対策ができていると回答した85人にその判断理由を尋ねたところ、「社内のAI利用ルールの整備」が65.9％で最多となった。「専門部署による管理」が51.8％、「大手提供元への信頼」と「外部診断・社内監査」が各44.7％、「過去に大きな問題がないこと」が31.8％、「現場に問題が見えない」が17.6％、「許可外ツールの技術的制限」が12.9％と続いた。

セキュリティ対策を評価する理由（出典：TWOSTONE&Sonsリリース）

　実施している管理策（複数回答）は、「利用ルールの制定」が54.0％、「AIに入力可能な情報の範囲の設定」が45.0％、「会社契約外のAIツールの制限」が44.0％だった。「利用ツールの棚卸し」が37.0％、「私物端末・個人アカウントの把握」が30.0％、「外部連携の把握」が27.0％、「トラブル対応手順の設定」が20.0％だった。

実施されているAIセキュリティ管理策（出典：TWOSTONE&Sonsリリース）

　利用状況の確認は「週1回以上」が19.0％、「月1～3回」が15.0％、「四半期に1回」が27.0％で、計61.0％が四半期に1回以上となった。「年1回程度」は12.0％、「必要時のみ」は19.0％だった。

　直近1年間のAI利用に関連した出来事については、「実際にトラブルが発生した」との回答が37.0％、「トラブルには至らないものの危うい出来事があった」との回答が38.0％、「いずれもない」が17.0％、「分からない・答えられない」が8.0％だった。

　事象を把握した75人の発見経路（複数回答）は、「監視・セキュリティツールの検知や警告」が58.7％、「ログ確認やツール棚卸しなど定期確認」が50.7％、「社内監査・外部診断」が45.3％。「本人の申告」と「同僚・上長の報告」が各30.7％、「社外での問題判明」が21.3％、「顧客らの指摘」が17.3％、「別件調査での発見」が13.3％だった。

　セキュリティ対策ができているかどうかの判定基準が勤め先にあるかという設問では、「明文化し定期確認する」といった回答が38.0％となった。「文書化済みだが確認はほぼなし」が12.0％、「文書化せず共通認識あり」が16.0％、「担当者任せ」が21.0％、「基準なし」が6.0％だった。

セキュリティ対策の判定基準があるかどうか（出典：TWOSTONE&Sonsリリース）

　調査結果から、AIセキュリティ対策について85.0％が肯定的に評価しているものの、対策ができているかどうかを判断する明文化された基準を設け、定期的に照らし合わせ確認している企業は38.0％にとどまる実態が明らかになった。

　なお、調査は2026年10月15～19日、IDEATECHの「リサピー」の企画でインターネットで実施した。対象は従業員300人以上で生成AIやAIエージェントを全社導入した企業の経営者・役員・部門責任者のうち、導入・運用方針の決定に関与する100人だ。