禁止と、野放しの間をつくる

企業のAI利用に対する統制は、いま二つの極に振れています。全面禁止か、実質的な放置かです。禁止は業務効率と競争力を失わせ、しかも現場は私物端末で使い始めるため、統制はむしろ不可視化されます。放置は、情報漏洩・誤った意思決定・監査不能という形で、後から一度に表面化します。

必要なのはその中間にある運用です。使わせながら、どこまで許すかを決め、決めた根拠を残し、状況が変われば取り消す。iOOzはこの運用そのものを製品にしています。

統制の単位を「承認」ではなく「条件付きの実行権限」に置いています。誰が要求し、何に対して、どの範囲で、いつまで有効か。そして、なぜそれを認めたのか。この一式を構造化されたデータとして記録します。

実行可否を allow / deny の二択にしないことも、初期から設計に入れています。機密部分を伏せたうえで通す、追加の根拠を求めたうえで通す、範囲を限定して通す——企業が本当に必要としているのは、止める機能ではなく、安全な側に倒しながら業務を続ける手段だからです。

現在は Phase 0、すなわち「見えるようにする」段階を開発しています。どこで、誰が、何を、どのAIへ送っているのかを記録し、リスクの一覧を作れる状態にすることが目標です。

そのうえで、条件付きの実行権限を人が発行できる段階、蓄積した判断からルールを最適化する段階、そしてAIエージェント同士の通信を対象にする段階へと拡張していきます。各段階で扱うデータの構造は最初から共通にしてあり、後から作り直さずに済む設計にしています。

統制製品それ自体が生成AIを含むため、社内基準として次を毎回確認しています。誤った出力が生じた場合の害の大きさ、人手レビューの要否、出力の評価方法、プロンプトインジェクションへの対策、コストと応答速度の成立性、そしてログ・監査・再現性の確保です。

自社が守れない基準を、顧客に売ることはできないと考えています。