2026.07.27

AIセキュリティは誰が担うのか｜組織の責任分担設計

シャドーAIが企業内で広がりつつあります。会社が認めていない生成AIを従業員が業務で使う「シャドーAI」が課題となっており、情報漏えいリスクへの懸念が高まっています。実際に、NIKKEI Digital Governanceの解説では、「便利さを求める現場ニーズは止められません」と指摘されています。そのため、企業は現場の生産性向上ニーズと情報セキュリティのバランスを取る必要に迫られています。

しかし、この問題の大きな要因の一つは、技術的なセキュリティ対策の不足だけではありません。AIセキュリティの責任分担が不明確であることそのものが、現場が独自にAIを使い始める構造的要因になっています。

実は、従来のCISO（最高情報セキュリティ責任者）・CIO（最高情報責任者）・CDO（最高データ責任者）の役割分担だけでは、AI時代の組織課題に対応しきれない場面が増えています。そこで本記事では、シャドーAI問題を引き起こす責任分担の欠如を指摘し、AI時代に求められる組織設計の要点を示します。

シャドーAIが示す責任分担の欠如

まず、会社が承認していない生成AIを従業員が業務で使う「シャドーAI」の背景には、組織の責任分担が不明確であることが深く関わっています。

従業員が未承認のAIを使う理由は、「誰に申請すればよいか」「誰が判断するのか」が不明確です。そのため、現場は承認を待てず、独自に動く傾向があるのです。

例えば、CISOはセキュリティリスクの観点から「使うな」と言い、CIOはITインフラの管理責任から「未承認ツールは禁止」と掲げ、CDOはデータ活用の推進者として「試してみよう」と促すケースが起こりがちです。このように各役職の管轄が曖昧なまま、各部門が別々の方針を打ち出します。その結果、現場は混乱します。

IPAが公開する「AIセキュリティ」では、AIに関する技術的リスクと社会的リスクを整理しています。しかし、これらのリスクに対する役職別の責任分担までは明示されていません。

技術的リスクと社会的リスクは、それぞれ異なる専門性を要求します。そのため、CISOが技術的セキュリティを担当し、CDOがデータ品質と倫理性を、CIOが全体のインフラとガバナンスを担うという明確な線引きが必要です。

CISO・CIO・CDOの役割を再定義する

AI時代のセキュリティガバナンスを機能させるためには、CISO・CIO・CDOの役割を明確に再定義する必要があります。

もっとも、これらの役割分担は企業の規模や業種によって異なります。また、CDOが存在しない企業も多く、役職名ではなく機能として誰が担うかを決めることが重要です。

CISOが担うべき領域：技術的セキュリティ

CISOはデータ漏えい防止、アクセス管理、脆弱性対策、プロンプトインジェクション対策など、技術的なセキュリティリスクの管理を担います。Microsoftは「Cyber Pulse: AI セキュリティレポート」で、AIエージェントの導入拡大に伴い、監視・ガバナンス・セキュリティの実装が重要だと説明しています。

CIOが担うべき領域：インフラとガバナンス

CIOはAIプラットフォームの選定、既存システムとの連携、利用ルールの策定と監査など、インフラとガバナンスの責任を担います。

AI導入が部門ごとにバラバラに進むと、全社的なリスク管理が効かなくなります。デロイトが提唱する「Agentic BPR」では、部門横断で業務を整理することの重要性が示されています。そのため、CIOは部門横断のガバナンス体制を設計し、AI導入プロセスを統制する責任を担います。

CDOが担うべき領域：データ活用と倫理性

CDOはデータ品質管理、AIの説明性確保、偽情報対策、倫理的な利用方針の策定など、データ活用と倫理性の責任を担います。

IPAが指摘する社会的リスク（偽情報・誤情報の生成、倫理性の問題、説明性の不足）は、技術的なセキュリティ対策だけでは対応できません。例えば、EUでは、DMAに基づき、Android上のAIサービスの相互運用性や検索データ共有が規制上の論点になっています。そのため、CDOは法務・コンプライアンス部門と連携しながら、AIの倫理的利用とデータ品質の担保を組織内で実現する責任を持ちます。

法務・コンプライアンス部門との連携

AIセキュリティの責任分担を考える際、CISO・CIO・CDOだけでは不十分です。例えば、個人情報保護法、著作権、AI事業者ガイドライン、契約上の秘密保持義務などは法務・コンプライアンス部門が、AI利用教育には人事部門が関与します。したがって、組織横断で設計することが求められます。

AI専任責任者の必要性

実際に、従来のCISO・CIO・CDOの役割分担だけでは、AI特有の課題に対応しきれない企業も出てきています。

例として、GMOインターネットグループは2026年7月、代表を「グループAI変革最高責任者（グループCAIO）」に任命し、AI戦略・導入推進・ガバナンス・人材育成を一元的に統括する体制を構築しました。したがって、この事例は、AI専任の責任者が必要である可能性を示唆しています。

AI専任責任者の役割は、技術的セキュリティ（CISO）、インフラとガバナンス（CIO）、データ活用と倫理性（CDO）の3軸を横断し、AI導入プロセス全体を統括することです。

段階的な責任分担の設計

組織の責任分担を一度に再設計することは現実的ではありません。そこで、デロイトのAgentic BPRの考え方を援用し、小さく始めて、改善しながら広げる段階的なアプローチが求められます。

ステップ1：現状の責任分担を可視化する

まず、現在の組織で「誰がAIセキュリティの何を担当しているのか」を可視化します。つまり、CISO・CIO・CDOがそれぞれどの範囲を管轄しているのか、重複や空白がどこにあるのかを明確にします。

ステップ2：リスクの優先順位を決める

IPAが示すリスクのうち、自社にとって最も優先度の高いリスクを特定します。例えば、顧客情報を扱う企業では個人情報漏えいリスクが最優先であり、広報部門では偽情報生成リスクが重要になります。

ステップ3：責任分担を試験的に割り当てる

次に、優先度の高いリスクに対して、誰が責任を持つかを試験的に割り当てます。ここでは「まず動かしてみる」ことを優先します。

ステップ4：運用しながら改善する

最後に、試験的に割り当てた責任分担を実際に運用し、問題が発生したら改善します。実際、デロイトは「実装・検証・改善サイクルで『成長する運用』が本質」と指摘しています。したがって、責任分担の設計も、運用しながら改善していくアプローチが現実的です。

さいごに

シャドーAI問題は、技術的な対策だけでは解決しません。実際に、組織の責任分担が不明確であることが、現場が独自にAIを使い始める構造的要因になっています。

そこで、CISO・CIO・CDOの役割を再定義し、必要に応じてAI専任責任者を設置することで、責任分担を設計します。さらに、小さく始めて、改善しながら広げる段階的なアプローチで、組織全体のAIガバナンスを強化していきます。

一方で、責任分担を機能させるには、利用ログ・監査証跡・権限設計が必要です。また、シャドーAIを防ぐには、会社公認の安全なAI利用環境を用意することが求められます。専用環境、データ流出防止、利用ログ管理、RAGによる社内ナレッジ活用など、全社導入を前提としたAI基盤の整備が、責任分担と現場定着を両立させる鍵となります。

Smart Generative Chatは、企業向けの社内AI活用基盤として、こうした課題に対応します。専用環境、利用ログ管理、RAGによる社内ナレッジ活用、シナリオ機能、監査証跡画面などの機能により、シャドーAI対策と全社AI活用の両立を支援します。社内AI基盤の導入をご検討中の方は、ぜひご相談ください。

▶ Smart Generative Chatの詳細・導入相談はこちら

AI時代のセキュリティガバナンスは、技術的対策と並んで、組織設計の問題でもあります。