答え公開済み2 時間前Last edited 2 時間前19 ソース

社員のAI利用に統制が追いつかない——シンガポール企業に広がる「シャドーAI」

シンガポールのDevSecOps関係者の60％がガバナンスとポリシー適用を最大の時間的負担とし、41％がAI生成コードの確認に多くのリソースを要すると回答した。 JFrogの調査では、未承認AIツールを禁じる方針がありながら、違反を検知する仕組みがない組織が18％に上った。

公開者GPT-6 Luna で編集GPT Image 2 で画像を生成

Studio Global AIで検索して事実確認さらにトレンドページを見る

研究の答え

重要なポイント

シンガポールのDevSecOps関係者の60％がガバナンスとポリシー適用を最大の時間的負担とし、41％がAI生成コードの確認に多くのリソースを要すると回答した。
JFrogの調査では、未承認AIツールを禁じる方針がありながら、違反を検知する仕組みがない組織が18％に上った。
対策には、ソースコードだけでなく、AIモデルや外部サービスを含むソフトウェアの構成要素を把握し、ルールを実際に適用できる体制が必要だ。

Editorial illustration representing the gap between workplace AI use and company governance controls — How is employee adoption of shadow AI outpacing governance controls in Singapore companies, and what do JFrog’s Sunny Rao and Splunk’s ChrisAn illustration of the visibility and enforcement challenges associated with shadow AI.
AI プロンプト
Create a landscape editorial hero image for this Studio Global article: How is employee adoption of shadow AI outpacing governance controls in Singapore companies, and what do JFrog’s Sunny Rao and Splunk’s Chris. Article summary: Employee use of unapproved AI is moving faster than Singapore companies can discover it, review its outputs and enforce internal rules, creating a gap between written governance and operational control. The reported cons. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com

社員が仕事でAIを使い始める速さに、企業の把握や確認、ルール適用が追いつかない——。シンガポールの調査結果は、AI利用のガバナンスが「規程を作ること」と「現場で機能させること」の間に隔たりを抱えていると示している。 3 5 6

課題はルールの有無より、実際に運用できるか

「シャドーAI」とは、組織の承認や管理の外で、社員が業務にAIツールを使うことを指す。仕事を早く進めるために使われる場合でも、ITやセキュリティ部門が利用状況を把握できず、どんな情報が入力されているか分からないことがある。 14

ポリシーが存在することと、違反を検知して対処できることは別だ。JFrogの調査によると、シンガポールでは、未承認のAIツールを禁じる方針を設けながら、違反を検知する仕組みを持たない組織が18％あった。 3

開発の速さが、確認作業を押し上げる

現在のアプリケーションは、社内で書いたソースコードだけでできているとは限らない。オープンソースのパッケージ、クラウドサービス、AI生成コード、AIモデル、外部企業のツールなど、さまざまな要素を組み合わせて作られる。管理対象も、それらを含むソフトウェアの「供給網」全体に広がっている。 5

JFrogの調査では、シンガポールのDevSecOps関係者の60％が、ガバナンスとポリシーの適用を最大の時間的負担に挙げた。また、41％はAI生成コードの確認に多くのリソースがかかると回答している。 5 これは回答者が感じている業務上の負担を示すもので、すべての企業でリスクの程度が同じだという意味ではない。

監査への備えにも課題がある。別の報道によれば、回答者の54％は、1つのアプリケーションについてコンプライアンスの証拠をそろえるのに少なくとも1週間を要したという。 7 アプリケーションの担当者を把握していることと、その構成要素や準拠状況をすぐに説明できることは、同じではない。

リスクはコード確認だけにとどまらない

承認されていないAIツールがセキュリティ管理の対象外にあると、社員がソースコードや顧客情報などの機密情報を入力し、組織の管理が及ばない場所へ送ってしまうおそれがある。シャドーAIでは、機密データが組織の管理を離れることがリスクとして指摘されている。 23 24

AIが生成したコードやその他の出力も、利用前の確認が欠かせない。シンガポールの調査は、AI生成コードの確認に相応のリソースが必要だと示している一方、誤りがどの程度、顧客や重要システムに到達しているかまでは明らかにしていない。 5

禁止ルールを設けるだけでは、利用状況が見えない問題は解消しない。社員が使い続けても検知できなければ、企業がルールを運用できているとは言えない。必要なのは、禁止事項を書面に残すだけでなく、AIの利用を把握し、ルールを現場で適用する仕組みだ。 3

ソースコードの先にある供給網を管理する

JFrogのSunny Rao氏は、現代のアプリケーションを、社内コード、オープンソースのパッケージ、クラウドサービス、AI生成コードやモデル、外部ツールなどを組み合わせたものとして説明している。この見方に立てば、セキュリティの確認対象はソースコードだけでなく、アプリケーションに取り込まれる幅広い構成要素となる。 5

SplunkのChristine Low氏は、AI活用を拡大しようとする企業が、コンプライアンス上の要請やデータガバナンスに加え、変化が続くなかでの運用負担にも直面していると指摘している。 4 こうした視点からも、AIの監督は開発者によるコード確認だけの問題ではない。データや依存関係を含め、変化するシステム全体を管理する必要がある。

企業が取り組めること

実効性のある対策では、利用状況や構成要素の可視化と、現場で適用できる管理策を結び付けることが重要だ。

アプリケーションの構成要素を把握する。 社内コードに加え、AIモデル、パッケージなどのソフトウェア資産も管理対象に含める。 5 8
ポリシー違反を検知し、対処できるようにする。 未承認ツールを禁じるだけでなく、実際の利用を把握する仕組みを整える。 3
コンプライアンスの証拠を出しやすくする。 担当者の記録に加え、構成要素や管理状況をすぐ確認できる情報を用意する。監査対応に時間がかかるという調査結果は、その必要性を示している。 7
AIの出力を通常のソフトウェア確認に組み込む。 生成が速いからといって、安全なリリースまで速くなるとは限らない。AI生成コードも評価・確認の対象として扱う。 5

JFrogは、AIモデル、パッケージ、プラグイン、AI生成物などを共通の記録基盤で管理する方法を提案している。 8 企業がどのツールを選ぶにせよ、重要なのは、ソフトウェアとAIの供給網を通じて「何が使われているか」の把握と「実際に適用できる統制」をつなぐことだ。

Studio Global AI

研究を続けてください

このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。

Studio Global AIで検索して事実確認

人々も尋ねます