情シスが見落とすサードパーティーリスク

導入SaaSに潜む「勝手なAI追加」　ツールに潜むAIを暴く「6つの問い」

導入済みツールにいつの間にかAIが追加される「AIクリープ」が深刻化している。医薬品審査に学ぶ継続監視モデルと、ベンダーに突きつけるべき6つの必須質問を提示する。

　ベンダー各社が自社製品へのエージェント機能の追加を急速に進める中、第三者保証の手法は、定期的な評価から継続的な監視へと進化させる必要がある。

　サードパーティーベンダーが、顧客の十分な理解を得ないまま製品にAI機能を追加する「AIクリープ」が問題視されている。この現象は、Gartnerが開催した2026年のカンファレンス「Enterprise Risk, Audit ＆ Compliance Conference」で主要な論点となった。複数のセッションで、そうした変更がAIのリスクサーフェス（リスクの露出面）をどのように拡大させているかについて、IT部門やリスク管理チームの理解を促す議論が展開された。

　Gartnerでシニアディレクターアナリストを務めるデバンシュ・メロトラ氏は、自律型エージェントについてのセッションで、従来のサードパーティー保証は3つの前提に基づいていると指摘した。

• ベンダーが提供する機能の変化は緩やかである
• 重大な変更は契約上の開示によって通知される
• ベンダーの自己証明は製品の実態を正確に反映している

　しかし、エージェント型AIの登場は、これら3つの前提をことごとく覆す。メロトラ氏は米TechTargetの取材に、「ベンダー自身が追い付けないほどの速度で機能が進化する場合がある」と語った。

　そのためCIOやリスク管理チームは、サードパーティーリスクを特定時点の評価ではなく、継続的なプロセスとして捉え直す必要がある。単発の評価にとどまらず、ベンダーが追加したAI機能やその機能の実行権限、企業のリスクに及ぼす影響について、常に可視性を維持しなければならない。

　本記事では、厳格に規制された業界に学ぶ継続監視モデルと、ベンダーに突きつけるべき6つの必須質問を提示する。

規制の厳しい業界から手法を学ぶ

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「社内にAIエージェントは何個ある？」に答えられないリスク　“見えない資産”を掌握するシャドーAI時代の防衛策

• 

  「AIが勝手にポリシーを書き換えた」　CrowdStrikeが警告するAIエージェント暴走の悪夢

• 

  AIエージェントの暴走を本気で防ぐ――Ciscoが買収で監視基盤強化

• 

  AIエージェント導入を急ぐ企業を待ち受けるわな　「ガバナンスの空白」とは？

• 

  AIの「キルスイッチ」とは？　自律型AIの安全対策と米英で進む法規制の最新動向

新着ホワイトペーパー PR

• 製品資料
  [株式会社インターネットイニシアティブ] 人材不足と属人化が深刻に　「攻められない情シス」を変革する一手とは？
• 製品資料
  [株式会社イトーキ] 会議室が「空いてるのに使えない」問題の解決策とは？
• 事例
  [株式会社イトーキ] 製造現場を取り巻く経営課題　「持続的な現場力」を強化する方法とは？
• 製品資料
  [株式会社イトーキ] 社員の力を引き出す、「ABW（Activity Based Working）」を実現する秘訣とは？
• 製品資料
  [株式会社BREXA Technology] 「インシデント初動対応」が遅れる3つの構造的要因とは？