AIを安心して使い続けるために——C認証とGENFLUX Securityで支える企業のAIガバナンス
- 2 時間前
- 読了時間: 10分
企業のAI活用は、すでに「使うかどうか」を議論する段階を越えつつあります。ChatGPTやClaudeのような生成AIだけでなく、日々使っているSaaSや業務ツールにもAI機能が組み込まれ、社員が意識しないうちにAIを使う場面は増え続けています。
一方で、「自社でどのAIが、誰に、どのように使われているのか」を把握できている企業は、まだ多くありません。便利さが先行する中で、情報漏洩や誤用、説明責任といったリスクへの認識が追いついていないケースもあります。
こうした状況の中で、AIガバナンスの体制を整える一つの入口となるのがC認証です。では、ElithはなぜC認証取得支援を事業として位置づけ、そこにどのような可能性を見ているのでしょうか。
今回は、ElithのCAIO下垣内がC認証取得支援の立ち上がりを知る村上に、事業化の背景、企業のAIリスクに対する課題認識、そしてC認証とGENFLUX Securityをつなげていく意義について聞きました。
C認証取得支援は、どのような背景から始まったのでしょうか？
村上：もともとは、生成AIの活用が広がる中で、企業が安心してAIを使うための仕組みが必要になるという問題意識がありました。
生成AIを業務で使う企業は増えていますが、その一方で、情報漏洩や誤用、利用状況の把握といったリスクにどう向き合うべきかは、まだ十分に整理されていない部分が多くあります。AIを使うこと自体は当たり前になっていくのに、その利用をどう管理し、どう説明するのかという仕組みが追いついていない。
そうした中でElithでは、AI活用の信頼性を第三者の視点で確認できる仕組みが必要になるのではないか、という構想を早い段階から考えていました。生成AIでの情報漏洩や誤用に対する保険的な考え方、海外で進んでいるAIアシュアランスの流れも踏まえながら、「企業が安心してAIを使っていると示せる認証が必要になる」という議論をしていたんです。
その問題意識を、関係企業や有識者の方々との議論を重ねる中で、JDLA側での制度化の流れと重なって、C認証という形につながっていきました。なので、Elithとしては後から制度に乗ったというより、かなり初期から「こういう認証が必要になる」と言い出し、形にしていく側にいたという感覚が強いです。
C認証は、単に「認証を取る」ための制度ではなく、企業が自社のAI利用状況を見直し、リスクを把握し、必要な体制を整えていくためのきっかけになるものだと思っています。Elithとしても、AIガバナンスやAIセキュリティに取り組む会社として、この領域に関わることは自然な流れでした。
下垣内：そこは、Elithらしいところですよね。AIをつくる側、使う側、守る側の全部を見ているからこそ、「便利になりました」で終わらせずに、「では企業は何を説明できる状態にしておくべきなのか」まで考える必要がある。
GENFLUX Securityもまさにその延長線上にあります。AI活用が進むほど、企業の中で使われるAIは急速に増えていきます。実際、AIツールはすでに5万件以上存在するとされており（出典：Z Platform「How Many AI Tools Are There?」）、既存のSaaSにもAI機能が次々と組み込まれています。そうなると、社員がどのAIを使い、どの情報を入力しているのかを、人がアンケートやヒアリングだけで把握し続けるのは現実的にかなり難しい。だからこそ、社内でどんなAIサービスが使われているのか、どこにリスクがありそうなのかを、継続的に見えるようにする仕組みが必要になると考えています。
実際に企業を支援する中で、どのような課題を感じましたか？
村上：一番大きかったのは、企業側のAIリスクに対する認識が、思っていた以上に追いついていないことです。
たとえば、AIサービスに入力した情報がどのように扱われるのか、モデルの学習に使われる可能性があるのか、コンテンツモデレーションの過程で人が確認する可能性があるのか。AIに関わっている会社であれば当たり前に気にするようなことでも、一般企業ではほとんど意識されていないケースがあります。
しかも、それは現場の社員だけではありません。DX部門やIT部門であっても、AI特有のリスクを十分に把握できていないことがあります。
企業にとってAIは便利な道具です。便利だから使う、業務が早くなるから使う。その感覚自体は自然なことです。ただ、便利さが先に立つと、「何を入力してはいけないのか」「どのAIを使ってよいのか」「出力をどこまで信じてよいのか」といったリスクの議論が後回しになってしまいます。
だからこそ、C認証の取得支援を通じて、まずは自社の現在地を知ってもらうことが重要だと感じています。
企業がAIガバナンスを整備する際、まず何から始めるべきでしょうか？
村上：自社でどのAIが使われていて、どのような情報が入力され、どのようなルールで管理されているのかを把握することです。
C認証の取得プロセスでは、AI利用に関する規程やAIサービスの一覧、リスクアセスメント、リスク対応策などを整理していきます。これらをつくる過程で、企業は初めて「自社ではこんなAIが使われていたのか」「この利用にはこういうリスクがあったのか」と気づくことがあります。
重要なのは、完璧な体制を最初からつくることではありません。まずは、自分たちがどこにいるのかを見えるようにすることです。
AIガバナンスは、抽象的な理念だけでは機能しません。実際に使われているAI、実際に入力されている情報、実際に判断に使われている場面を見たうえで、会社としてどこまで許容し、どこから制限するのかを決める必要があります。
C認証は、そのAIガバナンスのコアになる部分の整理を進めるうえで、非常にわかりやすい目標になると思っています。
支援を通じて、企業側の意識は変わっていくのでしょうか？
村上：変わっていくと思います。
最初は「認証を取るために何をすればいいですか」という入り方でも、支援を進める中で、自社のリスクを自分たちで判断することの難しさに気づく企業は多いです。
たとえば、AIの利用ルールをつくるにしても、単に「使ってよい」「使ってはいけない」と決めれば終わりではありません。どの業務で使うのか、どの情報を入力するのか、出力をどう確認するのか、問題が起きたときに誰が責任を持って対応するのか。実際に考えるべきことは多くあります。
その過程で、「自社だけで判断し続けるのは難しい」「認証取得後も継続的に見直す必要がある」という認識が生まれていきます。実際に、認証取得後の伴走支援や運用改善について相談いただくこともあります。
C認証は、取得して終わりではありません。むしろ、取得してから実際の運用が始まります。そこに気づいてもらえることが、支援の大きな価値だと思っています。
認証取得後の運用で、特に難しい点はどこにありますか？
村上：AI利用の状況が、常に変わり続けることです。
認証取得時点でAIサービスの一覧をつくり、規程を整えたとしても、半年後、1年後には状況が変わっています。新しいAIツールが出てきますし、既存のSaaSにもAI機能が追加されていきます。社員が個人の判断で使い始めるAIもあります。
つまり、認証を取った瞬間の状態を固定しても、それだけでは十分ではありません。AI利用の棚卸しやルールの見直しを、継続的に行う必要があります。
特に難しいのが、会社が把握していないAI利用、いわゆるシャドーAIです。社員は悪意を持って使っているわけではなく、業務を効率化するために使っていることが多い。ただ、会社として見えていない以上、どの情報が入力され、どんな判断に使われているのかを管理できません。
ここを人手だけで追い続けるのは、かなり難しいと思っています。
下垣内：しかも今は、生成AIサービスだけでなく、普段使っている業務SaaSにもAI機能が入り込み始めています。現場からすると「いつものツールを使っているだけ」でも、会社としてはAIに情報が処理されている可能性がある。
だからこそ、利用申請やヒアリングだけではなく、社内のAI利用を継続的に把握できる仕組みが必要だと考えています。
そこでGENFLUX Securityとの接続が重要になるのでしょうか？
村上：はい。C認証でAIガバナンスの土台を整え、GENFLUX Securityでその後の運用を支える、という接続はとても自然だと思っています。
認証取得時に整理したAI利用の状況やリスクは、取得後も継続的に見直していく必要があります。そこを仕組みとして支えられることが、Elithとして提供できる価値だと考えています。
下垣内：GENFLUX Securityでやろうとしているのは、企業のAI利用を「禁止するために監視する」ことではありません。むしろ、企業がAIを使い続けるために、見えていない利用状況を見えるようにすることです。
たとえば、ChatGPTやClaudeのようなわかりやすい生成AIだけでなく、議事録ツール、CRM、チャットツール、デザインツール、開発支援ツールなど、普段使っている業務ツールの中にもAI機能が入ってきています。現場の人にとっては「いつものツールを使っているだけ」でも、会社として見ると、そこにAI処理や外部送信、学習利用、権限管理のリスクが関わっている可能性があります。
GENFLUX Securityは、そうした社内のAI利用を棚卸しし、どのサービスが使われているのか、どの部署や端末で利用が広がっているのか、管理対象にすべきAIが増えていないかを把握するための基盤です。C認証の取得時にはAIサービス一覧の作成やリスク整理に使えますし、取得後は更新に向けた継続的なモニタリングにも活用できます。
認証は一時点のチェックですが、AI利用は日々変わります。だからこそ、C認証で「何を管理すべきか」を整理し、GENFLUX Securityで「実際にどう使われているか」を見続ける。この組み合わせがあることで、AIガバナンスを書類上のものではなく、実際に運用できるものにしていけると思っています。
C認証は、今後どのような意味を持つようになると思いますか？
今後、C認証の意味は大きくなっていくと思います。
C認証は、比較的短期間で取得を目指せる認証です。だからこそ、AIを活用している企業にとって、一定の体制を整えていることを示すわかりやすい材料になっていく可能性があります。
今はまだ、「取得していると先進的」と見られる段階かもしれません。ただ、AI活用がさらに当たり前になれば、将来的には「なぜ取得していないのか」「AIを使っているのに、なぜ体制を示せないのか」と問われる場面も出てくるかもしれません。
特に、顧客情報や機密情報を扱う企業、取引先に対して説明責任を負う企業にとっては、AIガバナンスの体制を示せることが信頼につながっていくと思います。
AI活用は、現場任せにできるテーマではなくなっています。インシデントが起きたとき、経営として何を把握し、どのような体制を整えていたのかを説明できるか。そこまで含めて、企業の信頼が見られる時代になっていくのではないでしょうか。
最後に、これからC認証を検討する企業に伝えたいことはありますか？
C認証は、AI活用を止めるためのものではありません。むしろ、企業がAIを安心して使い続けるためのものです。
AIはこれからも業務の中に入り込んでいきます。生成AIだけでなく、普段使っているツールやシステムの中にもAI機能が組み込まれていきます。その流れを完全に止めることは現実的ではありません。
だからこそ大事なのは、「使わせない」ではなく「安全に使える状態をつくる」ことです。
自社でどのAIが使われているのかを把握する。どのようなリスクがあるのかを整理する。必要なルールや体制をつくる。そして、取得後も継続的に見直していく。
C認証は、その第一歩として非常に有効だと思っています。さらにElithは、認証取得の支援だけでなく、その後の運用やAIセキュリティまで含めて支援できます。
AIを使うことが当たり前になる時代だからこそ、企業には「自社は責任を持ってAIを使える」と説明できる状態が求められます。その状態を一緒につくっていくことが、ElithがC認証取得支援に取り組む意味だと思っています。
締め
C認証は、企業にとって単なる取得目標ではなく、自社のAI活用を見直すための入口です。
どのAIを使っているのか。どのような情報が入力されているのか。どのリスクを許容し、どのリスクに対応するのか。そして、何かが起きたときに説明できる状態をつくれているのか。
AI活用が当たり前になるほど、こうした問いに答えられることが、企業の信頼につながっていきます。
Elithは、C認証取得支援を通じてAIガバナンスのコアを整え、その先の運用やAIセキュリティまで支援します。認証を「取って終わり」にしない。AIを安全に使い続けるための体制をつくる。
それが、ElithがC認証取得支援に取り組む理由です。
Elithでは、C認証の認定コンサルティング企業としてAIガバナンス体制の整備やC認証取得に向けた支援を行っています。組織でAIを活用するうえでのルールやガイドラインの策定、社内体制の整備などにお悩みの方は、ぜひお気軽にご相談ください。
「何から始めればよいかわからない」「自社の現在地を整理したい」といった段階でのご相談も歓迎しています。具体的な内容がまだ決まっていなくても、現状に応じた進め方から一緒に整理いたします。
C認証取得支援の詳細はこちら