AI開発したアプリが“使えない”……根本にあるセキュリティ／ガバナンス問題を解消する「一体設計」手法

バイブコーディングの普及で、ソフトウェアの欠陥が2,500％増加する見立ても

　OutSystemsは2001年、ポルトガルのリスボンで創業。2025年時点で87を超える国・地域、3,000社を超える企業に導入が進み、90万人以上が参加するコミュニティを抱える。当初はアプリケーションを簡単に、品質良く作るローコードプラットフォームを提供していたが、近年はAIアプリケーションの開発から運用までを一気通貫で支える方向へ軸足を移している。

　講演冒頭、同社でエンタープライズ企業のAIアプリケーション開発やレガシーモダナイゼーションを支援している佐藤伸彦氏は、企業のAI導入における現状を説明。生成AIを使えばパワフルに、速く、安くアプリケーションを開発できる。だが、「いざ本番環境で使っていくときには、さまざまな課題が生じ、なかなかおいそれとリリースできないのが現状だ」と佐藤氏は切り出した。

　昨今、AI開発自体は急拡大している。その証左として、同氏は以下3つの数字を提示した。

　このようにソフトウェア開発にAIが積極的に組み込まれはじめている一方で、AIエージェントが制御を外れ、データベースを破壊した事例など、AIにおける負の側面もある。要件を伝えればそれらしいアプリケーションが高速で組み上がるバイブコーディングの広がりも、品質への懸念と表裏一体だ。実際、ITリーダーの67％がAIガバナンスに自信をもてておらず、バイブコーディングの普及にともなって2028年までにソフトウェアの欠陥が2,500％増加するとの予測もある。

AIガバナンスの不在が引き起こす3つのリスク

　なぜ、多くの企業がAIの本番運用に踏み切れないのか。佐藤氏はその構造をセキュリティ・コンプライアンス・ガバナンスの3つで整理した。

　第一が、セキュリティリスクだ。生成AIは自然言語の指示で挙動をコントロールできてしまうため、プロンプト攻撃を受けやすい。また、ロジックを一つひとつ定義して作るものでもないため、「意図しない形で個人情報が使われる」「機密データが外部に流出する」といったリスクも生じる。

　第二が、コンプライアンスリスク。個人情報保護法やEU一般データ保護規則（GDPR）への準拠、金融・医療といった業界特有の規制との整合性が問われる。実行結果をすべてログとして残せるのか、その結果をどう説明するのか。監査証跡の欠如と説明責任の不在も課題となる。

　第三が、ガバナンスリスクである。AIは使いはじめやすいがゆえに、安全対策が個人に委ねられがちだ。処理の判断プロセスも見えにくく、変更時に予期せぬ品質後退（リグレッション）が起こっても気づけない。佐藤氏は、「組織横断で統制していくことが非常に難しい」と指摘した。

　その結果、理想と現実のギャップが生まれる。マネジメント層は、AIを業務にどう生かすかという青写真を掲げる。ところが現場はツールをいかに安全に、ガバナンスを効かせながら使うかを検討するフェーズで足踏みし、PoCから先に進まない、スケールへの道筋が見えないといった状態に陥る。

　このギャップを埋めるためにOutSystemsが掲げるのが、ガバナンス・セキュリティ・プラットフォームの一体設計だ。組織ポリシーの一元管理と監査ログの自動記録を担うガバナンス。実行時のリアルタイム制御と、PII（個人を特定できる情報）の自動検知やマスクを担うセキュリティ。開発時の品質・回帰テストと実行トレーサビリティの可視化を担うプラットフォーム。「この3つが合わさって初めて、本番運用に耐えうるAIアプリケーションを作れる」という。