平均的なGlobal Fortune 500の企業は、2028年までに15件未満だった現在から、150,000以上のAIエージェントを稼働させる見込みだ。つまり混乱の余地は十分にある。調査会社ガートナーは、適切な統治がなければ、それらのエージェントは増殖し、手に負えない状態になってしまうと述べている。
ガートナーの研究者によれば、AI導入から価値を引き出すには統治が鍵だという。同社は今週ロンドンで開催された「Digital Workplace Summit」のために、この問題を深掘りした。
「CIOやITリーダーが、自社組織全体でAIエージェントが爆発的に増えているのを目にする中で、多くの企業が統治されていないエージェントの“増殖”に対処している」と、ガートナーのシニア・ディレクター兼アナリストであるMax Goss氏はサミットで語った。
ガートナーが調査した組織の半数は、社内のAI導入を低リスク、または信頼できるユーザーに限定していたが、その一方で同じ組織は、強い統治のもとでより広くアクセスを拡大した企業に比べて、自社の生成AIツールから高いリターンを報告しにくかった。アクセスをより広く受け入れている導入企業のほうが、高い価値を報告する可能性が3.3倍高かったという。
アクセスを制限するだけでは、統治ではないと分析会社は主張する。
データによれば、第三者の統治ツールに投資していた組織は、AI導入からより高い価値を報告する可能性がほぼ2倍だった。
ガートナーの統治モデルは、2層構造を求めている。最上位には、CIO、CISO、チーフAIオフィサー、エンタープライズアーキテクト、法務およびビジネスリーダーが配置される集中型のAI統治委員会があり、そこで戦略と方針を定める。その下では、各アプリケーション領域に組み込まれた運用統治チームが、それらの方針を各プラットフォームに対する具体的な統制へと落とし込む。
CRMやERPなどのエンタープライズソフトウェアから、Microsoft 365 Copilotのようなデジタル・ワークプレイスのツールに至るまで、AIエージェントが急速に広がっており、アナリストはこれを「エージェントの急増（agent sprawl）」と呼んでいる。つまり、自律型のAIツールが入り組んで組織を、誤情報、データ喪失、そしてITの複雑性の肥大化にさらしてしまう状態だと、Gartnerは述べた。
Gartnerが360人のITアプリケーション・リーダーを対象に実施した2025年調査によれば、「完全に自律的なAIエージェント」を検討している、試験導入している、あるいは導入していると回答したのはわずか15％だった。また、組織全体として適切なガバナンスが整っていると考えているのは13％にとどまる。
GoogleとServiceNowの最近の発表は、「エージェントを作り出す」だけでなく「エージェントを制御（封じ込める）」ことにもつながると強調している。OktaとCommvaultは、エージェントを追跡する方法をそれぞれ導入しており、さらにCommvaultの場合は、エージェントの行動を巻き戻す手段も提供している。
Gartnerは、AIエージェントの増殖を抑え込むための枠組みを示した。
組織は、エージェントがいつどのように作られるのか、誰がそれを作成・共有できるのか、そしてどのデータにアクセスできるのかを定義する明確なガバナンス方針を確立する必要がある。組織は、企業内に存在するすべてのエージェントの集中管理されたインベントリ（目録）を構築すべきだ。分析会社は、AI TRiSM（AI trust, risk and security management）と呼ぶカテゴリのAI信頼・リスク・セキュリティ管理ツールを使って、承認されたプラットフォームだけでなくシャドーAIの導入状況にまたがってエージェントを発見し、カタログ化することを推奨している。
- 誰もがAI電話を必要とする。いや、やめないでください、本当です
- 地域インターネットレジストリは、当事者の誰かが暴走するのを防ぐために取り組んでいる
- 経営層はAI利用を制御するルールを作り、その後自分の仕事のために破る
- AIの現実チェック：財布、家、ゲームを作った3社が学んだこと
組織が「何を持っているか」を把握できれば、各エージェントのリスク・レベルに応じた適応的な制御を適用し始めることができる。
Gartnerは、すべてのエージェントに定義されたID、明確な権限のセット、そしてライフサイクル計画が必要だとしている。つまり、最小権限のアクセスを強制し、たまり続ける前に冗長なエージェントを廃止することになる。
企業は、エージェントの振る舞いを継続的に監視する方法を見つける必要がある。利用パターンを追跡し、異常を検知し、エージェントが自らの範囲を逸脱してドリフトする場合にはそれを是正する。
Gartnerのアナリストは、責任あるAIの教育はサイバーセキュリティ教育と同じくらい不可欠になり、また、必須のセキュリティ・プログラムに組み込まれる可能性が高いと述べた。®
