生成AIはデータ流出の主要経路に 従業員がついやってしまう漏えいパターン：セキュリティニュースアラート

LayerX Securityは企業のAI利用実態を分析し、生成AIが主要なデータ流出経路となっていると警鐘を鳴らした。AI活用が進む中、同社は、企業がガバナンス整備を急ぐ必要があると指摘している。

[後藤大地，ITmedia]

　LayerX Securityは2025年10月6日（現地時間）、顧客から得たブラウジングデータに基づき、企業におけるAI利用とデータ保護の実態を分析した年次報告書「Enterprise AI and SaaS Data Security Report 2025」を公表した。AIはもはや新興技術ではなく、企業データ流出の主要経路となっている実態が明らかになった。

生成AIはデータ流出の主要経路に　従業員がやりがちな漏えいパターン

　企業における生成AI活用は急速に進展している。従業員の45％が生成AIツールを業務で利用しており、登場からわずか3年足らずで半数近くに達したことが報告されている。ファイル共有やビデオ会議といった従来のSaaS分野が同程度の普及率に至るまでに10年以上を要したことを踏まえると、その浸透速度は異例といえる。特に92％の利用が「ChatGPT」に集中しており、単一の消費者プラットフォームが実質的な企業AI標準として定着していることが示されている。

　ただ、急速な普及の裏でAIが企業データ保護の死角となっている。従来の電子メールやファイル共有のように統制が確立されている分野とは異なり、AI利用の大部分は企業の認証基盤や管理下を外れており、これが企業における最大のデータ流出経路と位置付けられている。具体的にはどのようなパターンが危険なのか。

　注目すべきは、データ流出の経路だ。多くのCISO（最高情報セキュリティ責任者）はファイルのアップロードを主なリスクと捉えているが、実際にはコピー＆ペースト操作によるデータ流出が多数を占めるという。

　調査結果において、従業員の77％が生成AIにデータを貼り付けており、その82％が個人アカウントからの操作とされている。従業員1人当たりのペースト操作は1日平均14回に上り、そのうち少なくとも3回に機密データが含まれていた。生成AIツールだけで企業から個人アカウントへの全データ転送の32％を占めており、クリップボードが事実上の主要流出経路となっている。従来型のファイル中心の情報漏えい対策（DLP）では検知が困難であり、多くの企業がこの活動を把握できていない状況にある。

　アカウント管理面においても課題がある。同社の分析によると、生成AI利用実態を見ると、その67％が企業の統制が及ばない個人アカウントで行われており、顧客関係管理（CRM）では71％、企業資源計画（ERP）では83％のログインが非フェデレーションということが分かった。

　名目上は企業アカウントであっても、実際にはパスワード認証のみで運用されているケースが多く、個人アカウントと区別が付かない状態となっている。機密性の高い顧客データや財務データへのアクセスが十分に制御されていない。

　LayerXは、AI活用の進展とガバナンスの欠如が反比例している点を問題視している。従業員によるAIツールへのファイルアップロードやプロンプトへの顧客情報入力といった行為が日常的に実行されているにもかかわらず、正式な統制が存在しないという。電子メール分野では長年の監査やDLP導入が進んでいるが、AI分野ではその基盤が欠落している。AI関連の業務活動は既に全企業アクティビティーの11％を占め、従来の主要SaaS分野に匹敵する規模に達しているにもかかわらず、管理体制は整備されていない。

　報告書はCISOに対し、4つの対応策を提示している。

• AIを正式な企業ITカテゴリーとして扱い、電子メールやファイル共有と同等のガバナンスを適用すべきと指摘している
• 非フェデレーションのアカウントを「管理外システム」と再分類し、特にERPやCRMなど重要システムに対し即時監査を実施する必要がある
• 個人アカウントのアクセスを単純に遮断するのではなく、データ内容を識別し保護するデータ認識型ポリシーを採用することを推奨している。これにより従業員の作業環境を維持でき、機密データの持ち出しを防止できる
• DLP予算を従来のネットワークやファイル解析からWebブラウザレベルの制御に移行することを推奨している。LayerXの分析において、コピー＆ペーストがファイル転送を上回る流出経路となっており（生成AIツールに加え、IMアプリへも同様に機密データがペーストされている）、Webブラウザでのペースト検知や遮断が実効性の高い対策とされている

　LayerXは結論として、「AIが業務に深く組み込まれた今、企業は生成AIの利用を統制すべきか否かではなく、いかに迅速に統制下に置くかが課題」と述べている。AI利用が拡大するほど監視の網が緩むという逆説的状況の中で、クリップボードが新たな情報流出の最前線となりつつある現実が示されている。企業にとって、AIガバナンスの整備はもはや選択肢ではなく喫緊の課題といえる。