生成AIは組織に大きな可能性をもたらす一方で、リスクも伴います。
最高情報セキュリティ責任者は、この技術の具体的なビジネスケースの策定、そのリスクと課題の明確化、そして的を絞ったソリューションを推進する主要業績評価指標の定義において、重要な役割を果たします。
生成AIは、最高情報セキュリティ責任者が組織全体においてビジネスの推進役としての立場を確立する、大きな機会をもたらします。
世界中の組織が、生成AIの導入を前例のない速さで競うように進める中、企業にとってこの技術のリスクを評価することが極めて重要です。最高情報セキュリティ責任者（CISO）の役割は極めて重要であり、サイバーリスクからの保護を確保しながら、生成AIの変革的な可能性を引き出すことに貢献します。
組織がデータを取り込み、保存し、処理する新たに開発された生成AIシステムは攻撃に対して脆弱であり、悪意のある主体が大量のデータを窃取したり、出力を改ざんしたり、接続されたシステムへの攻撃に利用したりする経路となっています。こうした主体は独自の生成AIシステムを用いることさえあり、攻撃の立案と実行にかかるコストを削減するとともに、攻撃の範囲、深度、巧妙さを高めています。組織がこれらのリスクを予測し、迅速に対応できる準備を整えることが不可欠です。
世界経済フォーラムは、人工知能のためのガードレールをどのように構築していますか。
AI卓越性センターは、人工知能の急速な進化と、それが経済や社会に及ぼす影響を理解するため、各分野のリーダーをつなぎます。AI導入に関連する機会、リスク、トレードオフについて、情報に基づいた対話を支援します。
信頼できる場と協働イニシアチブを通じて、センターは、パートナーがAIのイノベーションと利用に対する責任あるアプローチについて共通理解を構築し、共に取り組むことを可能にします。
最高情報セキュリティ責任者は、生成AIの安全な導入を確保しつつ、ビジネスの推進役となるために、組織全体の主要な活動に積極的に貢献する必要があります。
生成AIのガバナンスへの関与
多くの組織は、法務、サイバーセキュリティ、コンプライアンス、技術、リスクマネジメント、人事などのチームを含む、生成AIに関する学際的な卓越性センターを既に設立しています。これらのセンターは、通常、定期的に会合を開く運営委員会または作業部会の形をとり、部門間の連携を積極的に促進するとともに、次のような複数の側面に責任を担います。
生成AIのガバナンス：新たな方針の策定、ITの行動規範の更新、責任あるAIの基本原則の定義、組織にとっての生成AIの価値の明確化などの業務が含まれます。また、堅牢なリスクマネジメントの枠組みの構築、関連するリスク評価の実施、これらのリスクを管理するために必要な統制の導入も含まれます。
教育：社内の啓発キャンペーンの管理、AIリテラシーを備えた人材の育成、生成AIツールの利用に関するコミュニケーションの設計などが含まれます。
プロジェクトへの資源配分：新規プロジェクトに必要な人員配置を決定することが含まれ、技術が多様な視点を念頭に置いて開発されるよう確保します。
整合：地域およびグループの技術・製品チームが、策定される新たな原則について確実に把握できるようにすることが含まれます。
最高情報セキュリティ責任者が、この技術のあらゆる主要な側面に関する継続的な議論に大きく貢献するため、これらの確立された生成AI関連センターに関与することが重要です。
イノベーションの促進役となる
組織が生成AIへの取り組みにおいて起業家精神を維持することは極めて重要です。リーダーは初期の導入企業から刺激を受け、自社の業務全体での技術導入から得た教訓に基づいて進化させるべきです。
これは、安全な方法で適応できるよう、技術のガバナンスに柔軟性を組み込むことを意味します。生成AI技術へのアクセスを一律に制限することや、過度に厳格な方針を課すことは逆効果であり、特に各国における高い導入率を考慮すると、その傾向が顕著です。米国では45%、インドでは73%に上っており、従業員が既にこれらのツールを活用していることを示唆しています。
新たな技術は絶えず登場するため、組織はこうした変化に対応するガバナンス体制の構築を優先すべきです。最高情報セキュリティ責任者は、この取り組みにおいて中心的な役割を果たすことができ、また果たすべきです。
研修と意識向上の促進
従業員に教育を行う包括的な研修および意識向上の取り組みを実施することは、安全な利用を確保するために極めて重要です。アルゴリズムの偏り、プライバシーへの懸念、AIシステムのセキュリティ上の脆弱性といった課題への理解を深めることで、組織は従業員が AI技術の導入や利用に際して情報に基づいた判断を下せるよう後押しできます。
また、一般に利用可能な生成AIツールの使用に伴う義務について、指針を提供し、明確に示すことも不可欠です。さらに、研修および意識向上の取り組みは、生成AIツールの利用状況の継続的な監視と連携させるべきであり、不正使用や関連する脅威の事例に対して迅速に対応できるようにすることが重要です。
研修プログラムを策定する際には、対象者ごとのニーズに応じて内容を調整することが極めて重要です。例えば、サイバーセキュリティチームは、生成AIモデルの動作原理を深く理解しておく必要があり、それにより正確なセキュリティレビューを実施し、IT部門への助言における信頼性を高めることができます。
リスクマネジメント活動への貢献
AIは組織にとって新しい技術ではありませんが、多様な目的での民主化は新たな課題をもたらしています。従来、組織はAI技術の利用を一元管理することが多く、サイバーセキュリティチームによる追跡と管理が容易でした。しかし、生成AIが組織全体に広く普及したことで、この業務はより複雑になっています。組織にとっての重大な課題は、組織全体での生成AI技術の利用拡大と並行して、ガバナンスとリスクマネジメントを迅速に拡充し、合理化することです。
ガバナンスとリスクマネジメントにおける拡張性を実現するためには、技術のユースケースやサービスモデルに適合したリスクおよび統制の枠組みを確立することが不可欠です。組織はまた、リスク許容度を明確に定義し、関連するトレードオフを考慮した上で、十分な情報に基づく意思決定を行うべきです。
異なるリスク種別（モデルベース、データ関連、法的リスク）の間でバランスを保つことが極めて重要です。最高情報セキュリティ責任者は、生成AIのリスクマネジメントに対して均衡の取れたアプローチを確保するための重要な視点を提供します。生成AIシステムがもたらすリスクは、様々なリスク分野を横断するものであるため、これらのリスクを分析し対処する上では、学際的な視点を採用することが不可欠です。
最高情報セキュリティ責任者の役割
最高情報セキュリティ責任者は、生成AIの具体的なビジネスケースの策定、そのリスクと課題の明確化、そして的を絞ったソリューションを推進する主要業績評価指標（KPI）の定義において、極めて重要な役割を担います。最高情報セキュリティ責任者は、組織と顧客のために生成AIの利点を活用することと、システムの適切な保護を確保することとの間で、バランスを図る必要があります。生成AI技術に関して最高情報セキュリティ責任者が担う責任には、次のようなものが含まれ得ます。
組織の事業目標の理解：これにより、最高情報セキュリティ責任者は新たなリスクを予測し、それに対応する統制を策定することができます。
ガバナンス体制の確立：データの利用とプライバシーのためのガバナンス体制を構築し、生成AI技術との相互作用において、利用者に所有権と責任を付与すること。
生成AIの製品への統合に関する助言：製品管理、リスク、法務の各チームと協働し、安全な生成AIが当初からビジネスケースの不可欠な一部となるようにすること。
社内AIイニシアチブへの関与：AIイニシアチブの設計と監視に積極的に参加し、セキュリティ統制によるプロセスの強化に重点を置くこと。
教育とコミュニケーション：AIシステムの安全な利用について事業部門に情報提供と教育を行うとともに、生成AIを利用すべきでない場合を明確に示すこと。
機会の模索：サイバーセキュリティチームにとって生成AIシステムがもたらす機会を特定して活用すること。例えば、セキュリティオペレーションセンター（SOC）における傾向検知、攻撃への対応、インシデント対応などの活動を促進することが挙げられます。
生成AIは、最高情報セキュリティ責任者が組織全体においてビジネスの推進役としての立場を確立する、大きな機会をもたらします。多くの責任者が初期段階の取り組みを進めている一方で、組織の安全な変革に確実に貢献するためには、最高情報セキュリティ責任者は社内のAIガバナンス、リスクマネジメント、研修および意識向上の取り組みにおいて、主要な貢献者となる必要があります。
世界経済フォーラムは2023年6月にAIガバナンス・アライアンスを立ち上げました。同アライアンスは、人工知能システムの責任ある設計、開発、展開に関する指針の提供を目指しています。その活動の詳細は、こちらでご覧いただけます。
