立場の多面性： 企業はAIの開発者・提供者だけでなく、利用者としても責任を負います。外部の生成AIを利用するだけの企業でも、入力情報、出力の検証、バイアス、プライバシー、セキュリティ、人による監督を管理しなければなりません。
⑤ 時間軸の多面性： 短期的な誤出力や情報漏えいに加え、中長期的には、AIへの依存による判断力の低下、専門的ノウハウ・暗黙知の喪失、若手育成の不全、責任回避や思考停止の組織文化といった影響も想定する必要があります。
サイバーセキュリティを企業価値の問題としてとらえる
サイバーインシデントは、システム停止や情報・資産の流出という「物理的リスク」にとどまりません。個人データの漏えいによる損害賠償・規制対応、顧客の機密情報流出による契約責任・取引喪失、取引先や社会インフラへの被害拡大、レピュテーションの毀損という「社会的リスク」が重なることで、企業価値に深刻な影響を及ぼします。
したがって、企業はサイバー攻撃の単なる「被害者」ではありません。自社のシステム、製品・サービス、サプライチェーンを通じた被害の発生・拡大を防ぐ「ゲートキーパー」としての役割も担います。サイバーセキュリティは技術部門だけの課題ではなく、取締役会・監査役の監督・監視の下で、全社的に管理すべきガバナンス課題です。
AI・サイバーリスクを統合する6つの実践ポイント
1 経営レベルの方針と責任体制： AIとサイバーを重要な全社リスクとして位置づけ、取締役会がリスク許容度、優先順位、人員・予算を議論することが重要です。CISO、法務・コンプライアンス、リスク管理、内部監査、事業・人事・調達部門の役割と報告経路を明確にしておくことが期待されます。
2 AI台帳と情報資産管理の接続： AI台帳を、データ、アカウント、システム、委託先などの情報資産管理と結び付けます。シャドーAIを含む利用実態を把握し、リスクの高い用途に重点的な管理を行う必要があります。
3 ライフサイクルを通じたリスク低減： 企画・設計段階から、リーガル・バイ・デザイン、セキュリティ・バイ・デザイン、人権尊重の視点を組み込むことが有益です。データ管理、アクセス制御、出力検証、ログ、テスト、レッドチーミング、人による監督、停止・撤回手続を用途に応じて設計することも重要です。
4 サプライチェーン・第三者管理： AIモデル、クラウド、データ、開発・運用委託先の依存関係を把握し、選定時のDD、契約上のセキュリティ・通知・監査・是正条項、継続的なモニタリングを組み合わせます。
5 平時と有事をつなぐ対応： AI固有の事故・苦情も既存のCSIRT、危機管理、BCP、内部通報・苦情処理の仕組みに接続します。検知・分析、封じ込め、復旧、当局・取引先等への通知、情報開示、原因分析、再発防止、被害者の救済までをシミュレーションする必要があります。
6 不断の検証とステークホルダーとの対話： 技術・脅威・ルールは急速に変化します。定期監査だけでなく、継続的なモニタリングと機敏な改善を行い、労働者、消費者その他の影響を受ける人々との対話を、リスクの発見と統制改善に生かしていく必要があります。
内部統制・ガバナンスのプロフェッショナルに求められる役割
AIは、異常検知、データ分析、文書レビュー、モニタリングなどを通じて、限られたリソースの下でも内部統制やガバナンスを高度化し得ます。しかし、AIを用いてリスクを管理する業務そのものが、誤出力、バイアス、情報漏えい、判断のブラックボックス化といった新たなリスクを生みます。
内部統制・ガバナンスに関わるプロフェッショナルには、AIを適切に活用しながらも、その判断を鵜呑みにせず、前提を問い、異論を提起し、ステークホルダーと誠実に対話し、公正な価値判断を行う力が求められます。技術と人権・倫理の双方を理解し、これらを実務に統合することが、企業のレジリエンス（強靭性）とインテグリティ（健全性）を支えることになります。
Global Compliance / Sustainability / Technology 横断的な視点の有用性
「責任あるAI」とサイバーセキュリティの統合は、当職が取り組むGlobal Compliance / Sustainability / Technologyの3分野が最も密接に交差するテーマの一つです。
· Global Compliance： 域外適用を含む各国法令、業種別規制、開示・インシデント報告義務、契約・調達基準、国際規範・ガイドラインを横断的に把握し、変化するルールに機動的に対応する課題です。
· Sustainability： AI・サイバーが人権、労働、消費者、社会インフラに及ぼす影響を評価・軽減し、ステークホルダーとの対話と救済を通じて、責任ある企業行動と信頼を確保する課題です。
· Technology： 技術の特性と限界を理解し、リーガル・バイ・デザイン、セキュリティ・バイ・デザイン、人による監督を通じて、リスク管理とイノベーションを両立する課題です。
「責任あるAI」とサイバーセキュリティに関する活動・著作
当職は、テクノロジーの専門家とも対話・協働しながら、企業・金融機関におけるデータ保護・サイバーセキュリティ・AIなどのテクノロジー分野の関する法務・コンプライアンス・危機管理を支援してまいりました。また、AI開発企業の社外監査役、ICT企業・データプラットフォーム運営企業の社外委員・社外有識者を務める機会もいただいてきました。
今後も、企業が法令遵守のための受動的な対応にとどまらず、企業が不確実性に耐え、社会からの信頼を保ちながら、AIとデジタル技術の価値を積極的に引き出すための経営基盤を構築できるように支援を継続してまいります。
関連ページ
