はじめに
こんにちは、 ネクストモード株式会社 のちばです。
私は普段、営業職としてお客様の課題解決に伴走しています。少し自分の話になってしまうのですが、実は私自身、PMP（プロジェクトマネジメント・プロフェッショナル）ホルダーでもある為、お客様のプロジェクト視点を常に意識できるよう実務を通じた学習を続けています。
その視点から今特に注目しているのが、生成AIの普及に伴うリスク管理です。
昨今、生成AIの台頭により、開発、カスタマーサポート、企画、総務といったあらゆる「現場部門」で劇的な効率化が進んでいます。一方で、管理部門を悩ませているのがセキュリティや著作権、ハルシネーション（誤情報の生成）リスクです。
「リスクがあるから禁止」と縛りを強くすると、現場では私用端末や非許可ツールを使う「シャドーAI」が発生し、ガバナンスの目が届かないところで重大な事故につながる——これが今、多くの組織で起きているジレンマの一つです。
一方、現場部門では、日々新しい視点を得るため、新しいAI技術を日々キャッチアップしスピード思考で課題へ着手する事が求められます。
つまり、管理部門では高度化するAIリスクや巧妙化するセキュリティリスクに対する全方位型の防御のミッションがあり、現場部門では高度化するAI技術を即キャッチアップし部署単位で成果へ結びつけるアクセルのミッションがあるという事が言えます。
この相反する課題の両立をするための一案として、本記事ではPMPフレームでのリスクマネジメントの視点をご紹介します。
なぜ生成AIにPMP視点なのか？
PMPフレームの視点では、リスクとは「単なる危険」ではなく「プロジェクトの目標達成に影響を与える不確実な事象」と定義されます。
つまり、AI制御（ガバナンス）の目的は「AIを使わせないこと」ではありません。「業務効率化や品質向上などプロジェクト目標を達成するために、不確実性を管理可能なレベルに抑え込むこと」です。AIガバナンスは車を止めるためのブレーキではなく、安心してアクセルを踏み込むためのガードレールとして設計し、プロジェクト目標達成の為、カバナンスを構築して必要があります。
そのため、現状のリスク特定し対応戦略を定めます。
業務プロセス別「AIリスクレジスタ」の活用
AIリスク管理では、まずリスクを特定し、定性的に分析（影響度×発生確率）します。業務ごとにリスクの性質は異なるため、以下のように「AIリスクレジスタ」として可視化することが第一歩です。
また、生成AI領域は機能追加や脅威の進化が非常に早いため、「AIリスクレジスタは一度作って終わりではなく、四半期ごとの見直しなどのアジャイルな運用が前提となります。
※下記表はあくまでもサンプル例です。各社の現状により内容は異なります。
リスクと対応戦略の共通理解化
リスクの優先度が定まったら、「リスク対応戦略」へ落とし込まれますが、
運用ルールを人間頼みにせず、ゼロトラストツール(Okta/Netskope/CrowdStrike)を連携・支援させることで、現場の利便性を損なわずにスムーズなAI制御を実現できます。
リスク対応戦略は、管理部門担当者からすると非常にベーシックな内容ではあるといえます。しかしながら、人材が流動的、かつ組織が少数精鋭化する昨今においてこれを周知することは難しい事が多い為、管理部門と現場部門の共通理解の橋渡しとしてAIリスクレジスタや対応戦略を共有し理解促進を目指します。
■回避（Avoid）: 致命的な不確実性を排除する
・対応施策: 機密情報や個人情報の入力、未許可AIの利用を物理的に遮断。
・ツール連携: NetskopeのDLP（データ漏洩防止）機能でプロンプトに含まれる重要データをリアルタイムブロック。未許可AIサービスへのアクセスもインラインで遮断し、CrowdStrikeで端末からの不正な挙動を防ぎます。
■転移（Transfer）: リスクの影響や法的責任を第三者へ移転する
・対応施策: 入力データの再学習リスクや生成物による著作権侵害リスクを、AIベンダーとの適切な契約・補償制度を活用して自社から切り離す。
・契約・ツール連携: 無料版や個人版ではなく、エンタープライズ版(NotionEnterprise 等）を採用。「入力データをモデル学習に使用しない」利用規約の担保や、ベンダーが提供する著作権侵害補償（IP補償）を活用することで、法的・情報漏洩リスクを自社単独で抱え込まない形を取ります。
■軽減（Mitigate）: 発生確率や影響度を下げる
・対応施策: 許可されたユーザーのみに権限を与え、利用状況を可視化。
・ツール連携: Oktaで「誰が・どのAIに・どの権限で」アクセスしているかを厳格管理。さらにNetskopeでプロンプト送信時に注意喚起アラート（コーチング画面）を表示し、人事や総務のうっかりミス（個人情報等の送信）を防止します。
■受容（Accept）: 許容できるリスクを受け入れて利用を促進する。
・対応施策: ガードレールで保護の範囲内で、現場スピード重視で利用許可・利用の推進。
・ツール連携: Okta、Netskope、CrowdStrikeによって認証・通信・端末が常時保護されている前提があるからこそ、管理部門はアイデア出しや文章校正といった残存リスクを安心して「受容」できます。
まとめ
いかがでしたでしょうか。PMP視点によりリスクを事業部門×管理部門の「共通言語」として整理し、テクノロジーで運用を自動化する一案をご紹介しました。
自社の業務プロセスを紐解き、まずはAIリスクの可視化から始めてみませんか？NetskopeやOktaを活用したセキュリティ設計に疑問点や気になることがあれば、ぜひネクストモードへご相談ください！
