Delineaの2026年版「Identity Security Report: The AI Enforcement Gap」は、AIがどのデータにアクセスしてよいかを定めるルールと、ルールを外れたアクセスを実際に見つける力との隔たりを指摘しています。
シンガポールについては、IT責任者の98.8%または98.9%が、過去1年にAIツールやAIエージェントが想定範囲を超えて機密データにアクセスした事例があったと回答しました。報道によって数値にわずかな違いがあり、提供資料からはどちらが正しいか確定できません。いずれの報道でも、調査対象となった8市場の中で2番目に高い割合とされています。これは調査対象市場内の順位であり、世界のすべての国を比較した順位ではありません。
2
3
5
7
調査の対象は?
Delineaによると、調査はIT・セキュリティ責任者2,254人と、非IT従業員2,250人を対象とした2つのアンケートで構成されています。回答者は、AIを利用する従業員500人以上の組織に所属していました。調査対象は8市場ですが、提供された資料の抜粋では、そのすべての市場名を確認できません。
1
2
ここで示されているのは、回答者が報告した事例の割合です。すべての組織のシステムを独立に監査して数えた違反件数ではありません。
ルールの整備と、違反の検知に隔たり
シンガポールの組織では、99.6%がAIのデータアクセスに関する正式な方針を定めていたと報じられています。しかし、アクセス範囲から外れた事象をリアルタイムで検知できるとしたIT責任者は14%でした。世界全体の比較値は19%です。また、違反の検知に丸1日以上かかる組織は72%に上り、調査対象市場の中で最も高いとされています。
5
つまり、方針を文書化していても、AIがその範囲内で動いているかを即座に把握できるとは限りません。問題の中心は、ルールの有無だけでなく、実際のアクセスを監視し、逸脱を見つける体制にあります。
世界全体でも、IT責任者の87%が、過去1年にAIツールまたはエージェントが想定範囲を超えて機密データにアクセスしたと回答しています。
1 別の報道では、世界の回答者の99.7%が正式なAIデータアクセス方針を持つ一方、従業員の76%が正式なAI承認手続きを回避したことがあるとされています。
17 この76%は世界全体の数字であり、シンガポールの割合を示すものではありません。
一部の数字は、提供資料だけでは確認できない
シンガポールの従業員の承認回避について「84%が少なくとも一度経験」「51%が常に、または頻繁に回避」とする数値や、許可されているか分からないまま機密情報をAIに使うよう圧力を感じた人の割合は、提供された資料の抜粋から裏付けを確認できません。また、機密情報に関するAI利用で個人名を指定した承認を求める組織の割合や、アクセス履歴を承認者個人までたどれる割合も確認できません。
こうした数字が報告書の詳しい資料に掲載されている可能性はありますが、ここで確認できる情報だけから確定した調査結果として扱うことはできません。確認できる範囲では、シンガポールで想定外のAIアクセスが頻繁に報告されたこと、そして正式なルールとリアルタイムの検知能力との間に隔たりがあることが、調査の主要な指摘です。
2
3
5