自律型AI（エージェンティックAI）ガバナンスとは、自律的なAIシステムが許容可能なリスクの範囲内で目的を追求するようにするためのポリシー、コントロール、監督の仕組みの総体です。モデル出力の品質や公平性に焦点を当てる従来のAIガバナンスとは異なり、エージェンティックAIガバナンスは、こうしたシステムが現実世界で実行する行動に焦点を当てます。具体的には、どのツールを呼び出すのか、どのデータにアクセスするのか、その判断がどのような結果をもたらすのか、といった点です。

多くの組織は過去3年間、前世代のAI、つまりラベル付けを行う分類器、予測を行うモデル、テキストを生成するチャットボットを想定したガバナンスプログラムの構築に取り組んできました。こうしたプログラムは、AIシステムが出力を生成し、人間がそれを評価し、その人間が出力をどう扱うかを判断する、という前提に基づいています。エージェンティックAIは、この前提を覆します。エージェンティックAIシステムは、高レベルの目的を受け取ってサブタスクに分解し、各ステップを遂行するためのツールを選択して呼び出し、中間結果を評価しながらアプローチを調整します。その過程では数十もの判断が行われることが多く、各段階での人間の介入は最小限です。

この変化は、もはや仮定の話ではありません。2025年11月に公表されたMcKinseyの2025年版State of AIレポートによると、組織の23%がすでに社内のいずれかの領域でエージェンティックAIを本格展開しており、さらに39%が積極的に試行しています[1]。2025年末までに、エージェント機能は研究段階のデモから、Salesforce、Microsoft Copilot、ServiceNow、SAPをはじめとする数多くのエンタープライズプラットフォームへと広がりました。企業にとっての問いは、もはやAIエージェントを導入するかどうかではなく、問題が起きる前にガバナンスを整備できているかどうかです。

本記事の目的は、経営幹部、取締役会メンバー、GRCおよびAI部門のリーダーといったエンタープライズのリーダーに、エージェンティックAIガバナンスの明確で実用的な定義を示すことです。具体的には、それが何か、組織ですでに実践しているかもしれないAIガバナンスと何が違うのか、なぜ今重要なのか、どのようなフレームワークが登場しつつあるのか、そしてどこから始めるべきかを解説します。フレームワークに基づくより詳しい実装ガイドについては、Enzaiの「自律型AI（Agentic AI）ガバナンス：エンタープライズ向け決定版ガイド」をご覧ください。

AIエージェントとは

先に進む前に、「AIエージェント」という用語を正確に定義しておきましょう。この言葉はマーケティング資料で曖昧に使われることが多く、ガバナンスの観点から実際に何が変わるのかが見えにくくなっています。

本記事では、AIエージェントを次の4つの要素を組み合わせたシステムと定義します。

1. 基盤モデル（通常は大規模言語モデル）：推論能力を提供します

2. 目的：明示的なもの（ユーザーによる指示）と、暗黙的なもの（上位の目標から分解されたもの）があります

3. ツール：エージェントが情報の収集や行動のために呼び出せるAPI、データベース、コード実行環境などのシステムです

4. 実行ループ：エージェントが計画し、行動し、その結果を観察して、反復するサイクルです

質問に答えるチャットボットは、この意味でのエージェントではありません。出力は生成しますが、行動は起こさないからです。LLMを呼び出してメールを要約するワークフローも、自律的な意思決定ループを持たないためエージェントではありません。エージェントとは、「この求人に最適な候補者を見つけて」という指示を受けて、どのデータベースを照会するか、どの候補者を絞り込むか、誰に何を伝えるか、いつ人間にエスカレーションするかを自ら判断できるシステムです。この自律性こそがエージェントの価値であり、同時にガバナンスを難しくしている要因でもあります。

エージェンティックAIガバナンスとAIガバナンスの違い

エージェンティックAIガバナンスについて最も重要なのは、それが単なる「従来の延長」ではないという点です。3つの構造的な違いが、従来のフレームワークでは想定されていなかった形でガバナンスのあり方を変えています。

主なリスクが出力から行動へと移ります。従来のAIガバナンスが懸念するのは、モデルが何を言うか、つまり出力が正確で公平か、有害なコンテンツを含まないかです。一方、エージェンティックAIガバナンスが懸念するのは、エージェントが何をするかであり、その行動の多くは取り消すことができません。誤分類された画像はラベルを付け直せます。しかし、誤った宛先に送信されたメール、削除されたデータベースのレコード、誤って実行された金融取引は、簡単には元に戻せません。

単一の判断が多段階の連鎖になります。1つの高レベルな指示が、どのデータベースを照会するか、どの基準を重視するか、次にどの行動を取るかといった、数十もの中間判断を引き起こすことがあります。単一判断型のシステムを前提に設計されたガバナンスフレームワークでは、こうして積み重なる複雑さに対応しきれません。入力と出力しか記録しない監査証跡では、それらを生み出した推論の過程が抜け落ちてしまいます。

静的なツールアクセスが、動的なツール呼び出しへと変わります。最新のエージェントアーキテクチャでは、エージェントが実行時にAPI、データベース、Webサービスなどのツールを発見して呼び出せます。これらは、システムの設計時や評価時には想定されていなかった可能性があります。月曜日と金曜日とで、同じシステムの能力が大きく異なることもあり得ます。そのため、リスクアセスメント、適合性評価、コンプライアンスの対象が絶えず変化することになります。

これらの違いは互いに重なり合います。両者を並べて比較すると、ガバナンスの変化が具体的に見えてきます。

この表の各行は、既存のガバナンス実務をそのままエージェントに適用した場合に不十分となる箇所を示しています。現在最も速く前進している企業は、AIガバナンスプログラムを捨てるのではなく、この表が求める追加の取り組みによってそれを拡張しています。

エージェンティックAIガバナンスが今重要な理由

3つの要因によって、エージェンティックAIガバナンスは将来に向けた検討課題から、企業にとって喫緊の優先事項へと変わりました。

1つ目は、導入規模の拡大です。エージェンティックAIの機能は、多くの企業がすでに利用しているプラットフォームに組み込まれています。Microsoft、Salesforce、ServiceNow、SAPをはじめ数多くの企業が、この18か月の間に自社のエンタープライズ製品へエージェント機能を搭載しました。McKinseyによると、組織の23%が少なくとも1つの業務機能でエージェンティックAIを本格展開しており、さらに39%が試行しています[1]。多くの企業内ですでに稼働しているエージェンティックシステムは、必ずしも承認済みで可視化されているわけではありません。その多くはSaaSプラットフォームに組み込まれた機能であったり、個々のチームが独自に導入したシャドーAIであったりします。

2つ目は、規制の到来です。EU AI Actの第3条(1)におけるAIシステムの定義は、「さまざまなレベルの自律性」と、「物理的または仮想的な環境に影響を与える」出力を明示的に想定しており、エージェンティックシステムを無理なく包含する文言になっています。第9条から第15条に基づく高リスクAIシステムの義務は2026年8月に全面適用されますが、デジタル・オムニバス案により、附属書IIIの一部の期限が2027年12月まで延長される可能性があります[2]。規制の適用範囲はすでにエージェンティックAIを対象としており、運用上の義務は企業が無視できないスケジュールで到来しつつあります。（詳しくは、EU AI ActがエージェンティックAIにどのように適用されるかについてのEnzaiの分析と、「EU AI Act エンタープライズ・コンプライアンスガイド」をご覧ください。）

3つ目は、エージェント固有のリスクフレームワークの成熟です。2025年12月、OWASP GenAI Security ProjectはTop 10 for Agentic Applications 2026を公開しました。これは、100人を超える研究者や実務家の協力を得て作成された、自律型AIシステムが直面する最も重大なセキュリティリスクのピアレビュー済みカタログです[3]。それ以降、複数のベンダーがこれらのリスクに明確に対応したランタイムツールをリリースしています。リスクは特定され、優先順位が付けられ、対応ツールも揃いました。「何をガバナンスすべきかまだわからない」と言える時期は、すでに過ぎています。

Palo Alto Networksは2026年のサイバーセキュリティ予測の中で、差し迫った実務上の懸念を端的に示しています。自律型エージェントは今や「2026年最大の内部脅威」であり、同社が高度と評価するAIセキュリティ戦略を持つ組織はわずか6%にとどまるというものです[4]。導入のペースとガバナンスの成熟度の差は広がりつつあり、エージェンティックAIはその最前線にあります。

エージェンティックAI特有のリスク

エージェンティックAIガバナンスという抽象的な概念を具体的に捉えるには、それが対処すべき具体的なリスクを見るのが有効です。OWASP Top 10 for Agentic Applications 2026は、公開されているものの中で最も厳密なリスク一覧です。10のリスクは、次のように明確に分類できます。

エージェントの目的に対するリスク：最も多く言及されるリスクであるエージェント目標の乗っ取り（Agent Goal Hijacking、ASI01）は、エージェントがタスクの一環として処理するメール、文書、Webページなどに攻撃者が悪意ある入力を仕込み、エージェントの目的を操作することで発生します。エージェントは指示とデータを確実に区別できないため、たった1つの悪意ある入力によって、エージェントが正規のツールとアクセス権限を使って有害な行動を取るよう誘導されてしまう可能性があります[3]。関連するリスクとして、攻撃者がエージェントに保存されたコンテキストを改ざんし、将来の判断に影響を与えるメモリポイズニング（Memory Poisoning、ASI06）があります。

エージェントの行動に対するリスク：2番目に挙げられているツールの悪用（Tool Misuse、ASI02）は、エージェントが正規のツールを不正な目的に使用するリスクです。アイデンティティと権限の悪用（Identity and Privilege Abuse、ASI03）は、エージェントがタスクに必要な範囲を超える認証情報で動作するケースを指します。予期しないコード実行（Unexpected Code Execution、ASI05）は、エージェントが想定された範囲外でコードを生成または呼び出すリスクを扱います。

エージェントの環境に対するリスク：エージェンティック・サプライチェーンの脆弱性（Agentic Supply Chain Vulnerabilities、ASI04）は、エージェントが実行時に依存するサードパーティのツール、モデル、サービスに関するリスクです。安全でないエージェント間通信（Insecure Inter-Agent Communication、ASI07）は、侵害された1つのエージェントが他のエージェントを汚染したり、強制的に操作したりし得るマルチエージェントシステムのリスクを扱います。

システム全体に対するリスク：連鎖的障害（Cascading Failures、ASI08）は、1つのエージェントのエラーが、依存関係にある複数のシステムの連鎖を通じて波及する状況を指します。人間とエージェント間の信頼の悪用（Human-Agent Trust Exploitation、ASI09）は、エージェントの推奨に対するユーザーの信頼を悪用するソーシャルエンジニアリング攻撃を対象とします。不正エージェント（Rogue Agents、ASI10）は、承認されたガバナンスプログラムの外で動作するエージェントという、インベントリと検出の問題を扱います。

これら10のリスクは網羅的なものではありませんが、1つの基準となります。この分野で形成されつつあるコンセンサスに照らせば、そのそれぞれに説得力のある答えを持たないエージェンティックAIガバナンスプログラムは不完全です。

優れたエージェンティックAIガバナンスの条件

エージェンティックAIをガバナンスするための完全なフレームワークは、本記事の範囲を超えます。ただし、主要なフレームワーク（OWASP、EU AI Act、NIST AI RMF、Treasury Financial Services AI RMF）には5つのガバナンスの観点が一貫して見られ、本格的なエージェンティックAIガバナンスプログラムであれば、その5つすべてに対応する必要があります。

1. 自律性分類：すべてのエージェントに同じレベルのガバナンスが必要なわけではありません。支援型（すべての行動を人間が承認）から完全自律型（オープンエンドなタスクの遂行）まで、各エージェントを運用の自律性のレベルに応じて分類します。

2. アクションの制約：許可リスト方式を用いて、各エージェントに許可される行動を定義します。ツール、API、データ、影響度のしきい値（例：取引額の上限）は、すべてガバナンスの対象です。

3. エスカレーションルール：信頼度のしきい値、影響度のしきい値、異常検知、対象領域の境界、障害条件など、エージェントが人間に制御を戻さなければならない条件を定義します。

4. トレーサビリティ：入力と出力だけでなく、推論チェーン全体、すべてのツール呼び出し、すべての中間判断を記録します。EU AI Act第12条の記録保持要件は、これを前提としています。

5. 継続的なモニタリング：パフォーマンス、挙動、コンプライアンス、公平性、セキュリティのすべてをリアルタイムで追跡する必要があります。デプロイのたびに能力が変化し得るシステムでは、特定時点での検証だけでは不十分です。

これらの観点には、それぞれ固有の実装上の奥深さがあります。EU AI Actに対応した5層のガバナンスアーキテクチャ、複数のステークホルダーにまたがる責任の問題、エージェントの障害に対するインシデント対応などを含む実践的なプレイブックについては、Enzaiの「自律型AI（Agentic AI）ガバナンス：エンタープライズ向け決定版ガイド」をご覧ください。

これら5つの観点は、基盤となる機能も前提としています。それは、すべてのエージェンティックシステムを静的なモデルとは区別して可視化するAIインベントリです。これがなければ、ガバナンスプログラムの対象範囲を定めることができません。Enzaiのガイド「ガバナンスのためのAIシステムインベントリ構築手法」では、エージェンティックシステムに特有のインベントリ要件を解説しています。

よくある誤解

いくつかの思い込みが、企業におけるエージェンティックAIガバナンスの導入を遅らせています。いずれも誤りであり、一つひとつ明確に正しておく価値があります。

「エージェントのガバナンスは、新たな規制が出てからでよい」そうではありません。EU AI Actの既存の定義はすでにエージェンティックシステムを対象としており、2026年8月からは高リスクAIシステムの義務が適用されます。「エージェントに特化した」規制を待っている組織は、すでに施行されている規制のもとで違反状態に陥ることになります。

「既存のAIガバナンスでエージェンティックAIもカバーできる」完全にはカバーできません。上の比較表が示すとおり、従来のAIガバナンスは、行動を起こすシステムではなく、出力を生成するシステムを前提に設計されています。エージェンティックシステムを適切にガバナンスするには、インベントリへの新しい項目の追加、新たなリスクカテゴリ、新たな運用コントロールなど、既存のプログラムを拡張する必要があります。

「エージェンティックAIは新しすぎて、本格的なガバナンスは難しい」そうではありません。2025年12月の時点で、OWASPはピアレビュー済みのトップ10リスクカタログを公開していました。2026年第2四半期までには、複数のベンダーがこれらのリスクに明確に対応したランタイムツールをリリースしています[3]。フレームワークもツールもすでに存在します。制約となっているのはフレームワークの有無ではなく、企業における導入の成熟度です。

「ポリシーさえあれば十分」実際に制御する仕組みのないポリシーは、願望にすぎません。エージェントは機械の速度で動作し、1秒間に数十もの行動を実行できます。手作業によるポリシーレビューでは追いつけません。エージェンティックAIのガバナンスは、Wikiに置かれた文書としてではなく、実行時のガードレール、許可リストの適用、エスカレーションの自動トリガーといった形で、インフラに実装する必要があります。

「これはガバナンスではなくセキュリティの問題だ」その両方です。認証、認可、入力検証、モニタリングといったセキュリティ対策は不可欠ですが、それらが答える問いはガバナンスとは異なります。ガバナンスが問うのは、誰が説明責任を負うのか、リスクをどう分類するのか、どのフレームワークが適用されるのか、規制当局を納得させるにはどのようなエビデンスが必要か、といった点です。エージェンティックAIには、その両方が連携して機能することが求められます。

よくある質問

自律型AI（エージェンティックAI）ガバナンスとは何でしょうか？エージェンティックAIガバナンスとは、自律的なAIシステムが許容可能なリスクの範囲内で目的を追求するようにするためのポリシー、コントロール、監督の仕組みの総体です。モデルが何を言うかだけでなく、エージェントが何をするか、つまりその行動と結果に焦点を当てる点で、従来のAIガバナンスとは異なります。

AIエージェントとは何ですか？AIエージェントとは、基盤モデル（推論を担う）、目的、呼び出し可能なツール群（API、データベース、コード実行など）、そして計画、行動、結果の観察、反復を行う実行ループを組み合わせたシステムです。その本質的な特徴は、出力を生成するだけでなく、自律的に行動を起こす点にあります。

エージェンティックAIガバナンスはAIガバナンスと同じですか？いいえ。エージェンティックAIガバナンスは、AIガバナンスを特化・拡張したものです。従来のAIガバナンスは、モデルの出力（正確性、バイアス、公平性、コンテンツ）に焦点を当てます。エージェンティックAIガバナンスでは、それに加えて、自律的な行動、多段階の推論、動的なツール呼び出し、そして多くのエージェントの行動が取り消せないという点にも対処する必要があります。

EU AI ActはAIエージェントを対象としていますか？はい。EU AI Act第3条(1)のAIシステムの定義は、「さまざまなレベルの自律性」と、「物理的または仮想的な環境に影響を与える」出力を明示的に想定しており、エージェンティックシステムを包含する文言になっています。エージェンティックシステムが附属書IIIの高リスクカテゴリに該当する場合は、第9条から第15条の義務がすべて適用されます。なお、2026年8月の期限は、デジタル・オムニバス案によって延長される可能性があります。

OWASP Top 10 for Agentic Applicationsとは何ですか？OWASP GenAI Security Projectが2025年12月に公開した、自律型AIシステムが直面する最も重大な10のセキュリティリスクをまとめたピアレビュー済みのカタログです。エージェント目標の乗っ取り、ツールの悪用、アイデンティティと権限の悪用、エージェンティック・サプライチェーンの脆弱性、予期しないコード実行、メモリポイズニング、安全でないエージェント間通信、連鎖的障害、人間とエージェント間の信頼の悪用、不正エージェントが含まれます[3]。

AIエージェントにはISO 42001がどのように適用されますか？AIマネジメントシステムの国際規格であるISO/IEC 42001は、他のAIシステムと同様にエージェンティックAIにも適用されます。リスクアセスメント、人による監視、継続的なモニタリングに関する要求事項は、直接関係します。認証取得を目指す組織は、自社のAIマネジメントシステムが従来のAIアプリケーションだけでなく、自律型エージェントの導入も明示的に対象としていることを確認すべきです。

AIエージェントのガバナンスにおける最初のステップは何ですか？エージェンティックシステムを静的なモデルとは区別して可視化するAIインベントリを構築することです。どのエージェントが存在し、何をする権限を持ち、誰が責任を負っているのかを正確に把握できなければ、ガバナンスの次のステップには進めません。

エージェンティックAIと生成AIの違いは何ですか？生成AIはコンテンツ（テキスト、画像、音声）を作成し、エージェンティックAIは現実世界で行動を起こします。多くのエージェンティックシステムは生成AIモデルを基盤に構築されていますが、ガバナンスに変化をもたらしているのは、基盤となる生成アーキテクチャではなく、その上に加わった行動を起こす能力です。

次のステップ

エージェンティックAIガバナンスの取り組みを始めたばかりの組織にとって、優先すべきは可視性の確立です。つまり、エージェンティックシステムを個別に可視化するAIインベントリを整備し、それぞれに自律性分類を付与することです。取り組みが進んでいる組織では、運用面の作業が中心になります。各エージェントの自律性レベルに応じた許可リストによる制約、実行時のガードレール、エスカレーションルールを実装することです。

Enzaiの実装プレイブックの全容は、「自律型AI（Agentic AI）ガバナンス：エンタープライズ向け決定版ガイド」でご覧いただけます。このガイドでは、5層のガバナンスフレームワーク、複数のステークホルダーにまたがる責任、インシデント対応に加え、各要件がEU AI Act、ISO 42001、NIST AI RMFにどのように対応するかを解説しています。

EnzaiのプラットフォームがエージェンティックAIガバナンスを具体的にどう支援するか（インテーク段階での自律性分類、本番環境での許可アクションのホワイトリスト化、すべての推論ステップの監査証跡、エージェンティックシステム全体の継続的なモニタリング）をご覧になりたい方は、デモを予約してください。

Enzaiは、抽象的なポリシーから運用レベルの監督への移行を支援するために設計された、業界をリードするエンタープライズAIガバナンスプラットフォームです。当社のAIリスク管理プラットフォームは、エージェンティックAIガバナンスの管理、包括的なAIインベントリの維持、EU AI Actへの準拠に必要な専用のインフラを提供します。Enzaiは複雑なワークフローを自動化することで、ISO 42001やNISTなどのグローバル標準との整合性を保ちながら、企業が自信を持ってAI活用を拡大できるよう支援します。

参考文献

1. McKinsey & Company、「The State of AI in 2025: Agents, Innovation, and Transformation」、2025年11月。

2. 欧州議会及び理事会規則（EU）2024/1689、第3条(1)、第9～15条、第113～114条。欧州連合官報、2024年8月。欧州委員会によるAIに関するデジタル・オムニバス案（2025年11月）により、附属書IIIの期限が変更される可能性があります（トライローグ交渉の結果次第）。

3. OWASP GenAI Security Project、「OWASP Top 10 for Agentic Applications 2026」、2025年12月10日公開。

4. Palo Alto Networks、「2026 Cybersecurity Predictions」および「AI agents 2026's biggest insider threat」（The Registerによる報道）、2026年1月。