情シスが見落とすサードパーティーリスク

導入SaaSに潜む「勝手なAI追加」　ツールに潜むAIを暴く「6つの問い」

導入済みツールにいつの間にかAIが追加される「AIクリープ」が深刻化している。医薬品審査に学ぶ継続監視モデルと、ベンダーに突きつけるべき6つの必須質問を提示する。

　ベンダー各社が自社製品へのエージェント機能の追加を急速に進める中、第三者保証の手法は、定期的な評価から継続的な監視へと進化させる必要がある。

　サードパーティーベンダーが、顧客の十分な理解を得ないまま製品にAI機能を追加する「AIクリープ」が問題視されている。この現象は、Gartnerが開催した2026年のカンファレンス「Enterprise Risk, Audit ＆ Compliance Conference」で主要な論点となった。複数のセッションで、そうした変更がAIのリスクサーフェス（リスクの露出面）をどのように拡大させているかについて、IT部門やリスク管理チームの理解を促す議論が展開された。

　Gartnerでシニアディレクターアナリストを務めるデバンシュ・メロトラ氏は、自律型エージェントについてのセッションで、従来のサードパーティー保証は3つの前提に基づいていると指摘した。

• ベンダーが提供する機能の変化は緩やかである
• 重大な変更は契約上の開示によって通知される
• ベンダーの自己証明は製品の実態を正確に反映している

　しかし、エージェント型AIの登場は、これら3つの前提をことごとく覆す。メロトラ氏は米TechTargetの取材に、「ベンダー自身が追い付けないほどの速度で機能が進化する場合がある」と語った。

　そのためCIOやリスク管理チームは、サードパーティーリスクを特定時点の評価ではなく、継続的なプロセスとして捉え直す必要がある。単発の評価にとどまらず、ベンダーが追加したAI機能やその機能の実行権限、企業のリスクに及ぼす影響について、常に可視性を維持しなければならない。

　本記事では、厳格に規制された業界に学ぶ継続監視モデルと、ベンダーに突きつけるべき6つの必須質問を提示する。

規制の厳しい業界から手法を学ぶ

TechTarget発　先取りITトレンド

米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  「社内にAIエージェントは何個ある？」に答えられないリスク　“見えない資産”を掌握するシャドーAI時代の防衛策

• 

  「AIが勝手にポリシーを書き換えた」　CrowdStrikeが警告するAIエージェント暴走の悪夢

• 

  AIエージェントの暴走を本気で防ぐ――Ciscoが買収で監視基盤強化

• 

  AIエージェント導入を急ぐ企業を待ち受けるわな　「ガバナンスの空白」とは？

• 

  AIの「キルスイッチ」とは？　自律型AIの安全対策と米英で進む法規制の最新動向

新着ホワイトペーパー PR

• 製品資料
  [株式会社ビザスク] 製造業の新事業創出　成功の鍵は「タラレバ問題克服」と「3つの判断ポイント」
• 製品資料
  [日本シーゲイト株式会社] 実験のやり直しを防止　研究データ基盤に求められる高可用性ストレージとは
• 製品資料
  [株式会社Leaner Technologies] もっと安く買えるのに……　間接材購買で“コスト削減機会”を逃さないためには
• 製品資料
  [株式会社セールスフォース・ジャパン] フィールドサービスの熟練技術者が「AIエージェント」を求めている理由
• 製品資料
  [株式会社グリーンフィールド・オーバーシーズ・アシスタンス] 基礎から分かる「就労ビザ」　アメリカ進出を目指すなら知っておきたい取得戦略