生成AI使用企業は35％、情報漏洩やハルシネーションなど懸念か──ITR・JIPDEC調査

　日本情報経済社会推進協会（JIPDEC）とアイ・ティ・アール（ITR）は、国内企業983社のIT戦略策定または情報セキュリティ施策の従事者を対象に共同で実施した「企業IT利活用動向調査2024」の結果を発表した。

調査概要

• 調査期間：2024年1月19～23日
• 調査方法：Webアンケート形式
• 調査対象：従業員数50名以上の国内企業に勤務しIT戦略策定または情報セキュリティ施策に関わる係長職相当職以上の役職者約1万7,000名
• 有効回答：983名（1社1名）

生成AIの使用企業は35.0％、導入進行中が34.5％となり、今後急速な拡大が見込まれる

　業務における生成AIの使用状況について質問したところ、「会社で構築・契約した生成AIを使用している」が15.9％、「各自で契約・登録した生成AIを使用している」が19.1％となり、合わせて35.0％の企業が生成AIを使用していることがわかった。また現時点では、企業が用意した生成AIよりも、従業員個人が登録した生成AIが多く使用されている状況にある。しかし、「会社が生成AIの導入を進めている」が34.5％を占めていることから、今後、会社で構築・契約した生成AIを導入して業務で活用する企業が急速に増えていくとみられる。

図1：業務における生成AIの使用状況

［画像クリックで拡大表示］

生成AIの使用においては、機密情報の漏洩とハルシネーションが大きな懸念点となっている

　生成AIに関する利用規定やガイドラインを策定している企業の割合は、会社で構築・契約した生成AIを使用している企業では68.6％に上ったのに対し、各自で契約・登録した生成AIを使用している企業ではわずか9.0％にとどまった。また、生成AIを使用していくうえでの懸念点を質問したところ、企業で構築・契約した生成AIを使用している企業では、「社内の機密情報（個人情報含む）を生成AIの学習データとして使用し情報漏洩する」が最多の67.3％に上った。

　一方、各自で契約・登録した生成AIを使用している企業では26.1％にとどまり、これらの企業では利用規定もほとんど策定されておらず、情報漏洩リスクに対する危機感が薄いことがわかった。また、各自で契約・登録した生成AIを使用している企業では、「生成AIが出力した偽情報を従業員が信じ業務で使用する」が46.3％で最多となり、会社で構築・契約し使用している企業でも42.3％となった。業務で生成AIを使用していくうえでは、ハルシネーションに対する懸念や不安が多いことが明らかになったという。

図2：生成AIを使用していくうえでの懸念点

［画像クリックで拡大表示］

DXでは「業務のデジタル化・自動化」に取り組む企業の半数が成果を出しているが、ビジネス成長に向けた取り組みでは成果を出している企業がまだ少ない

　DXを実践している企業に対して、具体的な取り組み内容とその成果について質問した。社内の業務や働き方に関するDXを「内向きのDX」、顧客向けの新たな製品やサービス、マーケティングに関するDXを「外向きのDX」と分類。「内向きのDX」で最も取り組みが進んでいるのは「業務のデジタル化・自動化」であり、50.8％の企業で成果が出ており、次いで「ワークスタイルの変革」では36.9％が成果が出ていると回答した。

　一方、「外向きのDX」において最も成果が出ているのは、「データに基づいた営業・マーケティングの高度化」で28.9％となり、次いで「顧客体験や顧客接点のデジタル化」が28.5％となった。ただし、「外向きのDX」の取り組みは、いずれも取り組んではいるが成果が出ていない割合がより高い結果が見て取れる。今後は「外向きのDX」でいかに成果を出し、ビジネスの成長や顧客満足度の向上を図っていくかが重要になっていくという。

　また、DXを実践していくうえでの課題について質問したところ、52.4％と過半数の企業が「情報セキュリティ対策」を課題と認識していることがわかった。その他の課題としては、「DX人材の育成と獲得」が38.8％、「従業員のDXに対する理解や協力姿勢」が38.1％、「新しいデジタル技術の選定と導入」が37.5％となった。

図3：DXの取り組み内容と成果の状況

［画像クリックで拡大表示］

ランサムウェアの感染経験のある企業は47.1％。身代金を支払った企業の3分の2が復旧できず

　ランサムウェアの感染被害の経験について質問したところ、47.1％がランサムウェアの感染経験があることがわかった。このうち、「感染被害に遭い、身代金を支払ってシステムやデータを復旧させた」が9.0％、「感染被害に遭い、身代金を支払ったがシステムやデータは復旧できなかった」が17.9％となり、合わせて26.9％が身代金を支払った経験を持つが、このうち3分の2は復旧できなかったことになるという。

　サイバー攻撃対策について「極めて優先度が高く、積極的に投資を行っている」企業は37.5％、「優先度が高く、継続的な投資を行っている」が36.7％となり、今後もサイバー攻撃対策への投資は一層拡大していくと同社はみている。また、情報漏洩対策についても、「極めて優先度が高く、積極的に投資を行っている」企業が27.1％、「優先度が高く、継続的な投資を行っている」は44.9％に上り、外部向けだけではなく、内部向けのセキュリティ対策への投資も重点的に行われていることがわかった。

図4：ランサムウェアの感染被害の経験

［画像クリックで拡大表示］

3分の2の企業がデータの越境移転を行っているが、複雑化する各国のデータ保護規制対応が課題

　データの越境移転（個人情報を海外の第三者に提供すること）はプライバシー保護の観点から、各国・地域において規制を設けるなどの対応が行われている。現在、データ越境移転を行っているとした企業は64.4％を占め、そのうち25.0％は越境移転の頻度が今後さらに増えていくとしている。現在の主な移転先としては、アジア太平洋地域（41.2％）、欧州地域（39.7％）、中国（36.0％）、北米地域（32.9％）となった。

　海外企業との取引においてデータをやり取りする際の課題としては、「相手国と自国のデータ保護基準が一致しておらず調整が複雑になる」が48.8％と半数近くに上り、「データを安全に相手企業に送信できているかどうか不安である」が38.2％、「相手国のデータ保護規制の内容をすぐに理解できず対応に時間がかかる」が37.8％と続いた。各国・地域のデータ保護規制は複雑化および厳格化が進んでいるため、それを理解して対応することが課題になっていることがうかがえるという。

図5：海外企業とのデータのやり取りにおける課題

［画像クリックで拡大表示］

プライバシーガバナンスへの取り組みは「責任者の任命」と「姿勢の明文化」が先行している

　企業経営の重要事項として、組織全体でプライバシー問題に取り組む体制を構築し、企業価値の向上につなげる「プライバシーガバナンス」の重要性が高まりつつある。プライバシーガバナンスの取り組み状況について質問したところ、「組織全体のプライバシー保護に関する責任者を任命」が37.5％と最も多く、次に「プライバシーガバナンスについての組織の姿勢を明文化」が34.3％となった。

　これらは、経済産業省が示したプライバシーガバナンスで経営者が取り組むべき3要件の中の2つであり、先んじて取り組まれていることがわかった。明文化した姿勢の具体的な実践として、「事業部門が関係部署と連携し、リスクマネジメントを実施」（31.4％）や「プライバシー保護のための組織を設置」（30.4％）などの取り組みが続いたという。

図6：プライバシーガバナンスに関する取り組み

［画像クリックで拡大表示］

【関連記事】
・非正規社員のアイデンティティ管理が課題か──SailPointテクノロジーズジャパン・ITR調査
・国内マネージドEDRサービス市場の売上は前年度比42.6%増、中堅中小企業への展開加速──ITR調査
・2024年度はAI関連製品／サービスへの投資が加速か──ITRがIT投資動向調査結果を発表