破壊的テクノロジー導入における機会とリスクのバランスの取り方とは

破壊的テクノロジーの導入を成功させるには、機会の追求とリスク管理のバランスを取る必要があります。

要点

• 法律やガイドラインは、テクノロジーの急速な進化に追い付くまでに時間を要することが多いため、組織には先を見越した行動が不可欠である。
• コンプライアンステクノロジーへの投資は増えているものの、それだけでは十分とは言えない可能性がある。
• 組織は、倫理的なテクノロジーの利用を優先し、より広範なコンプライアンス戦略にイノベーションを組み込む必要がある。

人工知能（AI）、自動化、その他のテクノロジーの進歩は、業務を最適化し、データから新しいインサイト（洞察）を導き出すなど、企業とそのコンプライアンス機能の両方に変革をもたらしつつあります。しかし、これらのテクノロジーは、データ侵害や風評被害などの既存のリスクを増大させ、新たな脅威を生み出します。ジェネレーティブAI（生成AI）は、その他のテクノロジーの進歩とともに、妥当な投資を行うことでコンプライアンス部門や法務部門がリスクをより適切に管理するのに役立てることができます。しかし、生成AIやその他の破壊的テクノロジーは、偏ったコンテンツや虚偽のコンテンツの作成、著作権法の違反、個人データの悪用など、深刻なビジネス上の課題につながる可能性もあります。

プライバシーに対しても適切なガバナンスが要求される時代における企業の最大の課題の1つは、多くの国や地域における規制の変更に対応することですが、AIの場合、開発のペースが立法措置をはるかに上回っています。このため、ステークホルダーは、AIやその他の新興テクノロジーを使用するための倫理に基づくフレームワークを積極的に策定することを組織に要求するようになりました。
 

企業が競争力を維持しながら、コンプライアンスの文化を育むにはどうすればよいのでしょうか？

企業は、持続可能性の課題を優先することと同様に、テクノロジーとデータに対しても責任を持って活用するための一貫した戦略を策定する必要があります。これにより、組織は、環境保護やステークホルダーと地域社会の福祉向上の取り組みへの目標設定、管理、報告に使用される多くの対策を取れるようになります。この戦略は、国や地域によって絶えず変化する規制に左右されるのではなく、組織のコアバリューに沿ったものでなければなりません。テクノロジーの導入はビジネスの成長に不可欠ですが、その倫理的な利用を犠牲にすると、法的リスクや風評リスクといったデメリットがこれを上回る可能性があります。 
 

なぜ規制に従うだけでは不十分なのか

AIシステムは膨大な量のデータを収集して分析を行うため、サイバー攻撃やデータ侵害のリスクが高まる傾向にあります。監視に使用されるAIは、プライバシーの権利にも影響を与える可能性があります。画像や動画の生成に使用した場合、大衆に誤解を与えたり、著作権法に違反するかもしれません。その他のリスクとしては、架空のコンテンツ（ハルシネーション）の生成や、データ主導の意思決定における透明性の欠如などがあります。また、AIシステムが、社会的偏見を助長することで、融資を求める銀行の顧客や求職者に対する差別につながる可能性も無視できません。

こうしたリスクは、立法者や規制当局の対応能力をはるかに上回っています。生成AIの利用が急増する前の2022年には、世界各国で40近くのAI関連法が可決されており¹ 、一般データ保護規則（GDPR）と同様に、AI法がグローバルモデルとして機能する態勢を整えているEUを含む多くの主要な国や地域で、生成AIに対応する新しい規制が検討されています。

2023年EY調査（Economist Impactの一部門EIスタジオズが実施）（英語のみ）によると、大企業がデータガバナンス、責任あるAI利用およびサイバーセキュリティをサポートするテクノロジーの導入を検討する場合、規制要件の変化が最大の課題となっています。

多くの多国籍企業は、最も強力なデータ保護規制に全社的に合わせたいと考えていますが、管轄権の競合が生じる可能性があります。組織は、別の地域へのデータ移転を最小限に抑えると同時に、最も正当性を主張しやすい立ち位置を決定する必要があります。

 AI規制の策定をリードしている8つの国・地域（英語版のみ）  を対象としたEYの調査では、それぞれの国や地域によってアプローチは異なるものの、AIの潜在的な危害を軽減しながら、国民に利益をもたらすAIの活用を促進するという類似した目標を掲げていることが分かりました。各国・地域ではいずれも、透明性と持続可能性を示しつつ、人権、プライバシー、データセキュリティを保護する規制を策定するために、リスクベースのアプローチを採用しています。例えば、EUのAI法は、生成AIシステムによって生成されたコンテンツを公開し、トレーニングに使用された著作権で保護されたデータの概要を公表することを義務付けています。²

しかしながら、企業は、規制が整備されていない場合においても、風評リスクに直面するケースが増えています。AIをめぐる懸念の高まりは、ステークホルダーからの新たな要求をもたらしています。企業投資家、従業員、パートナー、顧客は、規制当局による迅速な対応を求めると同時に、AIやその他のテクノロジーを率先して責任感を持って活用するよう企業に求めています。   

また、世界のリーダーたちは、倫理的なAIの利用を組織に求めています。バイデン政権は、米国の国内規制の先駆けとして、責任あるAIを開発するための自主的なコミットメントを求めています。³ アントニオ・グテーレス国連事務総長は、安全保障理事会理事国に対し、「よりよい社会を創造するためにAIを開発する競争」に参加するよう呼びかけました。 ⁴ このような要求の高まりは、企業・組織にとって当局がAI規制を策定するのを待っている余裕はないことを意味します。
 

コンプライアンステクノロジーへの投資は増加していますが、それは十分かつ戦略的なものでしょうか？

規制当局は、企業が高度なテクノロジーを使用して、健全なコンプライアンスを客観的に実証することへの期待を高めています。例えば、米国司法省(DOJ)は、企業に対して、コンプライアンスへの取り組みを定期的に評価する際にデータ分析を活用するよう呼びかけています。 ⁵ それを怠った場合には、余計なコストが生じる可能性があります。

データ分析、AI、自動化は、法的リスクや風評リスクを検出し、（通常は定量的に）説明し、実用的なインサイトを提供する能力を大幅に向上させます。手動システムに頼ることは、ほとんどの企業にとって選択肢にありません。

これは、ほとんどの業界の生命線である顧客データがかつてないほど大量に流入し、そのペースが加速しているためです。2022 年のマティリオンとIDGリサーチの調査によると、データ専門家の見解では、組織内のデータ量は 毎月平均 63% 増加しており 、データは 400 の異なるソースからきているとのことです。⁶ このデータを効果的に管理することは基本的な要件ですが、通常十分な投資が行われていません。

2022年の調査では、最高データ責任者の半数近くが、明確で効果的なデータガバナンスが最大の懸念事項であると回答しています。⁷ 企業は、テクノロジーに投資する前に、情報の管理方法を評価する必要があります。誰がどの種類のデータにアクセスできるか？データはどのように最少化され、追跡、検証、転送されるのか？データはどのように保護されているのか？多くの組織は、AIに投資する前に、データガバナンスにより多くの資金を投入する必要があるかもしれません。

 EYが委託した2023年のEIスタジオズの調査（英語のみ）によると、ほとんどの企業が法務およびコンプライアンステクノロジーへの支出を増やしており、87%がAIと機械学習に投資しています。しかし、調査対象となった組織のほとんどは、法務・コンプライアンスリスクの特定とその管理に使用されるテクノロジーにIT予算の10%未満しか費やしていません。

コンプライアンステクノロジーへの投資には、テクノロジーが適切かつ効果的に機能していることを確認するためのセーフガードを設ける必要があります。例えば、機械学習は、企業が販売取引の不正パターンを検出したり、問題のあるベンダーにフラグを立てたりするのに役立ちますが、偏ったデータや不十分なデータを使用すると、誤検知が発生する可能性があります。

犯罪者もAIを活用しています。AIシステムは、高度なマルウェアを開発し、失敗した攻撃から学習し、より確実性の高いフィッシングキャンペーンを作成できます。IBMの調査によると、AIと自動化を利用してこれらの攻撃を検出し、対応している企業は、そうでない企業よりもはるかに迅速にデータ侵害を発見し、侵害のコストを約 200万米ドル削減することができています。⁸ それにもかかわらず、侵害後にセキュリティ投資を増やすことを計画している組織は、調査対象の半数に過ぎませんでした。

また、組織は、データアクセスを制限し、説明責任を果たすべく内部統制のさらなる強化も検討する必要があります。不適切な管理は、 2023年にEYがEIスタジオズに委託した調査（英語のみ） で報告された内部リスクの中で、最も上位にランクされています。ワークフローにコントロールを組み込むことで、ミスや不正を削減し、主要なリスク領域に関する詳細なインサイトを提供するデジタル化されたコンプライアンス・スコアカードを作成します。

また、高度なデータ分析により、企業はリスク管理を戦略およびパフォーマンス管理と統合することができます。例えば、 EYグローバル取締役会リスク調査 2023（英語のみ）で報告されているように、新たなシナリオに対して常にさらされるリスクを包括的に分析することで、取締役会は戦略やビジネスモデルが実行可能かどうかを判断することができます。同報告によると、危機対応力の高い取締役会は、データとテクノロジーを効果的に活用し、リスクの早期発見と意思決定の向上に努めています。
 

コアバリューに沿った持続可能なデータおよびテクノロジー戦略の策定

テクノロジーの責任ある利用は、多くの企業にとって必ずしも戦略的な優先事項ではないかもしれません。 EYがEIスタジオズに委託した2023年の調査（英語のみ） では、回答者の半数近くが、ほとんどの国・地域で十分な規制が存在し、健全なデータガバナンスが必要とされているデータプライバシーに関する企業戦略が、自組織には欠けていると回答しています。

企業は、持続可能性の課題を優先するのと同じように、テクノロジーとデータを倫理的に活用するための包括的な戦略とビジョンを策定する必要があります。しかし、この分野でのテクノロジーの進歩は驚くべきものであり、EYグローバル取締役会リスク調査 (GBRS)2023によると、デジタルトランスフォーメーションから生じるリスクの監視が非常に効果的であると考えている取締役は3分の1未満に過ぎません。

ミッション・ステートメントは、企業がテクノロジーとデータをコアバリューに沿った適切かつ防御可能な方法でどのように管理するかを示すために不可欠です。例えば、アドビは、社会の利益のためにテクノロジーの責任ある利用を推進するというコミットメントを明確に提示しています。そのAI倫理原則は、有害なAIバイアスを回避し、その価値観に沿った仕事をするために、ソフトウエアメーカーが遂行すべき行動を記載しています。⁹

責任を持った信頼に足るAI を創造するための Microsoft のアプローチは、倫理と説明責任の両方の観点から導かれます。¹⁰ 同社では、AIシステムが包括的で、信頼性があり、公正で、説明責任を果たし、透明性が高く、プライバシーを守り、安全であるよう、監督と指導を行う社内審査機関を設置するようテクノロジー開発者に求めています。

誠実さが利益と同じくらい重要であるという文化を育むことなしに、テクノロジーを倫理的に利用することは不可能です。例えば、フォルクスワーゲングループは、誠実さとコンプライアンスは、売上高、利益、製品品質、雇用主の魅力と同様に戦略的および運用上の優先事項であると表明しています。¹¹

IBMの調査によると、データ侵害の平均コストは2023年に約450万米ドルに増加しました。¹² 規制当局による罰金も増加傾向にあり、MetaはGDPR違反で12億ユーロの制裁を科されました。¹³

テクノロジーとデータの利用に関する倫理的で持続可能な戦略を策定しようとしている組織は、環境保護やグッドガバナンスなど、他の持続可能性への取り組みに使用されている手段を適用することができます。これには、目標と予算の設定、パフォーマンスの測定、進捗状況の公開報告が含まれます。しっかりとした持続可能性への取り組みは、ステークホルダーの懸念に対処し、求職者を引き付けるのに大いに役立ちます。

気候変動対策などの一部のサステナビリティ活動は、規制当局が上場企業に開示要件を設定しているため、すでに自主的なコミットメントからコンプライアンスに移行しつつあります。¹⁴ 倫理的なテクノロジーに関する企業戦略と原則に対して、持続可能性の課題と同等に注力することが期待されています。

強固なガバナンスアプローチによりAIへの信頼を確保することは、AIの潜在能力を最大限に引き出すと同時に、AIの課題に対処しようとする  組織に対して、EYチームが推奨する5つの戦略的イニシアチブ（英語のみ）  の1つです。このアプローチには、次のものが含まれます。

• AI 評議会または委員会を設置するとともに倫理原則を定め、方針や手続きの指針を示す
• 関連する既存の規制をすべて追跡し、新しいユースケースが準拠していることを確認する
• 新たなリスクに対処するためのコントロール機能の定義
• 施行予定の新たな法案に備える

AIやその他の新しいテクノロジーの倫理的な利用を優先するには、リーダーが正しいことをするうえで、口先だけの「言行不一致」に陥らないように注意する必要があります。このギャップは、the EYグローバル・インテグリティ・レポート2022   で明確に示されており、取締役会メンバーの58%が、自分の決定に対して世間から厳しい視線が注がれることなった場合、非常にまたはかなり懸念すると回答し、42%が、自社はハイパフォーマーやシニアパフォーマーの非倫理的な行動を容認していると回答しています。
 

生成AIの台頭がもたらす新たな機会とリスク

2つのドアを想像してみてください。1つには「テクノロジーの機会」のラベル、もう1つには「テクノロジーリスク」というラベルが付されています。あなたはどちらのドアを最初に開けますか？あなたの組織にとってどちらがより重要ですか？何があなたの行く手を阻み、誰があなたを追い詰めているのでしょうか？

生成AIは、テクノロジーの導入において機会とリスクのバランスを取ることをこれまで以上に困難にしています。2023年に広く普及したことで、AIの欠点とともにあらゆる種類の可能性に対する認識が高まりました。大衆は、AIが誤った情報や偏った結果を生み出したり、彼らの仕事を奪うのを防ぐにはどうすればよいかを知りたいと考えています。

ChatGPT のような大規模言語モデル (LLM) は、膨大な数のドキュメントを分析し要約できる機能により、法務部門やコンプライアンス部門にとって大きな変革をもたらしつつあります。しかし、プライバシーやサイバーセキュリティのリスクに精通した専門家は、AIに起因する新たな脅威を評価するのに苦労するかもしれません。私たちはすでに、弁護士がAIによって捏造された事例を引用しているのを目にしており、そのアウトプットに対する他のインテリジェントツールや人による検証が不可欠となっています。

生成AIの使用を禁止することで生成AIのリスクを軽減しようとする組織は、この戦略が裏目に出る可能性があります。2023 年 7 月にロイターとイプソスが実施したオンライン世論調査では、従業員の 4 分の 1 以上が職場で OpenAI ChatGPT を定期的に使用していると回答しましたが、雇用主が明示的に許可していると答えたユーザーは 22% にとどまりました。 ¹⁵ 会社が承認した生成AIツールの使用に制限すると、その制限を回避しようとする動きが生じる可能性があるため、組織全体でどのようにAIにアクセスするかにかかわらず、ポリシー、標準、手順を策定することが重要になります。

生成AIの利用を許可している企業であっても、生成AIがどのように利用されているか、それに伴うリスクの全体像を把握していない可能性があります。MITの調査によると、AIの失敗の半分以上は、世界中の組織の78%で使用されている「シャドーAI」またはサードパーティツールによるものです。¹⁶

生成AIへの投資を検討している企業は、解決しようとしている問題とデータが果たす役割に焦点を当てる必要があります。組織には必要なデータがありますか？データがどのように生成されたか、その制限や、それが何を表しているかを理解していますか？そのデータを使ってLLMを作成できますか？適切なデータガバナンスの欠如は、偏った結果からデータ侵害に至るまで、多くのリスクを引き起こす可能性があります。たとえ企業がこれらすべてを正しく理解していたとしても、リーダーシップ、投資家、従業員、その他のステークホルダーが理解できる形で対策を伝えようとする際に、しばしばほころびが生じます。

現実には、最初にどのドアを開けても、結局同じ部屋にたどり着くことになります。ゲームチェンジャーとなる可能性を秘めた新しいテクノロジーは、戦略的に対処しなければならない多くの法的リスクや風評リスクと常に絡み合っています。