Ai：「ルールと教育が遅れると、使用は独り歩きする」

本バロメーターをローラン・イナール（Forvis Mazars）と共著した、ESSCA School of Managementのファイナンス・AI教授、デヤン・グラバス氏は、これらの盲点と設定すべきルールについて振り返る。

承認ツールは競争に苦戦

デヤン・グラバス氏によれば、承認されたツールは、習慣がついた後に遅れてやってくることが多い。シャドーAIが蔓延していると認識している回答者のうち、企業が独自ツールを提供している場合、3つの理由が繰り返し挙がる。習慣が最も多く、従業員は雇用主が提案する前に既にアシスタントを導入していた。次にパフォーマンス、提供されたツールは一般的に劣ると評価され、そして使い勝手、社内ツールは時として遅かったり不便だったりする。

同氏によれば、市場のツールと比較して遜色ない承認ツールを提供することが、規則の再確認よりも確実にシャドーAIを後退させる。この現象はフランスでより顕著で、5社に1社が「蔓延している」と表現するのに対し、他の3カ国では10社に1社である。彼は2つの要因を指摘する。まず、教育・訓練：フランスでは従業員にAI教育を実施している企業は半数未満だが、英国では4社中3社である。「ルールと教育が遅れると、使用は独り歩きする」と彼は要約する。次に、社内提供：フランス企業の10社中4社以上が、AIを用いて社内文書を問い合わせるツールをまだ持っていない。

禁止措置については、厳しい現実がある。8社に1社が、明確な禁止にもかかわらずシャドーAIが続いていると認識しており、一方で最も多い対応は「容認」（24%）である。デヤン・グラバス氏はこの立場を「最も脆弱」と評する。なぜなら企業は知っていて見逃しており、データが流出した際の責任問題が生じるからだ。同氏は、禁止はそれが具体的な場合（例えば顧客データ、給与明細、交渉中の契約など）には意味を保つと考える。それ以外については、規制を主張する。どの使用が許可され、どのツールで、どのデータに対してかを示し、その後、水準の高い承認ツールを提供すべきだという。

容認される使用法、しかし規制はほとんどなし

会議の文字起こしは、過小評価されている使用法の筆頭である。5社中4社が、特に要約、ビデオ会議の議事録、メール作成のために、言語モデルをオフィス作業に使用している。フランスでは、回答者の10人中4人が、録音への同意が明示的かつ記録されていると回答する一方、別の10人中4人では、同意は非公式か、もはや取られていない。

会議には名前、人物に関する意見、時にはビジネス上の秘密が含まれ、これはまずEU一般データ保護規則（GDPR）の対象となる。採用は別の例として挙げられる：AIによる応募書類の選別は無害に見えるが、これらの使用法はAI法の「高リスクシステム」に該当する可能性がある。最後に、コードは技術的負債とスキルの問題を提起する。開発を行う企業の半数以上が、コードの少なくとも4分の1がAIによって支援されていると回答しており、この生産性向上は、レビューが遅れた場合に技術的負債を伴う可能性がある。

法的枠組みについては、デヤン・グラバス氏は、AI法はその作成目的をよく果たしていると考える。2026年8月2日以降、人間が機械と対話していることを通知すること、およびAIによって生成されたコンテンツを識別可能にすることが義務付けられている。採用などの高リスクシステムに適用される規則は、2027年12月に適用開始となる。同氏によれば、その限界は目的にある。AI法はシステムおよびそれを提供・展開する者を規制するが、従業員が個人用アシスタントに文書を貼り付ける行為は、主に内部ポリシーとGDPRの対象となる。回答者の10人中3人未満が、自社がこの法律をよく理解していると回答している。

エージェントとガバナンスの枠組み

限定的な人間の介入で一連のタスクを連鎖実行できるAIエージェントは、この課題をさらに複雑にする。なぜなら「エージェントが行動する」からだ。アシスタントでは、従業員は回答を読んでから使用するが、エージェントでは、メールが送信され、ファイルが変更され、注文が実行される。バロメーターによると、フランスでは3社に1社以上が既に自律型エージェントを使用しており、欧州企業のほぼ半数が使用またはテストしている。

教授は、管理手段は存在すると考える。開発者は「ハーネス」、つまりエージェントに設定された制限（アクセス権限の縮小、行動ログ、不可逆的な決定前の人間による承認）について語る。彼は、最初の導入時から、各エージェントに責任者を置いたエージェント台帳の作成を勧め、NIST AIリスクマネジメントフレームワークやISO 42001、42005、23894などの規格を引用する。ローラン・イナール氏と共に、彼は実際の実践から始めることを推奨する。まず使用されているツールの匿名インベントリを作成し、次に使用法を3つのリスト（許可されるもの、条件付きで許可されるもの、禁止されるもの）に分類する。変化の速さを考慮し、改訂条項を設けることが重要だと彼は考えている。