このシリーズでは、情報漏えい、シャドーAI(会社が把握していないAI利用)、AIへの指示のすり替え、エージェントの権限管理、ディープフェイク詐欺と、さまざまなリスクを見てきました。振り返って気づくのは、これらが情報システム部門だけの話ではなかったことです。データの線引きは法務に、送金の手順は経理に、利用ルールの浸透は人事や現場に、記録の検証は監査にまたがります。AIセキュリティは、生まれつき部門横断のテーマなのです。
ここに落とし穴があります。「みんなの仕事」は、放っておくと「誰の仕事でもない」に転じます。全部門に関係があるからこそ、どの部門も自分が主担当だとは思わない。今回は、この宙ぶらりんを解消するための「所管の決め方」を考えます。
なぜ所管が決まらないのか
多くの会社の部門の境界線は、AIが登場する前に引かれています。セキュリティはCISO(最高情報セキュリティ責任者)や情報システム部門、コンプライアンスは法務、新技術の活用推進はDX部門。この線引き自体は合理的ですが、AIセキュリティはちょうど三つの領域が重なる場所、言い換えれば三つの部門境界の「すき間」に落ちます。
セキュリティ部門から見れば「AIの活用は推進部門の話」、推進部門から見れば「セキュリティは専門外」、法務から見れば「技術的なことは判断できない」。それぞれの言い分はもっともで、誰かが怠けているわけではありません。実はこれは新技術が現れるたびに繰り返されてきた構図で、クラウド利用でも個人情報保護でも同じことが起きました。放置した場合の結末も同じです。インシデントが起きてから、責任の押し付け合いが始まります。
もうひとつの要因は、AIセキュリティが「守り」と「攻め」の両方の性格を持つことです。純粋な守りの仕事なら既存のセキュリティ部門に任せれば済みますが、AIは業務改善や競争力に直結するため、締め付けすぎれば会社の成長機会を失います。守りの論理と攻めの論理の両方を扱える置き場所が、既存の組織図にはなかなか見当たらない。これが所管決めを難しくしている本質です。
現実的な3つのパターン
所管の置き方に唯一の正解はありませんが、実務上は次の3パターンに集約されます。
- (1) CISOの管掌を拡張する: すでにCISOやセキュリティ専任部門がある会社に向きます。既存のセキュリティ体制・報告ラインをそのまま使えるのが強みです。弱点は、活用推進の視点が弱くなり「とにかく禁止」に傾きやすいこと。
- (2) AI委員会(部門横断の会議体)に持たせる: セキュリティ・法務・推進・現場の利害をひとつのテーブルで調整できます。弱点は、会議体は意思決定が遅くなりがちで、専任の事務局がいないと実務が回らないこと。
- (3) DX・AI推進部門に持たせ、セキュリティ・法務が支える: 活用と統制を一体で回せるため、専任のCISOを置けない規模の会社では最も現実的です。弱点は、推進部門が自分の案件を自分で審査する形になり、ブレーキが甘くなりうること。
選ぶ基準は会社の規模と既存体制です。セキュリティ組織が成熟しているなら(1)、複数部門の力関係が拮抗しているなら(2)、AI活用がまだ立ち上げ期で身軽に動きたいなら(3)が出発点になります。また、これらは排他的ではありません。実際には「推進部門が日常を回し、四半期に一度AI委員会が全体を見る」といった組み合わせに落ち着く会社が多く、成長に応じて形を変えていけばよいのです。大事なのはどれを選ぶかより、どれかに決めて空白をなくすことです。
役割分担は「4つの機能」で考える
所管を決めたら、次は中身の分担です。おすすめは、AIセキュリティの仕事を4つの機能に分けて整理することです。すなわち、ルールを決める「方針決定」、日々の利用を見守る「日常の統制」、問題が起きたときに動く「インシデント対応」、決めたことが守られているかを確かめる「監査」です。
この4つそれぞれについて、誰が主担当で、誰が支援に回るかを一枚の表にします。RACI(責任分担表。誰が実行し、誰が最終責任を負い、誰に相談し、誰に報告するかを整理する手法)の考え方を簡略化したものと思ってください。たとえば「方針決定は役員会が主担当でAI委員会が原案を作る」「日常の統制は推進部門が主担当で情報システム部門が支える」「インシデント対応は情報システム部門が主担当で法務と広報が支援」「監査は内部監査部門または外部の専門家」といった一行ずつの整理で十分です。
ここでの要点は、完璧な体制図を描くことではなく、「空白のマスがない」ことを確認することです。経験上、空白になりやすいのはインシデント対応と監査です。平時の推進やルール作りは手を挙げる部門があっても、「夜中にAI経由の情報漏えいが発覚したとき、最初に電話を受けるのは誰か」は決まっていないことが多い。また監査は、日常の統制を担う人と同じ人にやらせると自己採点になってしまうため、別の人を立てることだけは守ってください。
会議体の設計 ― 形骸化させないために
どのパターンを選んでも、関係部門が集まる場は必要になります。頻度は、最初は月次で十分です。議題は欲張らず、4つに絞ります。AI利用状況の報告、インシデントやヒヤリハットの共有、ルールの改訂、新しいツールや外部接続の承認。この4つが毎月回っていれば、統制としては十分に機能します。
会議体の最大の敵は形骸化ですが、その原因の多くは報告負担の重さにあります。立派な報告資料を要求すると、現場は「会議のための資料作り」に疲れ、やがて報告そのものが形式化します。報告フォーマットは意図的に軽くする。A4一枚、数字は3つまで、といった上限を決めるくらいでちょうどよいのです。報告のハードルが低いほど、悪い知らせが早く上がってくるようになります。
もうひとつのコツは、会議に「決める仕事」を必ず持たせることです。報告を聞くだけの会議は数回で空洞化しますが、新規ツールの利用可否やルール改訂といった判断がその場で下る会議には、各部門が真剣に人を出します。逆に、月次を待たずに判断が必要な案件のために、責任者が単独で仮決定し次回に追認を得る、という早道も決めておくと、会議体がスピードの足かせになりません。
経営としての初動 ― 次の役員会で10分、名前を決める
ここまで読んで「体制図を作らなければ」と構える必要はありません。初動はもっと軽くできます。次の役員会で「AIセキュリティの一義的な責任者は誰か」を10分だけ議論し、名前を一人決める。これだけです。組織図の改訂も、規程の整備も、委員会の設置も後からでかまいません。
名前が決まると、不思議なほど物事が動き始めます。現場の相談や報告がその人に集まり、判断が積み上がり、必要な体制の形が自然と見えてくるからです。逆に名前を決めないまま体制論を続けると、議論だけが空転します。完璧な人選である必要はありません。走りながら支援体制を足していけばよいのです。なお、責任者を決めたら次に押さえるべきは規制の動向です。EUや日本の法制度がどこまで来ているかは、次回のAI規制の現在地で整理します。
DSB Consultingでは、AIガバナンス体制の設計や、自社の規模に合った役割分担表づくりを支援しています。誰に何を持たせるべきか迷ったら、無料相談をご利用ください。