企業が AI Agent を使って営業見積書を整理したり、調達契約を照合したり、顧客からの苦情を集約したりする際、最初に直面する問題は、モデルの性能ではなく、こうしたデータを社外に出せるかどうかです。見積書には原価、契約書には取引条件、苦情には個人情報が含まれています。しかし、ベンダーがこれらの内容を一切確認できない場合、システムに問題が発生したとき、AI Agent が何を行ったのかを誰が調査するのでしょうか？
機密データをベンダーに渡さないからといって、企業が AI Agent の利用を断念する必要はありません。企業は2つの課題を分けて考える必要があります。一方ではベンダーにデータの内容を見せず、もう一方では社内で完全な実行軌跡（trace）を確認できるようにすることです。前者にはデプロイ先、社内ネットワークへの接続、外部接続の制限が必要であり、後者には企業が自ら保管する記録と承認プロセスが必要です。
ベンダーにはデータを見せず、社内では作業記録を確認できるようにする
リーガルテック企業の Legora が直面している制約は明確です。データは法律事務所の顧客に帰属するため、Legora は AI Agent が弁護士の業務を支援した際の実行軌跡を確認できません。このシステムは、Word 文書の作成や編集、同一の表内での10,000件の契約書のレビュー、デューデリジェンスなどを支援できます。しかし、ベンダーがこうした業務を担えるからといって、顧客データの内容まで閲覧できるわけではありません。
この事例は、台湾企業にとっても、社外への機密保持と社内での追跡可能性は別の課題であることを示しています。企業は、外部ベンダーによる見積書、調達条件、顧客データの閲覧を禁止できますが、情報セキュリティ、法令遵守、業務プロセスの責任者は、AI Agent がどのデータを参照し、どのツールを呼び出し、どのような結果を生成し、最終的に誰が承認したのかを把握する必要があります。機密保持を優先するあまり社内記録まで残していなければ、エラーが発生しても結果しか確認できず、問題の原因がデータ、モデル、検索、プロセス設定のどこにあるのかを特定できません。
したがって、最初に行うべきことはモデルの選定ではなく、各業務工程でどのデータを扱い、誰が閲覧できるかを明確にすることです。まずデータフローを可視化し、データソース、機密区分、保存場所、データを利用できる担当者、ベンダーがアクセスできるかどうかを項目ごとに明記することを推奨します。1項目でも明確に説明できなければ、プロセス全体を AI Agent に任せるべきではありません。
オンプレミスとクラウドの切り分けは、データの流れを基準にする
企業がシステム全体を同じ環境に配置する必要はありません。オンプレミス導入（on-premises deployment）は、社内環境の外に出せないデータの処理に適しています。ハイブリッド導入（hybrid deployment）では、機密データを社内に保持しつつ、外部への送信が許可された処理をクラウドモデルに任せられます。たとえば、調達価格を比較する場合、まず社内ネットワーク上で品目番号、過去の価格、サプライヤーの条件を読み取り、機密項目を削除した内容だけを別の環境に送って整理できます。どこで処理を分けるかは、チームがどのブランドを好むかではなく、データの内容と法令遵守要件に基づいて決定すべきです。
社内システムとの連携を始める段階では、AI Agent にデータの書き込み権限をすぐに与えるべきではありません。AI Agent が企業資源計画（enterprise resource planning、ERP）システム、契約書データベース、品質管理データを参照する場合は、まず読み取り専用接続を使用することを推奨します。照会範囲、権限設定、例外処理に問題がないことをチームが確認してから、後続の操作を許可する必要があるかを検討します。外部接続については、デフォルトで拒否することから始め、業務に必要なドメインだけを許可し、AI Agent がプロセスの実行中に未審査の外部サービスを利用することを防ぐ必要があります。
EgentWrX はクラウド、オンプレミス、ハイブリッドの3つの導入形態に対応しています。また、AI Agent が社内ネットワークを通じてデータベースに読み取り専用でアクセスすることも可能です。外部ドメインは個別に許可する方式を採用しているため、企業はデータの機密度に応じて処理を切り分けられます。導入チームが今行うべきことは、リスクを制御できるプロセスを1つ選び、読み取りおよび送信の対象となる項目を洗い出したうえで、どの工程を社内に残し、どの工程をクラウドで処理するかを決めることです。
ベンダーが顧客データを確認できない場合、どのようにテストし、エラーを追跡するのか？
Legora では、3名のエンジニアと3名の弁護士が共同で、顧客の実際の業務を再現するテスト環境を構築しました。その方法は、強化学習（reinforcement learning）でシミュレーション世界（worlds）を構築するアプローチに似ています。企業も、匿名化（de-identification）したデータや架空データを使用して、実際の業務でエラーが起こりやすい状況を再現できます。たとえば、契約条項の矛盾、見積書の必須項目の欠落、権限範囲を超える調達条件などです。これにより、ベンダーは実際のデータにアクセスせずにプロセスをテストできます。
テストでは、最終的な回答が正しいかどうかだけを確認してはいけません。データ取得、検索結果、引用、ツールの呼び出しを個別に検証し、各テストで使用したモデルのバージョンも記録する必要があります。Legora では、引用の正解率が70％から99％に向上したことがありました。その理由は製品自体の変更ではなく、モデルのバージョン更新でした。つまり、モデルをアップグレードした後に、以前の受け入れテスト結果をそのまま流用することはできません。以前合格したテストケースも再実行し、不合格だったテストケースについても、本当に改善されたかを確認する必要があります。
実際に運用するプロセスでは、監査ログ（audit log）を保存し、誰が閲覧できるか、どのくらいの頻度で確認するか、異常なタスクが見つかった場合に誰が対応するかを事前に定める必要があります。EgentWrX の監査ログはエクスポートできるほか、ハッシュチェーン（hash chain）を使って記録の完全性を検証できます。管理者が記録をダウンロードした場合も、その操作自体が記録されます。本番稼働前に、必須項目が欠落したタスクや権限が不足したタスクを意図的に投入して演習を行い、AI Agent が実行した各工程を記録から追跡できること、さらに対応責任者を特定できることを確認するよう推奨します。
高リスクのプロセスを AI Agent だけで最後まで自動実行させない
AI Agent は、受付、リストの整理、文書レビュー、後続作業を一連のプロセスとして連携できます。しかし、法務レビュー、デューデリジェンス、社外向け見積もり、調達承認には明確な責任が伴います。Legora の CTO である Jacob Lauritzen は、現在のモデルで適切に完了できる法律業務は約60％であり、残りの業務にはさらに高性能なモデルが必要だと見積もっています。これはあくまで彼の推定ですが、導入チームにとって重要な示唆があります。AI Agent が一部の業務を完了できるからといって、人の監督なしでプロセス全体を実行できるわけではありません。
企業は既存のプロセスをリレー図として可視化し、どの段階で必ず停止して人の確認を待つべきかを明示できます。顧客への送信直前、金額が権限上限を超える場合、条件が曖昧な場合、異なるデータソース間で矛盾がある場合には、人による承認ゲート（human approval gate）を設ける必要があります。プロセス文書には、誰が承認するのか、差し戻された後に誰が修正するのか、修正後に再承認が必要かどうかも明記しなければなりません。
まずは、結果を検証しやすく、影響範囲が限定されたプロセスを選ぶことを推奨します。たとえば、契約書リストの整理や調達条件の差異の集約などです。AI Agent に前半のデータ整理を任せ、その後、人が判断して社外に提出します。本番稼働前に、管理職が自ら次の3点を確認する必要があります。機密データが本来送られるべきでない場所に流出していないこと、社内で完全な記録を確認できること、重要な判断は送信前に必ず人が承認することです。
よくある質問
機密データを一切クラウドに送れない場合でも、AI Agent を利用できますか？
はい。オンプレミス導入を選択し、社内の中央サーバーや従業員のコンピューター上で処理を実行し、社内ネットワークを通じて読み取り専用でデータベースにアクセスできます。ただし、導入前には、モデル、記録、バックアップがそれぞれどこに保存されるかを確認する必要があります。システムのホストマシンがどこにあるかだけを確認しても十分ではありません。
ベンダーが業務内容を確認できない場合、エラーをどのように調査しますか？
社内で、エクスポート可能かつ完全性を検証できる監査ログを保存し、AI Agent がどのデータを参照し、どのツールを呼び出し、誰が承認したのかを記録する必要があります。導入前に、記録管理者、閲覧権限、確認頻度を定め、異常なタスクを使って実際の追跡プロセスを一度演習してください。
モデルの更新後は、すべてのテストをやり直す必要がありますか？
少なくとも、高リスクで代表的なテストは再実行する必要があります。モデルのバージョン更新によって、引用やツール利用のパフォーマンスが変化する可能性があるためです。チームはテストデータと評価方法を固定し、旧バージョンの結果を保存したうえで、新バージョンに性能低下がないかを比較する必要があります。正しく見える回答を数件だけ抽出して確認するだけでは不十分です。
どの工程に人による承認を設定すべきですか？
社外への送信、金額が権限上限を超える場合、条件が曖昧な場合、異なるデータ間に矛盾がある場合は、処理を停止し、指定された担当者の承認を待つ必要があります。プロセス文書には、誰が承認できるのか、差し戻し後に誰が修正するのか、修正後に再度承認を申請する必要があるかも明記しなければなりません。責任の所在を口頭の取り決めだけに頼るべきではありません。
参考資料
- データを閲覧できない状況でリーガル AI Agent を構築する方法 - Legora CTO、Jacob Lauritzen — Legora が顧客データを閲覧できない状況で、リーガル AI Agent をどのようにテストしているかを解説した Latent Space のインタビュー要約。
