人工知能（AI）は、組織の業務のあり方を大きく変えていますが、同時にセキュリティ、ガバナンス、真正性、説明責任に関する新たな課題も生み出しています。AI がさまざまなビジネスプロセスに組み込まれる中、IT およびセキュリティのリーダーには、AI システムに最初からトラストを組み込むための実践的な計画が求められています。

こうした変化への対応を支援するため、デジサートは IDC グループバイスプレジデントのフランク ディクソン氏と、デジサート最高製品責任者（CPO）のディーピカ チャウハンによる対談を開催し、AI のリスクから AI のトラストへ移行するために何が必要かを議論しました。 

ここでは、その対談から得られた7つの重要なポイントと、それらが AI を大規模に導入する組織にとって何を意味するのかをご紹介します。

AI 時代のトラスト構築に関する7つの重要な問い

AI の普及が進む中、組織はこの変化にどう対応しているのか。また、IT およびセキュリティの意思決定者が知っておくべき重要なポイントは何か？

組織は AI の実験段階を脱し、ビジネスプロセス、顧客体験、業務ワークフローへの AI の組み込みを始めています。課題となるのは、イノベーションと適切なガバナンスおよびセキュリティを両立させることです。 

AI の導入を抑制しようとするのではなく、IT およびセキュリティチームは、ビジネス部門が安全にイノベーションを進められるよう、信頼できるフレームワークやガードレール、承認された利用経路の構築に注力すべきです。成功するのは、可視性、説明責任、制御を維持しながら AI の活用を可能にする組織です。

スムーズな移行に活用できる既存の基盤や標準には、どのようなものがあるか？

すべてを一から作り直す必要はありません。AI のトラストを確立するために必要な技術の多くはすでに存在し、数十年にわたって実績を積んでいます。PKI、DNS、暗号技術に基づく ID、ワークロード ID、アテステーションといった仕組みは、これまでユーザ、デバイス、アプリケーションの保護に利用されてきたのと同様に、AI システムにも拡張できます。まったく新しいトラストモデルを構築するのではなく、こうした確立済みの基盤を活用することで、信頼できる AI 環境を構築できます。

組織がエージェンティック AI を大規模に導入する中、AI エージェントのセキュリティとガバナンスの仕組みを構築するうえで重要な課題は何か？

最初の課題は可視性です。多くの組織では、どのエージェントが稼働しているのか、どのデータにアクセスできるのか、誰の認証情報を使用しているのか、必要な場合にどう停止できるのか、といった問いに明確に答えられません。エージェントの導入が拡大するにつれ、より強固なガバナンス、説明責任、監督体制が必要になります。責任の所在を明確にし、エージェントの動作を把握し、管理・制御する仕組みを構築することが、シャドー AI への対応とリスク低減に向けた重要なステップです。

AI エージェントの ID と制御に関するベストプラクティスとは？

AI エージェントはワークロードであり、そのエージェントが何者なのか、何を許可されているのか、誰が責任を負うのかを組織が正確に把握できる、強固で検証可能な ID が必要です。共有認証情報や静的なアクセス制御に依存するのではなく、暗号技術に基づく ID、短期間有効な認証情報、ポリシーベースの認可を使用する必要があります。ID はガバナンス、所有者、制御の仕組みと連携させ、エージェントが承認された範囲内で動作し、必要に応じて監視、管理、失効できるようにする必要があります。

重要な意思決定に複雑な独自 AI モデルが利用されるケースが増える中、AI モデルの導入と保護における主な課題は何か？

AI モデルには、完全性、保護、ガバナンス、トラストに関する課題があります。モデルの作成者は価値ある知的財産を保護する必要がある一方、モデルの利用者は、モデルが改ざんされておらず、意図したとおりに動作していることを確認できなければなりません。また、組織は推論時に使用される機密データを保護するとともに、モデルの来歴（provenance）とライフサイクル管理を可視化する必要があります。AI エコシステムの分散化が進むにつれ、モデルの完全性の確保と実行環境の保護がますます重要になります。

合成メディアが広く普及した現在、どのようなトラスト上の課題が生じており、どう対処すべきか？

課題は、単にコンテンツが本物か偽物かを判定することではありません。コンテンツがどのように作成され、その後どのように変更されたのかを透明化することです。コンテンツを誰が作成したのか、どのツールが使用されたのか、変更が加えられたのか、どこから来たのかを知りたいというニーズが高まっています。 

C2PA などの標準では、検証可能な来歴情報をデジタルメディアに付与することで、こうした透明性を実現します。その目的は、コンテンツの出所と履歴をより明確に把握できるようにし、受け手が信頼性について十分な情報に基づいて判断できるようにすることです。

IT およびセキュリティ担当者が次に取るべきステップは？

組織はまず、エージェント、モデル、AI 対応アプリケーションなど、自社環境にすでに存在する AI システムを把握することから始める必要があります。そのうえで、導入の拡大に合わせて拡張できるガバナンス、責任体制、セキュリティ制御を確立します。AI が組織全体に広がってから事後的に対応するのではなく、リーダーは可視性、説明責任、制御を維持しながらイノベーションを支える、信頼できるフレームワークとガードレールを先回りして構築する必要があります。

AI のトラストを構築する方法

AI の導入は急速に進んでおり、組織には AI システムに最初からトラストを組み込むための実践的な方法が必要です。実績のあるトラストモデル、新たな標準、AI エージェント、モデル、コンテンツを保護するための具体的なステップについて詳しくは、オンデマンドウェビナをご覧ください。