[ITmedia エンタープライズ] AIエージェントがやらかしたら誰の責任？ 経営層までインシデントが届いた企業は8割

IBMの調査によると、欧州と中東の企業の8割で、AIに関連するインシデントが経営層まで届いていた。だが、それを受けてガバナンスを見直した企業は4割にとどまる。自律化が進むAIエージェントが失敗したとき、責任を負うのは誰なのか。

» 2026年10月20日 09時20分 公開

この記事は会員限定です。会員登録すると全てご覧いただけます。

　IBMは2026年10月14日（現地時間）、欧州と中東の企業を対象にしたAIガバナンスに関する調査の結果を発表した。英国やドイツ、サウジアラビアなど8カ国の経営幹部3200人超が回答した。

　回答者の80％は「過去1年間にAIに関連するインシデントが自社の取締役会や経営幹部にまで達した」と答えた。インシデントには、AIエージェントの障害やデータ漏えい、AIによる判断の誤り、AIのセキュリティ侵害が含まれる。ただし、インシデントを受けてAIガバナンスの方針や枠組みを変更した企業は、そのうちの40％だった。

　体制面では、回答者の98％が「自社の取締役会レベルでAIリスクの責任を正式に割り当てている」と答えた。一方で、2027年までにAIエージェントが判断にある程度の自律性を持つと見込む回答者は75％に上る。では、人間の承認を経ずにAIエージェントが判断し、その結果として不利益が生じた場合、責任を負うのは誰なのか。

AIエージェントの失敗、責任者は誰？

　IBMの調査では、AIエージェントが不利益な結果を招いた場合に誰が責任を負うのかについて、回答者の間で明確な合意は見られなかった。最も多く挙がった役職はCIO（最高情報責任者）またはCTO（最高技術責任者）だが、選んだ回答者は全体の17％にとどまる。IBMが公開した調査レポートによると、2番目に多かったのは経営陣全体で責任を共有するという回答（14.5％）だった。IBMは同レポートで、取締役会にAIリスクの責任を割り当てても、AIエージェントが不利益な結果を招いた際に誰が責任を負うのかは決まらないとしている。

　AIシステムが重大な損害を引き起こした場合の法的責任についても、回答は分かれた。AIを導入した企業とベンダーで応分に負担すべきだとする回答は20％、一般論では答えられないほど複雑だとする回答と、適切な規制の枠組みがまだ存在しないとする回答がそれぞれ19％、特定の経営幹部個人が負うべきだとする回答は15％、AIベンダーや技術の提供者が負うべきだとする回答は14％だった。

　2027年までに、人間が各段階で承認しなくても判断を下すAIエージェントを管理するために、経営幹部は次の4つが必要になると見込んでいる。

1. AIエージェントの障害に対するAIベンダーの責任を定める、法的または契約上の枠組み（33％）
2. 人間にエスカレーションする基準の明確化（32％）
3. AIエージェントの判断と行動のリアルタイム監視と監査証跡（30％）
4. 全社でAIエージェントの活動を即座に停止できる機能（29％）

　IBMは、経営層に報告されたインシデントがどう扱われたかも調査した。調査レポートによると、インシデントが取締役会や経営幹部に達したと答えた回答者のうち、そのレベルで正式に審査されたとする回答は43％、非公式に伝えられたとする回答は37％だった。インシデントの主な結果としてガバナンス方針の変更を挙げた回答は40％で、投資計画や導入計画の変更（38％）や外部アドバイザーの起用（37％）、規制当局への通知（35％）も同程度だった。

　AIの導入ペースがガバナンスやコンプライアンスの枠組みの準備を上回った場合の対応を尋ねた設問では、56％が合意済みのリスク許容範囲内で導入を続けると答えた。ガバナンスが整うまで導入を見送るとした回答は33％だった。エージェンティックAIを既に本番環境で運用している回答者は35％だった。現在のガバナンスの仕組みがエージェンティックAIの展開規模の拡大に対応できるように設計されていると答えた回答者は37％だった。

　その他の主な調査結果は次の通りだ。

• リスク管理の枠組みと財務リスクの定量化：　54％が生成AIツールとエージェンティックAIを別のリスク区分として扱い、それぞれ個別の枠組みで管理している。38％は共通の枠組みを使い、エージェンティックAIには追加の管理策を適用している。一方、AIガバナンスの不備が生む財務リスクを正式に定量化し、取締役会の審査を経ているのは37％だった。
• サプライチェーンのリスク：　54％が、主要ベンダーや技術パートナー、サプライチェーンの参加者が使うAIシステムやモデルを、自社のガバナンスの枠組みで十分にカバーできていないと認めた。第三者のAIリスクを継続的に監視しているのは21％、独立した保証や認証を要件にしているのは13％だった。
• 地域による違い：　EUでは、2027年12月に適用が始まる「EU AI法」（AI Act）の高リスクAIに関する主な義務を前に、41％がガバナンスへの投資を前倒ししている。35％は体系的なコンプライアンス計画に沿って準備を進めている。EU以外の地域でガバナンス投資の動機として最も多く挙がったのは、英国では業界ごとの規制当局の要請（27％）、サウジアラビアとアラブ首長国連邦（UAE）では国家AI戦略の要件（61％）だった。

　調査は、市場調査会社CensuswideがIBMの委託を受けて2026年9月14～24日に実施した。英国、フランス、ドイツ、イタリア、スペイン、オランダ、サウジアラビア、UAEの従業員1000人以上の組織を対象に、Cレベル（CxO）を含む経営幹部3221人が回答した。調査結果の詳細は、IBMが2026年10月に公開した調査レポート「The New Realities of AI Governance」（注1）にまとめられている。

Copyright © ITmedia, Inc. All Rights Reserved.
本記事は制作段階でChatGPT等の生成系AIサービスを利用していますが、文責は編集部に帰属します。

SpecialPR

注目のテーマ

人気記事ランキング

1. 不正アクセス多発、Gartnerが日本企業に「7つのアクション」を緊急提言
2. Microsoft、10月の月例更新で脆弱性1413件に対応　悪用確認済みの脆弱性は
3. バーガーキング、会員情報約1118万件が漏えい　顧客データを預かる企業が点検すべき3項目
4. 「銀のさら」最大650万件漏えいか　委託先ランサム被害で預けたデータ取り出せず　点検すべき4項目
5. Active Directoryが“人質”に　ランサムウェアを使わない恐喝攻撃の手口とは
6. 日本も標的、10億通のフィッシング　量産を支えた「見えない商流」
7. Googleの「AppSheet」を悪用した新手のフィッシング攻撃に注意　初回メールに不正リンクがない事例も
8. AIエージェントの業務管理、答えは「プロジェクト管理」にある？　NTTテクノクロスの「AI-PMO」構想を基に考察
9. タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ　公表が相次ぐ3週間に何が起きたのか
10. 「やっと前に進める」　VMwareから独立して2年、Omnissa竹下社長が語る守りから攻めへの転換