デジタル主権という言葉からは、データの保存場所を思い浮かべる人は少なくないだろう。実際、「データ主権」はデジタル主権を構成する重要な要素の1つだ。

　ただし、デジタル主権の対象はデータだけではない。アンソニー氏は、AIシステムを考える際には、データに加えて「運用」「技術」「AIそのもの」についても、誰がコントロールしているのかを確認する必要があると説明した。

1．データ主権――「データはどこにあり、誰が使うのか」

　最初の論点はデータだ。AIが扱う情報には、従業員がアップロードする文書だけでなく、企業のデータベースや顧客情報、パーソナライズに利用するデータ、クラウドストレージ内の情報なども含まれる。

　アンソニー氏はデータについて、「どこに保存されているのか」「誰がアクセスできるのか」「どのように保護されているのか」といった点を確認する必要があると述べる。加えて、データにどの規制が適用されるのか、システム内の各処理でデータがどのように利用されるのかを把握することも重要だという。

　情シスがAIサービスを選定する際にも、「入力したデータがAIモデルの学習に利用されるか」だけを確認すればよいわけではない。データがシステム内をどのように移動し、その過程でどの事業者やシステムがアクセスする可能性があるのかまで確認する必要がある。

2．運用主権――「AIの処理はどこで動いているのか」

　次の論点は、アプリケーションやAIを実際に動かす基盤だ。AIシステムの裏側には、データセンターやクラウドリージョン、ネットワーク、ストレージ、GPUなどのコンピューティングリソースがある。オンプレミス、パブリッククラウド、ハイブリッド環境のいずれを採用するとしても、処理がどこで実行され、誰によって管理されているのかを把握する必要がある。

　アンソニー氏は運用面について、「ワークロードはどこに配置されるのか」「誰が環境を管理するのか」「誰がアクセスを制御するのか」といった点を確認すべきだと説明する。さらに、何を監視できるのか、サービスが利用できなくなった場合にどうなるのかが重要な論点だと強調する。

　AIによる判断やアクションを業務プロセスに組み込むほど、実行基盤に対する可視性は重要になる。クラウドサービスを利用していても、運用の全てをベンダー任せにするのではなく、自社がどこまで状況を把握し、制御できるのかを確認しておきたい。

3．技術主権――「そのベンダーから離れられるか」

　AIシステムを構成するのはAIモデルだけではない。ベクトルストアやAPI、AIフレームワーク、アルゴリズム、AIエージェント基盤、外部サービスなど、多様な技術が組み合わされている。依存する技術が増えるほど、自社がシステム構成を自由に変更できるかどうかも重要になる。

　アンソニー氏は技術主権について、「オープンでモジュール化されたアーキテクチャを維持し、不必要なベンダーロックインを避けることがポイントになる」と述べる。

　「コンポーネントを切り替えられるか。プロバイダーを変更した場合に大きな混乱が起きないか」（アンソニー氏）。こうした問いを投げかけ、将来的な選択肢を残すことが重要だと説明する。

　情シスであれば、AI製品の導入時に現在の機能や価格だけを比較するのではなく、「AIモデルを変更できるか」「クラウド事業者を変更した場合の影響はどの程度か」「特定のAIエージェント基盤に強く依存していないか」といった出口戦略まで確認しておきたい。

　規制やシステム要件は変化し、AI技術も更新し続ける。現状のシステム構成を維持できるかだけでなく、将来別の選択肢を取れるように設計しておくことが重要になる。

4．AI主権――「AIの判断を誰が統制するのか」

　最後の論点は、AIそのものに対する統制だ。デジタル主権はAI登場以前からある考え方だが、生成AIやAIエージェントの普及によって、企業が管理すべき対象はデータやシステム基盤だけでなく、AIモデルやその判断、実行結果にまで広がっている。

　従来のITシステムでは、あらかじめ決められたルールに沿ってデータを保存、検索、処理することが中心だった。一方、生成AIは入力された情報を基に新たな回答や判断結果を生成する。AIエージェントであれば、その結果を基に外部システムを操作し、何らかの処理を実行することもある。

　そのため企業には、「AIがどこで情報を処理しているのか」「どのAIモデルを利用しているのか」「そのモデルを誰が管理しているのか」といった点に加えて、「AIによる判断を後から確認できるか」「AIが実行した処理について誰が責任を負うのか」といった点まで確認する必要がある。アンソニー氏は、AIによってデジタル主権の対象が、データや運用、技術から“知能”の領域にまで広がったと説明している。

　特にAIエージェントを業務システムと接続する場合、単に生成結果の内容を確認するだけでは不十分だ。どのデータを参照し、どのAIモデルが判断し、どのツールを使って何を実行したのかを追跡できる状態にしておく必要がある。

　情シスにとって重要なのは、AIを「便利な外部サービス」として扱うのではなく、業務システムの一部として管理対象に組み込むことだ。AIの判断や実行内容を可視化し、必要に応じて停止、修正、監査できる状態を確保できるかどうかが、AI主権を考える上で重要なポイントになる。

本稿は、IBM Technologyが2026年9月1日に公開したWhat Is Digital Sovereignty? AI, Data & Control Explainedを基に作成しました。