禁止ではなく整備—AIを活用できている企業のセキュリティレベル
「セキュリティを固めると活用が止まる」。AI導入の議論でよく出る対立軸です。従業員500名以上の企業・団体に勤務する社会人400名への調査では、この直感と逆の結果が出ました。
- AIを業務フローに組み込む段階まで進んでいる企業は36.5%
- 活用が進んだ企業のセキュリティ整備度は3.2点、止まっている企業は1.4点。進んでいる企業のほうが整備されています
- 活用が最も止まっているのは一律禁止の企業ではなく、「明確なルールがない」企業。業務フローへの組み込みは0.0%でした
- 使えるツールの数も、活用レベルと連動します
1. AIを業務フローに組み込めている企業は36.5%
自社の生成AI活用レベルを聞いた結果です。
活用レベル | 割合 |
|---|---|
チャットで質問・文章作成する程度の活用が中心 | 29.8% |
業務フローに組み込んで定常的に活用している | 17.8% |
AIエージェント（自律的にタスクを実行）まで活用している | 13.3% |
開発・コーディングを含む高度な活用をしている | 5.5% |
ほとんど活用できていない | 19.3% |
わからない | 14.5% |
業務フロー以上の段階に進んでいるのは36.5%（146名）。一方で「チャット程度」が29.8%、「ほとんど活用できていない」が19.2%です。
大企業の半数近くは、まだ「便利なチャットツール」の段階か、その手前にいます。
2. 活用が進んだ企業のセキュリティ整備度は3.2点、止まっている企業は1.4点
セキュリティ対策10項目の実施個数を「整備度スコア（0〜10点）」として、活用レベル別に平均を出しました。「わからない」と答えた114名は算出から除外し、286名を分母としています。
活用レベル | 整備度スコア | n |
|---|---|---|
AIエージェントまで活用 | 3.29点 | 49 |
業務フローに組み込んで活用 | 3.18点 | 66 |
開発・コーディングを含む高度な活用 | 3.14点 | 21（参考値） |
チャット程度の活用 | 2.49点 | 92 |
ほとんど活用できていない | 1.40点 | 47 |
きれいな順序が出ました。 業務フロー以上の段階にいる企業は3.1〜3.3点、チャット程度は2.49点、ほとんど活用できていない企業は1.40点。活用が進んでいる企業ほど、セキュリティも整備されています。
「整備すると止まる」なら逆の並びになるはずですが、そうはなっていません。
この数字は、回答者が自社の実態をどれだけ知っているかに左右されます。AI活用に関与している人ほど、自社の対策も詳しく知っている可能性があるからです。そこで、ルール策定やツール選定に関与している層（「主導している」「メンバーとして関与」「意見を求められる」の計）だけに絞って再計算しました。
活用レベル | 整備度スコア（関与層のみ） | n |
|---|---|---|
AIエージェントまで活用 | 3.62点 | 32 |
業務フローに組み込んで活用 | 3.42点 | 45 |
開発・コーディングを含む高度な活用 | 3.20点 | 15（参考値） |
チャット程度の活用 | 2.61点 | 36 |
ほとんど活用できていない | 2.22点 | 9（参考値） |
関与層に絞っても順序は変わりません。 見えていない人が多いから低く出た、という説明では片づきません。
ただし、これは相関であって因果ではありません。整備したから活用が進んだのか、活用が進んだから整備が必要になったのか、この調査では区別できません。おそらく両方向でしょう。言えるのは、「整備と活用はトレードオフではない」ということです。
3. 進んだ企業が「やっていること」の中身
活用が進んだ企業（業務フロー以上、n=136）と、ほとんど活用できていない企業（n=47）で、対策ごとの実施率を比べました。
対策 | 進んだ企業 | 止まった企業 | 差 |
|---|---|---|---|
社外から接続できない専用環境（閉域環境）で利用 | 50.7% | 17.0% | +33.7pt |
法人契約により入力データが学習に使われない設定 | 39.7% | 10.6% | +29.1pt |
DLPなど情報漏洩防止ツールで制御 | 27.2% | 4.3% | +23.0pt |
全社員向けの研修・eラーニングを実施 | 35.3% | 14.9% | +20.4pt |
利用ログを記録・監視 | 45.6% | 27.7% | +17.9pt |
個人アカウント・無料版の業務利用を禁止 | 42.6% | 25.5% | +17.1pt |
専任の担当部署・委員会を設置 | 24.3% | 8.5% | +15.8pt |
ツール導入時にセキュリティ審査を実施 | 26.5% | 17.0% | +9.4pt |
入力内容の制限・フィルタリングを設定 | 19.9% | 10.6% | +9.2pt |
ISMSなどの外部認証・第三者監査 | 9.6% | 4.3% | +5.3pt |
差が大きい上位2つは、閉域環境（+33.7pt）と法人契約による学習オプトアウト（+29.1pt）でした。どちらも「機密情報を安全に入れられる箱をつくる」タイプの対策です。
これは理解しやすい話です。業務フローに組み込むには、実務のデータを入れられなければなりません。 実務のデータには顧客情報も機密情報も含まれます。それを入れられる環境がなければ、いつまでもチャットで一般的な質問をする段階から進めない。閉域環境と法人契約は、制約ではなく前提条件として機能しています。
一方、差が小さかったのはISMS等の外部認証（+5.3pt）とセキュリティ審査（+9.4pt）。これらは組織の一般的な統制水準を表すもので、AI活用の進み具合とは直接結びついていません。
つまり、AI活用を進める企業がやっているのは「一般的にセキュリティが厳しい」ことではなく、「AIに実務データを入れられる環境をつくる」ことです。
4. 「一律禁止」と「情報区分ごとに決めている」で活用レベルはどう違うか
機密情報の投入ルール別に、活用レベルの分布を見ました。
投入ルール | 業務フロー以上 | ほとんど活用できていない | n |
|---|---|---|---|
情報の重要度区分ごとに定められている | 56.4% | 7.1% | 140 |
会社が契約した環境であれば入力してよい | 54.5% | 13.6% | 66 |
どのような情報も入力は一切禁止 | 27.9% | 34.9% | 43 |
明確なルールはない | 7.8% | 39.1% | 64 |
わからない | 6.9% | 25.0% | 72 |
（「匿名化・マスキングをすれば入力してよい」はn=15のため割愛）
情報区分ごとに定めている企業では、業務フロー以上が56.4%、ほとんど活用できていないは7.1%。 一律禁止の企業ではそれぞれ27.9%と34.9%で、活用が進んでいる層と止まっている層が拮抗します。
ここまでは予想どおりです。区分して許すほうが活用は進む。
5. 使えるツールの数と活用レベルの関係
6つのツールのうち「公式導入・許可」または「申請すれば使える」ものの数を数えました。
活用レベル | 使えるツール数（平均） | n |
|---|---|---|
業務フローに組み込んで活用 | 2.86個 | 71 |
開発・コーディングを含む高度な活用 | 2.86個 | 22（参考値） |
AIエージェントまで活用 | 2.49個 | 53 |
チャット程度の活用 | 1.81個 | 119 |
ほとんど活用できていない | 0.73個 | 77 |
わからない | 0.14個 | 58 |
ほとんど活用できていない企業では、使えるツールが平均0.73個。1つも使えない企業が相当数含まれます。業務フロー以上の企業では2.5〜2.9個で、使えるツールの数に3〜4倍の開きがあります。
ツールが1つもなければ活用は始まりません。当たり前に見えますが、「活用が進まない」と言われている企業の相当数が、そもそも使えるツールを持っていないという事実は確認しておく価値があります。
6. 個人任せは、進んでいるのではなく整備されていないだけ
前の表でいちばん目を引くのは、「明確なルールはない」企業の行です。
業務フロー以上に進んでいるのは7.8%。さらに内訳を見ると、「業務フローに組み込んで定常的に活用している」と答えた人は0.0%でした（n=64）。そして「ほとんど活用できていない」が39.1%と、全類型の中で最も高い。
一律禁止（34.9%）よりも、ルールがない（39.1%）企業のほうが活用できていません。
「ルールで縛らず個人の判断に任せている」という状態は、一見すると自由で先進的に聞こえます。しかし数字が示すのは逆で、それは自由なのではなく、会社として何も決めていないだけです。決めていないから、使える環境もなく、実務データも入れられず、個人がブラウザでチャットを開く以上のことができない。
会社のルール類型別に見ても同じです。「明確なルールはなく、個人の判断に任されている」と答えた企業は12.2%ありますが、この層の整備度スコアは低く、活用も進んでいません。
禁止と放置は、別の失敗です。 禁止は少なくとも判断していますが、放置は判断していない。そして活用の観点では、放置のほうが結果が悪い。
7. まとめ：セキュリティ整備は活用のブレーキではない
3つにまとめます。
整備と活用はトレードオフではありません。 活用が進んだ企業の整備度は3.2点、止まっている企業は1.4点。関与層に限っても順序は同じです。「セキュリティを固めると活用が止まる」という前提そのものを見直す必要があります。
進んだ企業がやっているのは、入れられる箱をつくることです。 差が大きかったのは閉域環境（+33.7pt）と法人契約による学習オプトアウト（+29.1pt）。禁止を増やすのではなく、安全に入れられる範囲を定義することが、活用の前提条件になっています。
何も決めていない状態が最も進みません。 「明確なルールはない」企業では、業務フローへの組み込みが0.0%。一律禁止より結果が悪い。ルールをつくることは活用のブレーキではなく、むしろ出発点です。
なお、AI利用によるトラブルについては、「実際に情報漏洩・トラブルが起きた」は4.3%、「ヒヤリハットがあった」が14.2%、「聞いたことはない」が45.5%でした。整備が進んでいない企業が多い一方で、実害の報告は限定的です。この調査は認識を聞いたものであり、把握されていない事象までは捉えられません。数字が小さいことをもって「リスクは低い」と結論づけるのは早計です。
調査概要
- 調査名：企業のAIセキュリティ・ガバナンス実態調査（2026年9月）
- 調査主体：株式会社データインサイト
- 調査方法：インターネット調査（ユニーリサーチ）
- 調査対象：従業員500名以上の企業・団体に勤務する社会人（経営者・役員／会社員／公務員）
- 有効回答数：400名（スクリーニング回答1,042名、通過率38.4%）
- 調査実施日：2026年9月26日
- 割付：なし（自然回収・ウェイトバックなし）
整備度スコアは、実施しているセキュリティ対策10項目の選択個数（0〜10点）です。「わからない」と回答した114名はスコア算出から除外しています。回答者の属性内訳は記事Aに記載しています。各セルはn≧30を断定の目安とし、これを下回るものは参考値として表記しています。
トラブルに関する設問では、「聞いたことはない」と他項目を同時に選択した矛盾回答が3名ありました（排他設定の不備によるもの）。本記事の45.5%はこの3名を含んだ値です。
構成比は小数第2位を四捨五入しているため、内訳の合計が100%にならない場合があります。
本記事で示した整備度スコアと活用レベルの関係は相関であり、因果関係を示すものではありません。
出典：データインサイト調べ
