会計事務所大手のEYが2026年9月15日（現地時間）に発表したレポートによると、AI分野の上級幹部の約半数が、正式なポリシーが整っているにもかかわらず、緊急の導入案件でAIガバナンスのプロセスを回避したことがあるという。
AIが企業に浸透する中、大企業の多くはAIガバナンスに関するポリシーを整備している。しかし、そのポリシーは無視されることも多いようだ。AIのリスクの実態を示すサイバーセキュリティインシデントが広く報じられている。OpenAIのAIモデルが社内のセキュリティテスト中にHugging Faceのシステムへ侵入した事案は記憶に新しい。にもかかわらず、組織は既存の手順を回避し続けている。
「効果的なAIガバナンスは机上の文書に留まらない」
「効果的なAIガバナンスを机上の文書や、しまい込まれたポリシー集に閉じ込めてはならない」と、EYのリチャード・ジャクソン氏（EY Americas アシュアランス部門CTO／最高技術責任者）は「CIO Dive」に語った。「組織に根付き、日々の実践と具体的な成果に落とし込まれるべきだ」
では、AIの導入スピードを保ちながら規制を効かせることはできないのか。ジャクソン氏は「両立できる」と言い切る。では、その具体的な対処法は何か。
ガバナンスをどう企業に埋め込むか
CIOは、リスクを管理できるだけの強度を持ちながら業務の妨げにはならないガバナンスプロセスを、自社が構築できるよう支援しなければならない。「迅速に動くことと適切なガバナンスを適用することは、相反するものではない」とジャクソン氏は述べる。「ガバナンスこそが、規制を失わずに迅速に動く自信を組織に与える」
このアプローチには、AIの開発・導入ライフサイクルにガバナンスを組み込み、テスト、承認、監視、エスカレーションの要件を明確に定めることが必要になる。CIOは例外に関する明示的なプロセスも定めるべきだ。誰が特急の承認をできるのか、その場合にどのような追加の規制や導入後のレビューが必要になるのかを決めておく。
4人に1人が「導入後の責任者が決まっていない」と回答
エージェンティックAIの台頭は企業にとって最大級の悩みの種だ。技術の進展が規制の整備を上回っている。回答者の約半数が、「自社のフレームワークはエージェンティックAI特有のリスクに合わせて更新されていない」と答えた。
組織がエージェンティックAIを導入するにつれて、この問題はより深刻になる。同技術を利用する回答者のうち約4人に1人が、「導入後の維持や監視に関する責任の所在が定められていない」と答えた。CIOは初回の承認だけで終わらせず、AIシステムのライフサイクル全体を通じて責任の担い手を明確にする必要がある。誰が自律システムを監視するのか、挙動が変わったときに誰が責任を負うのか、どの時点で人が介入するのかを決めることが含まれる。
ジャクソン氏によれば、組織に必要なのは、人とテクノロジー双方の明確なガードレール、エージェントが何をしているかの可視性、そしてエージェントが想定範囲の外で動作したときに検知する能力だ。
3分の2が「専門人材の不足」を懸念、レビューを「運用の一部」に
この調査ではスキルの問題も浮かび上がった。回答者の約3分の2が、AIガバナンスの規制を設計、実装、あるいは改善するための社内の専門知識が不足していることを懸念している。
CIOにとっての教訓は、アシュアランスレビューを定期的に実施し、コンプライアンスのための形式的な作業ではなく、運用上のフィードバックループとして扱うことだ。規制が実際に機能するかをテストし、その結果を基にシステムを修正、一時停止、あるいは停止する。これによって、AIの導入と調整を合わせてガバナンスを進化させられる。
「CIOとリーダーシップの役割は、法務、IT、セキュリティ、コンプライアンスの各チームを集めた部門横断チームを立ち上げ、各チームのガバナンスがAI導入のペースに追い付いているかを確かめることだ」とジャクソン氏は述べた。「組織全体のガバナンスを形成し、実現する上で、CIOの舵取りと専門知識がこれほど重要になったことはない」
なお、EYの調査は、年間売上高10億ドル以上の米国上場企業に所在し、AIシステムやガバナンス、監査プロセスを直接管理する役職、CxO、バイスプレジデント以上の役職を対象に、2026年5月28日から6月15日にかけて実施された。
