多様なリスクはありつつ、そのメリットもはかり知れない生成AIのビジネス活用。トラブルの危険性を最小にする一方、できるだけ大きな果実を手にするには、具体的にどんな方針を立て、どんなサービスとルールを用いればいいのでしょう？ 最新の技術動向と、中堅・中小企業の皆さんにも導入しやすいルールの考え方などについて、（株）NTTデータ テクノロジービジネス事業本部 テクノロジーコンサルティング事業部の嶌谷直紀さんにお話を伺いました。
嶌谷 直紀（しまたに・なおき）
株式会社NTTデータ テクノロジービジネス事業本部 テクノロジーコンサルティング事業部
2019年よりシステムエンジニアとして、メールセキュリティ製品の導入・設計・構築・運用を一貫して担当。2023年にNTTデータへ入社後は、セキュリティ監査を中心とするセキュリティコンサルティングに従事するとともに、生成AIに関するガバナンス体制整備やルール策定支援などの、AIガバナンス領域のコンサルティングにも携わる。
「シャドーAI」など多様なリスクに備える「生成AIガードレール」
『漏洩、誤回答——わが社の生成AI活用に潜む「思わぬリスク」とは？』記事でご紹介した「プロンプトインジェクション」や「ハルシネーション」が、どちらかというと生成AIの技術的な面に関わるリスクだとして、おもに活用する側に起因するリスクの典型が「シャドーAI」ではないでしょうか。これは、企業や組織が正式に許可していない生成AIを従業員が個人の判断で業務に利用した結果、予期せぬ情報漏洩やコンプライアンス違反が起こる――そのリスクを指す言葉であり、原因としては会社としてのAI活用ルールの不備、ルールを逸脱して自分に使いやすいAIサービスの使用、などが大きいと考えられます。
対策としては機密情報の漏洩に対する備えと同様、無料版・個人アカウントの可否を含めた「使っていい生成AI」、社内情報など「入力していいデータ」の共有・徹底とともに、サービスとしての「生成AIガードレール」が有効で、たとえば、アメリカの企業が開発・提供を行っている『WitnessAI』のような生成AIガードレールサービスもあります。こちらのサービスは社内ネットワーク上の生成AI利用状況をリアルタイムで可視化・監視し、接続された生成AIサービスの入出力を監視できることから、シャドーAIの検出はもちろん、RAG*を通じた情報漏洩や悪意あるプロンプトの侵入に対しても、有効な防衛策の一つだと言えるでしょう。
*RAG（Retrieval-Augmented Generation 検索拡張生成）・・・生成AIが本来持っていない社内データや専用データベースなど「外部情報」を検索・参照し、その内容を回答生成に反映させる技術
「AIガバナンス」の発想で、リスクを適切にハンドリング
ここまでお話ししたように、ビジネスにおける生成AIの利活用に関してはなお途上の面があり、想定されるトラブルも少なくありません。
そうした点を危惧されてのことでしょう。なかには「自社内での生成AI活用を全面的に禁止する」という声もあるようです。ただ、「使う／使わない」の二元論では、せっかくの便利なツールである生成AIの良さを活かせなくなるのに加え、禁止することで個人判断によるシャドーAIが広がるなど、かえってリスクが見えにくくなる恐れもあります。そうではなく、まずは使うことを前提に、想像し得るリスクをどこまで、どのように低減できるか――そうした「AIガバナンス」の視点に立つことこそ、建設的です。
リスクを嫌うあまり、便利さまで捨ててしまうのではなく、上手に「管理」しながら業務の効率化や生産性の向上、さらには個人と組織の創造力向上をはかる。その意味で、自動車にたとえるならAIガバナンスとはブレーキではなく、ハンドルのようなものではないでしょうか。より遠く、より安全に、より速く、ご自分のビジネスを前進させるためにも、皆さんには生成AIを使ってアクセルを踏みつつ、ルートから逸れないよう適切にハンドリングしていただきたいと思います。
生成AIのリスクをユースケースで評価、自社に必要十分な備えを
それでもなお、自社での生成AI活用に不安を感じているという方に、意識していただきたいのは「すべての生成AI活用を同じリスクで見ない」という姿勢です。
実際、生成AIにはリスクがつきものですが、現実的に見た場合、その度合いはユースケースによってかなり異なります。逆に言うと、生成AIが組み込まれているサービスのすべてが大きなリスクをはらんでいるわけではなく、個々のレベルに応じた対処をしていけばよい。そう考えていただければ、多少なりとも前向きになれるのではないでしょうか。
たとえば、社内向けの生成AIチャットサービスの場合、従業員が人事に関する質問を投げ、それに対する回答に多少の問題（ハルシネーションによる誤回答や不適切な出力など）があったとしても、社外への致命的なレピュテーションリスク（評価・信用に関わるリスク）に直結する可能性は比較的小さいと考えられます。一方、これが顧客向けの生成AIチャットサービスだった場合、誤情報の提供によって不利益が発生するようなことになれば、企業として法的・社会的責任を免れない可能性があります。
このように、同じ生成AI活用でもユースケースによって、想定されるリスクには大きな違いがあります。導入の際はそうした視点に立ち、まずは社内向け、それも特定部門の作業補助など、活用範囲を限定すると安心ではないでしょうか。そのうえで、規模の大きくない企業では自社のリソースに応じた必要十分なシステムを構築し、現実的なガバナンス方針に基づき、機密情報の漏洩など、最低限のリスク対策を講じることがおすすめです。
生成AIのビジネス活用、「はじめの一歩」はこの２つから！
以上を踏まえた具体的な生成AI導入、その「はじめの一歩」としては、２つのポイントが考えられます。
１つ目は、生成AIサービスのうち、『エンタープライズ』と呼ばれる企業向けプランの導入を検討することです。このサービスは、管理者による当該生成AIサービスの利用状況の把握、高度な暗号化などのプライバシーやセキュリティに配慮した機能を備えています。幅広いリスクに対応できますので、自社の「生成AIデビュー」には有効な選択肢になるでしょう。
２つ目は、システムを適正に運用するためのルールづくりと、その共有です。こちらもゼロからのスタートは難しいため、セキュリティの専門家へのコンサルの依頼やサービスの利用、それが難しい場合は既存のガイドラインを“ひな型”に検討していくといいでしょう。なかでも、一般社団法人日本ディープラーニング協会の「生成AIの利用ガイドライン」（※1）や、経済産業省の「AI事業者ガイドライン（第5部 AI利用者に関する事項）」（※2）はおすすめです。
システム、ルールともに肝心なのは一度導入して終わりにしないことで、そのためにも随時見直し、更新できる社内体制を整えておくべきでしょう。生成AIの技術進化には驚くべきものがあり、今日の常識が明日には通用しなくなることもしばしばです。活用の場やメリットが広がるにつれ、適切なリスク管理もまた必要になる――その点を念頭に置き、生成AIを心強いビジネスパートナーにしていただきたいと思います。
（※1） 一般社団法人日本ディープラーニング協会「生成AIの利用ガイドライン」
（※2）経済産業省「AI事業者ガイドライン」（2026年3月31日公表）
りそなBiz Actionではこれらの資料もご用意しております。ぜひご活用ください。
