AIのリスクを取締役会にどう説明するか

検知件数を並べても、決裁は下りません。先月は847件でした、と報告しても、それが多いのか少ないのか、取締役には判断できないからです。この記事では、集めた記録を、金額と責任の言葉に翻訳する方法をまとめます。

なぜ件数だけでは伝わらないのか

取締役会が決められるのは、予算を出すか、体制を変えるか、リスクを受け入れるかのどれかです。どれも、何がどのくらい起きそうで、そのときいくらくらい損をするのかを知らないと判断できません。

検知件数は、そのどちらでもありません。頻度でもないし、金額でもない。測っているのは、自分たちが仕掛けた網に何件かかったかだけです。条件を変えれば増えるし、減ります。

翻訳の手順は3つです。外部の数字で規模を示し、自社の記録でそれが自分たちにも当てはまることを示し、法令とガイドラインで、それが誰の責任かを示します。

使える外部の数字

国内向けに一つだけ選ぶなら、IPA の10大脅威です。海外ベンダーの調査よりも、日本の経営層には通ります。経営者層向けの対策欄に、未許可のAIサービス利用の禁止と、AIガバナンスおよびサービス利用規定の整備が明記されています²。

数字を使う前に、定義を確かめる

取締役会では、どこの数字かと必ず聞かれます。同じように見えて定義が違う数字が出回っているので、ここは慎重にやってください。

例を二つ挙げます。IBM の前年版には、シャドーAIでコストが67万ドル高いという数字がありますが、これは全体平均との差ではなく、シャドーAIの利用が多い組織と少ない組織の差です。今年の539万ドルと並べて推移のように見せると、別の指標をつないでしまいます。

国内の生成AI利用率も、調査によって大きく違います。回答者を大企業の管理職に寄せた調査では8割を超えます。一方、万単位の企業に聞いた調査では3割強です。自社の規模に近いものを選んでください。

日本の取締役会が負っているもの

AI事業者ガイドラインには、経営層の責任は大きく、リーダーシップを発揮することが重要だとも書かれています。単なるコストではなく先行投資として捉えることが重要、という記述もあります⁸。予算の話をするときに使えます。

なお、法令の解釈は会社の状況で変わります。実際に資料に載せるときは、法務の確認を取ってください。

自社の数字を4つ用意する

外部の数字だけでは、うちは違う、で終わります。監視を数週間回せば、次の4つは出せます。

• 社内で実際に使われているAIの一覧と、そのうち会社が承認していないものの数。
• 機密情報が外へ送られた件数と、その情報区分。個人情報なのか、ソースコードなのか。
• 会社アカウントと個人アカウントの内訳。規程で禁じているなら、守られているかの答えになります。
• 事故が疑われたとき、誰が、いつ、何を送ったかを記録から説明できるか。できないなら、できないと書く。

四つ目が一番効きます。IBM の調査で侵害の封じ込めに247日かかっているのは、誰が何をしたかを調べるところで時間を使っているからです¹。記録がないという事実は、それ自体がリスクです。

報告の型

毎回同じ項目で出すと、増えたか減ったかが分かるようになります。項目を毎回変えると、比べられません。

1. 利用の実態。何が使われ、うちどれだけが承認外か。
2. 情報の流れ。どの区分の情報が、どこへ、どのくらい。
3. 規程との距離。禁じていることのうち、実際に止められている割合。
4. 止めているもの。警告やブロックの件数と、業務への影響。
5. 次の手。何をいつまでに、いくらで。

三つ目が、取締役会にとっては一番重い項目です。規程があるのに守られているか分からない状態は、体制の不備として説明を求められます。