AIエージェントの実際の定義と、「エージェント」と称される製品の多くが該当しない理由
ガバナンスとリスクに関わる厳密な技術的意味におけるAIエージェントとは、環境を知覚し、目標について推論し、行動を計画し、外部のツールやシステムを通じてその行動を実行し、結果に基づいて自らの挙動を適応させるAIシステムであり、その過程における人間の監督は限定的か、まったく存在しない。決定的な特徴は、自律的な目標追求である。エージェントは、明示的に指示されなくても次に何をするかを自ら決定できる。
これは、商業マーケティングにおいてAIエージェントとしばしば混同される、隣接する3つの技術とは本質的に異なる。
生成AIアシスタントは、プロンプトに応答する。チャットボットやコパイロットは、要求に応じてコンテンツを生成し、そこで停止する。相互作用をまたいで持続的な目標を維持することはない。外部システムで自律的な行動をとることもない。人間の作業者を補強するのであって、人間の意思決定を置き換えるものではない。
ロボティック・プロセス・オートメーション（RPA）は、スクリプト化されたルールに従う。RPAボットは、決定論的な一連のステップ、すなわちこのアプリケーションを開き、このフィールドをコピーし、そこに貼り付け、送信する、といった手順を実行する。RPAは自動化されているが、適応的ではない。入力が予期しない形で変化すると、RPAボットは代替案を検討するのではなく、通常は失敗する。
マルチエージェントシステムは、これとは異なる、より高度なカテゴリーである。AIエージェントは通常、エンドツーエンドのタスクを遂行するためのツールを備えた単一のモデルである。システムアーキテクチャとしてのエージェンティックAIは、多くの場合、複数のエージェントが協調し、サブタスクを委任し、より広範な複合的目標を追求する構成をとる。カリフォルニア大学バークレー校 長期サイバーセキュリティセンターは、2026年2月の「Agentic AI Risk-Management Standards Profile」においてこの区別を明示している。そしてこの区別はガバナンスにとって重要である。単一エージェントの監督は、マルチエージェントの監督とは質的に異なるからだ。
市場の実態として、このような技術的な明確さはまれである。ガートナーは、真のエージェント能力を持たない旧来のチャットボット、アシスタント、RPAツールをエージェンティックAIとして再ブランド化する行為を「エージェント・ウォッシング」として正式に指摘し、エージェンティックAIを自称する数千のベンダーのうち、実際にそれを提供しているのはおよそ130社にすぎないと推定している。ほとんどの組織にとって最初の実践的なガバナンスの一歩は、AIエージェント戦略を構築することではない。それは、「AIエージェント」という名目で組織内にすでに導入されているシステムのうち、どれが実際に技術的定義を満たしているかを見極めることである。
導入は現実のものだが、ガバナンスを大きく引き離して先行している
複数の一次資料のデータが同じ結論に収斂している。すなわち、AIエージェントはエンタープライズ規模で本番環境へと移行しつつあり、ガバナンスはその速度に追いついていない、ということだ。
ガートナーの2025年6月のプレスリリースは、2025年1月に実施したウェビナー参加者3,412名を対象とする調査に基づき、19%の組織がエージェンティックAIに大規模な投資を行い、42%が慎重な投資を行い、8%がまったく投資を行っておらず、31%が様子見の姿勢をとるか判断がつかない状態にあることを明らかにした。ガートナー自身の将来予測によれば、2028年までに日常業務の意思決定の少なくとも15%がエージェンティックAIを通じて自律的に行われるようになり（2024年の0%から上昇）、2028年までにエンタープライズソフトウェアアプリケーションの33%がエージェンティックAIを組み込むことになる（2024年の1%未満から上昇）。
同じプレスリリースでガートナーは、最も多く引用される予測を示した。すなわち、コストの高騰、ビジネス価値の不明確さ、あるいは不十分なリスク統制を理由に、エージェンティックAIプロジェクトの40%超が2027年末までに中止されるというものだ。シニアディレクターアナリストのAnushree Verma氏は次のように述べている。エージェンティックAIプロジェクトのほとんどは、実質よりも誇大宣伝に駆り立てられた初期段階の概念実証であり、しばしば誤って適用されており、それが本番環境への展開を拡大する際の真のコストと複雑さを見えにくくしている、と。
ガバナンスのギャップは理論上のものではない。デロイトの「State of AI in the Enterprise 2026」報告書は、自律型AIエージェントのガバナンスについて成熟したモデルを備えている企業は5社に1社にすぎないことを明らかにした。この遅れは構造的なものである。組織は、エージェントを統治するために必要な棚卸し、監視、アイデンティティ、説明責任の基盤を構築するよりも速いスピードで、エージェントを本番環境へと導入しているのだ。
AIエージェントのリスクが、他のAIリスクと構造的に異なる理由
基盤的なNIST AIリスク管理フレームワーク（AI RMF）や、その2024年7月の生成AIプロファイル（NIST AI 600-1）を含め、ほとんどのエンタープライズ向けAIガバナンスフレームワークは、AIシステムが予測を行い、あるいは人間によるレビューを前提としたコンテンツを生成する世界を想定して設計されていた。AIエージェントは、コンプライアンス、リスク、監査の各機能が理解しておくべき、5つの具体的な点でリスクの構造を変える。
外部に影響を及ぼす自律的な行動。与信判断を推奨する予測モデルは、与信を承認し、その判断を顧客に伝達し、勘定系システムを更新し、資金の実行をスケジューリングするエージェントとは、異なるリスクカテゴリーに属する。前者にはバイアスと正確性の統制が必要である。後者には、それらの統制に加えて、ロールバック手順、行動レベルの承認、あらゆる自律的判断の監査ログ、そして実行中の行動を停止または取り消すための明確なプロセスが必要となる。
カリフォルニア大学バークレー校 長期サイバーセキュリティセンターは、2026年2月に公表した「Agentic AI Risk-Management Standards Profile」において、このカテゴリーのリスクには、意図しない目標の追求、不正な権限昇格、リソースの獲得、そして自己複製やシャットダウンへの抵抗といった、システミックな害を引き起こしうる挙動が含まれるとしている。この位置づけがあえて強い表現になっているのは、その障害モードが静的なモデルのものとは質的に異なるためである。
人間向けに構築されたアイデンティティ・アクセス管理。シングルサインオン、ロールベースアクセス制御、特権アクセス管理といったエンタープライズのアイデンティティシステムは、アクセスを要求する主体が、自分だけが保有する認証情報で認証を行う人間であるという前提のもとに設計されていた。AIエージェントはこの前提を崩す。あるユーザーに代わって、そのユーザーの認証情報で動作するエージェントは、当該ユーザーが承認していない行動をとりうる。システムレベルのサービス認証情報を持つエージェントは、人間の特権アクセスに求められる各種の人間的統制（承認ワークフロー、正当性の説明、期限付きの権限昇格）を一切伴わずに、事実上のスーパーユーザー権限を持つことになる。
オーストラリア健全性規制庁（APRA）は、2026年4月30日に人工知能に関して業界に宛てた書簡の中で、このギャップを直接的に指摘した。すなわち、アイデンティティ・アクセス管理は、AIエージェントのような非人間の主体にまだ適応していない、というものだ。APRAは、2025年後半に実施した、オーストラリアの一部の大手銀行、保険会社、退職年金（スーパーアニュエーション）受託者を対象とする的を絞った監督上の関与から、この所見を得た。オーストラリアの健全性規制当局がこの所見を平易な言葉で公表することを選んだという事実は、それが今や監督上のレビューにおいて検証可能な事項になったことを示している。
委任の連鎖にまたがる連鎖的障害。マルチエージェントシステムは、誤りを増幅させる。あるパラメータを誤って計算し、その不正な入力を下流のエージェントに渡すエージェントは、いかなる人間も介入できる態勢に入る前に、複合的に膨らむ誤りの連鎖を引き起こしうる。エージェンティックシステムでは、人間による監督の時間的猶予が失われる。障害はミリ秒単位で伝播しうるのに対し、ほとんどの企業における人間参加型（ヒューマン・イン・ザ・ループ）の統制アーキテクチャは、数分から数時間の猶予を前提としているからだ。
確率的で非決定論的な挙動。従来の変更管理と保証（アシュアランス）のプロセスは、安定した成果物を前提としている。システムはいったんテストされてリリースされると、次のリリースまで同じように動作する。AIエージェントはそうではない。同じエージェントに同じ入力を与えても、実行ごとに異なる出力を生じさせることがある。モデルドリフト、文脈に依存する推論、そしてシステムプロンプトの影響は、いずれも、ある一時点における保証では不十分であることを意味する。APRAの2026年4月の書簡は、この点について具体的である。すなわち、時間とともに学習しドリフトする確率的モデルには適さない、一時点かつサンプルベースの保証手法への依存が見られた、と指摘している。
新たな攻撃対象領域。AIエージェントは、従来の情報セキュリティ統制が検出するようには設計されていない攻撃経路をもたらす。APRAの書簡は、プロンプトインジェクション、データ漏えい、安全でない統合（インテグレーション）、エクスプロイトの注入、そして自律型AIエージェントの操作または悪用を明示的に挙げた。ウェブアプリケーションファイアウォールはプロンプトインジェクションを捕捉しない。従来のペネトレーションテストは、エージェントのツール利用に関する攻撃対象領域を評価しない。2024年の環境を守っていたセキュリティテストのプログラムは、2026年のエージェントで拡張された環境に対しては構造的に不十分である。
AIエージェントに特化した世界の規制状況
AIエージェントに特化した法律を制定した主要な法域は、まだ存在しない。規制当局は代わりに、既存の枠組み、すなわちAI関連法、業種別の健全性基準、プライバシー法、消費者保護法をエージェンティックシステムに適用しつつ、補足的なガイダンスを整備している。
欧州連合、EU AI法。EU AI法には、「AIエージェント」の定義も、エージェントに対する独立した規制カテゴリーも含まれていない。同法のAIシステムの定義に該当し、かつ附属書III（雇用、与信、生体認証、教育、法執行、重要インフラ、必須サービス）に該当するAIシステム、または附属書Iのもとで規制対象製品に組み込まれるAIシステムは、それがエージェンティックであるか否かにかかわらず、高リスクの義務の対象となる。2026年5月7日に暫定合意された「AIに関するデジタル・オムニバス（Digital Omnibus on AI）」を受けて、附属書IIIの高リスク義務は2027年12月2日から、附属書Iの組み込みシステムに関する義務は2028年8月2日から適用される。第50条に基づく透明性義務、すなわち利用者に対してAIシステムと相互作用している旨を通知する要件を含む義務は、2026年8月2日から適用され、オムニバスによる延期の対象とはならなかった。EUにおける消費者向けAIエージェントにとって、第50条の透明性義務は、最も差し迫ったコンプライアンス上の起点である。
EU AI法の第50条から第55条に定める汎用AI（GPAI）モデルに関する義務は、上流のモデル提供者に適用されるものであり、エージェントの導入者に適用されるものではない。もっとも、第三者の基盤モデルの上にエージェントを構築する組織は、基盤となるモデルのシステミックリスク分類、および評価、敵対的テスト、重大インシデント報告をめぐるモデル提供者の義務が、下流のエージェントのリスクに影響することを認識しておくべきである。
米国、NIST。米国国立標準技術研究所（NIST）は、その傘下のAI標準・イノベーションセンター（CAISI）を通じて、2026年1月8日に連邦官報でAIエージェントシステムのセキュリティに関する情報提供依頼（RFI）を公表し、意見提出は2026年3月9日に締め切られた。このRFIは、AIエージェントシステムを、エージェント自体の外部に持続的な変化をもたらす行動をとることができるものと定義し、自律的に行動するようにオーケストレーションされていない検索拡張生成（RAG）システムやチャットボットはその範囲外であることを明示的に記した。このRFIは、ガバナンス上何をもってAIエージェントとするかについて、現時点で最も権威ある米国政府の見解である。
2024年7月26日に公表されたNIST AI RMFの生成AIプロファイル（NIST AI 600-1）は、生成AIのリスクを扱っているが、エージェンティックな自律性を直接扱ってはいない。分野別のプロファイルも登場しつつあり、NISTは2026年4月7日に、重要インフラにおける信頼できるAIに関するAI RMFプロファイルのコンセプトノートを公表した。NISTの公式プロファイルに先行して取り組む実務家は、バークレー校 長期サイバーセキュリティセンターの「Agentic AI Risk-Management Standards Profile」（2026年2月）と、クラウド・セキュリティ・アライアンスの「Agentic AI NIST AI RMF Profile」を作成しており、いずれもNIST AI RMFの4つの機能（統治（Govern）、マッピング（Map）、測定（Measure）、管理（Manage））をエージェンティックシステムに適用している。
OECD。OECD AI政策オブザーバトリ（OECD.AI）は、各国のAI政策を追跡し、「信頼できるAIのためのツールと指標のカタログ」を維持している。2024年に更新されたOECD AI原則は、すべてのAIシステムに適用されるが、エージェントに特化した規定はまだ含んでいない。
オーストラリア、AIエージェントのガバナンスに関して最も整備された実務的枠組み
オーストラリアは、EU AI法に相当するAI特化の法律を制定していない。2025年12月2日に公表された国家AI計画（National AI Plan）で示されたオーストラリア政府のアプローチは、既存の技術中立的な法、すなわちプライバシー法、消費者法、労働安全衛生法、差別禁止法、業種別の健全性基準を通じて対応し、それをガイダンスと自主基準で補完するというものである。これは弱点として特徴づけられることもあるが、より正確には、法律に先んじて相当量の実務的ガイダンスを整える意図的な選択として特徴づけられる。
AIに関するAPRAの業界宛て書簡、2026年4月30日。APRA執行役員会メンバーのTherese McCarthy Hockey氏によって発出されたこの書簡は、2026年のオーストラリア金融サービスにとって最も重大なAI特化の規制上のコミュニケーションである。2025年後半に実施した、一部の大手銀行、保険会社、退職年金受託者を対象とする的を絞った監督上の関与に基づき、APRAは、ガバナンス、サイバー・情報セキュリティ、サプライヤーリスク、変更管理・保証という4つの所見領域にわたって具体的な期待事項を示した。
エージェントに関するAPRAの主な所見と期待事項は次のとおりである。
- 取締役会は、AIリスクに対して実効的な問いかけ（チャレンジ）を行うために必要な技術的リテラシーを、いまだ育成途上にあり、「ベンダーのプレゼンテーションや要約への過度の依存」が見られる。APRAが示す最低限の期待事項は、取締役会が戦略的方向性を定め、意味のある問いかけと監督を行うのに十分なAIリテラシーを備えていなければならない、というものである。
- 求められるガバナンス上の仕組みには、最低限、次のものが含まれる。枠組み（方針、基準、ガイダンス）と報告系統、AIライフサイクル全体にわたるオーナーシップと説明責任、AIツールおよびユースケースの棚卸し、高リスクの意思決定と説明責任のための人間の関与、そして職員に対する訓練と教育である。
- サイバー・情報セキュリティに関する具体的な期待事項は、強固な特権アクセス管理、適時のパッチ適用、堅牢化された構成、脆弱性の自動的な検出、ペネトレーションテスト、そして「エージェンティックかつ自律的なワークフローに対する統制」である。
- サプライヤーリスクとしては、重要な第三者および第四者への依存関係を含め、AIサプライチェーン全体を可視化し、その把握を維持することが求められる。複数のAIユースケースについて単一の提供者に大きく依存している事業体については、集中リスクが指摘されている。
- 変更管理と保証としては、継続的な検証、サイバー、データガバナンス、モデルリスク、オペレーショナル・レジリエンス、プライバシー、コンダクトにまたがる統合的な保証、そして「確率的モデルやエージェンティックなワークフローを含むAIシステムを独立して評価する」技術的能力を備えた第2線のリスク機能および内部監査機能が求められる。
APRAの規制上の拠りどころは、既存の健全性の枠組み、すなわちCPS 220（リスク管理）、CPS 230（オペレーショナルリスク管理、オペレーショナル・レジリエンスを含む）、CPS 234（情報セキュリティ）、CPS 510（ガバナンス）である。APRAは新たな健全性基準を発表していない。2026年4月の書簡は、AIガバナンスが今後、事業体の健全性レビューやテーマ別活動において、これら既存の基準に照らして検証されることになるという合図である。
ASICの書簡、2026年5月8日。オーストラリア証券投資委員会（ASIC）は、2026年5月8日にAPRAの書簡を補完する公開書簡を公表した。これはAPRAの規制対象事業体を超えて、より広く適用される。ASICは、取締役会と上級経営幹部が組織の立ち位置を理解し、的確な問いを発し、サイバー・レジリエンスが脅威環境に見合ったものであることを確認することを期待している。これは、エージェンティックAIが重大な懸念となる以前から金融サービス全体にわたるガバナンスのギャップを指摘した、AIガバナンスの仕組みに関するASICの2024年10月のREP 798「Beware the Gap」報告書を土台としている。
政府におけるAIの責任ある利用に関するDTAの方針。デジタル変革庁（DTA）の「政府におけるAIの責任ある利用に関する方針（Policy for the responsible use of AI in government）」は、2024年9月1日に発効し、その後バージョン2.0に更新された。DTAは、英語圏のいかなる中央政府と比べても最も包括的な、実務的なAIガバナンスの一式を整備してきた。その内容には次のものが含まれる。
- AI Plan for the Australian Public Service 2025、オーストラリア公務員（APS）のAI導入に向けたロードマップを定めるもの。
- 政府による人工知能の利用に関する技術標準（Technical standard for government's use of artificial intelligence）、初期設計から監視、そして廃止に至るまでのライフサイクル全体にわたって、AIシステムの技術要件を定めるもの。
- AI影響評価ツール（AI Impact Assessment Tool）および付属のガイダンス、各省庁がオーストラリアのAI倫理原則に照らしてAIユースケースの影響とリスクを特定、評価、管理できるよう支援するもの。
- 政府におけるAI調達に関するガイダンス（Guidance on AI procurement in government）。
- 試行版AI保証フレームワーク（Pilot AI Assurance Framework）（2024年9月から試行）、APSのユースケースに対するAI保証のアプローチを確立するもの。
- AI審査委員会（AI Review Committee）、APS全体にわたる高リスクのAIユースケースについて助言するもので、付託事項（terms of reference）は最終化の段階にあり、詳細は2026年第1四半期に示される見込みとされている。
DTAの枠組みは法律ではなく、APSの外部には適用されない。もっとも、AI影響評価ツールおよびAIに関する技術標準は、民間部門の組織によって実務的な実装の参照資料として参照・利用されており、DTAのアプローチは、産業科学資源省（Department of Industry, Science and Resources）が公表した自主的AI安全基準（Voluntary AI Safety Standard）と整合している。
政府におけるAIの保証に関する国家枠組み（National Framework for the Assurance of AI in Government）。データ・デジタル担当大臣会合は、2024年6月21日に「政府におけるAIの保証に関する国家枠組み」に合意し、これを公表した。これは、連邦、州、準州の各レベルの政府が、AIの保証にオーストラリアのAI倫理原則を適用するための基礎（コーナーストーン）と実務を定めるものである。
プライバシー法の改正、自動意思決定の透明性。2024年プライバシー及びその他法令改正法（Privacy and Other Legislation Amendment Act 2024）は、新たな自動意思決定（ADM）の透明性義務を導入し、これは2026年12月10日に施行される。その日以降、APP事業者は、個人に対して法的またはそれに類する重大な影響を及ぼす、実質的に自動化された意思決定において用いられる個人情報の種類に関する情報を、自らのプライバシーポリシーに記載することが求められる。そのような意思決定を行い、または実質的にそれに寄与するAIエージェントは、まさにその範囲に含まれる。オーストラリア情報コミッショナー事務局（OAIC）は、2026年12月の施行に先立って詳細なガイダンスを公表すると見込まれている。
実践的な実装、AIエージェントのGRCをどう運用に落とし込むか
規制上の期待と運用上の実態との間のギャップは大きい。ほとんどの組織は、おおよその優先順位の順に、次の6つのことに取り組む必要がある。
1. AIエージェントの棚卸しと分類を構築する。SaaSツールに組み込まれたエージェント、生産性スイート内のコパイロット、シャドーITを含め、本番環境に導入されているすべてのAIエージェントについて、オーナー（氏名を特定した個人）、目的、アクセスするデータ、行動の対象となるシステム、自律性のレベル、事業上の重要度、リスク分類とともに棚卸しを行うべきである。これは他のすべての前提条件となる。APRAは2026年4月の書簡で、AIの棚卸しが存在しないことを所見として明示的に指摘した。
2. 自律性のレベルによってエージェントを分類する。すべてのエージェントが同じ統制を必要とするわけではない。有用な分類は次のとおりである。（a）人間の承認を得るために行動を推奨する助言型エージェント、（b）厳格に範囲を限定したパラメータの範囲内で、あらかじめ承認された行動を実行する戦術型エージェント、（c）定期的な人間のチェックポイントを設けつつ、複数ステップのワークフローにわたって定められた目標を追求する運用型エージェント、（d）最小限の人間の監督のもとで継続的に稼働する自律型エージェント。この分類によって、適切なアイデンティティモデル、人間参加型の統制、監視の強度、ロールバックのアーキテクチャが決まる。
3. エージェントを非人間のアイデンティティとして扱う。各エージェントは、いかなる人間ユーザーのアイデンティティとも区別された、独自のアイデンティティを持つべきである。そのアイデンティティは、範囲を限定した権限（最小権限）、期限付きの認証情報、行動のログ記録、監査目的でのエージェントのアイデンティティと人間のアイデンティティの分離、そして失効させる能力の対象とされるべきである。ユーザーの認証情報のもとで動作するエージェントは、標準ではなく例外であるべきであり、当該ユーザーには通知がなされ、その同意が得られるべきである。
4. 継続的な保証のレイヤーを構築する。一時点でのテストでは不十分である。エージェントのための保証レイヤーには、継続的な検証が必要である。すなわち、挙動の監視、ドリフトの検出、出力のサンプリングとレビュー、実行された行動に対する異常検知、そしてセキュリティオペレーションセンター（SOC）との統合である。これこそが、モデルドリフト、バイアス、障害モード、あるいは統制の破綻を、対処できるうちに検出する継続的な検証としてAPRAが意味するところである。
5. ロールバックとキルスイッチのアーキテクチャを定義する。本番環境のすべてのエージェントについて、文書化され、テストされたプロセスを備えるべきである。すなわち、実行中のエージェントを停止すること、実行された行動を取り消しまたは補償すること、エージェントがアクセスしたシステムからそれを隔離すること、そしてエージェント導入前の状態を再構築することである。Writer社の2026年エンタープライズAI調査では、経営幹部の35%が、暴走したAIエージェントを直ちに「電源を抜く（プラグを引き抜く）」ことができないと認めた。これは根本的な統制上のギャップである。
6. 取締役会のガバナンスを更新する。顧客向け、規制対象、または影響の大きいプロセスにエージェントが導入されているあらゆる組織において、AIエージェントのリスクは取締役会レベルの事項である。取締役会レベルの統制には次のものが含まれる。AIエージェントのリスクに説明責任を負う、明確に指名された経営幹部（組織に応じて、通常は最高リスク責任者（CRO）、最高技術責任者（CTO）、または最高情報セキュリティ責任者（CISO））、AIエージェントの棚卸しとインシデントのパイプラインに関する定期的な報告、ベンダーから独立した取締役向けのAIリテラシー研修、そして第三者リスクのレビューにおけるAIエージェントの集中リスクの明示的な考慮である。
戦略的影響、AIエージェントが組織にもたらす変化
目下のコンプライアンス業務を超えて、AIエージェントは、2026年時点では計画に落とし込むよりも見きわめるほうが容易な、二次的な戦略的影響をもたらす。そのうち3つは指摘に値する。
第一に、競争の単位がプロセスから成果へと移る。エージェントが複数ステップのワークフローを自律的に遂行できるようになると、組織の競争上の地位は、そのワークフローを文書化しているかどうかよりも、成果が達成されるかどうかに、より大きく依存するようになる。これにより、成果の測定と、成果を特定の行動に帰属させることを可能にするデータ基盤の価値が高まる。
第二に、組織設計が変わる。主たる機能が調整、すなわちタスクの割り当て、引き継ぎ、状況報告、例外のエスカレーションであった中間管理の層は、エージェントがそれらの機能を担う場面では構造的に不要になる。これは、「AIが知識労働者を置き換える」という主張と同じではない。後者は論争があり、大部分は憶測にすぎない。ここで述べているのは、より限定的で、より擁護可能な主張である。すなわち、エージェントの導入に成功する組織は、調整コストが下がるため、よりフラットな調整構造で運営されるようになる、というものだ。
第三に、サプライヤーの集中リスクがシステミックなものになる。マイクロソフト、グーグル、OpenAI、Anthropic、そしてごく少数のその他の企業が、エージェント能力を生産性向けツールの奥深くに組み込むにつれ、個々の組織にとっての依存の構図は、10年前のクラウド依存に似てくるが、乗り換えコストは大幅に高い。APRAの書簡はこれを明示的に指摘した。「一部の事業体は、複数のAIユースケースについて単一の提供者に大きく依存している」と。文書化された緊急時対応計画、撤退戦略、そして代替可能性のテストは、もはや任意ではない。
次に何をすべきか
低い水準から出発する組織にとって、次の90日間で達成可能で、ガバナンスの状況を実質的に改善する3つの行動がある。
その1、AIエージェントの棚卸しを完了する。組み込み型のSaaSエージェントを含め、エージェントの定義を満たす本番環境のすべてのシステムを目録化する。それぞれについて説明責任を負うオーナーを割り当てる。この単一の成果物こそ、APRA、ASIC、そして他のほとんどの規制当局が現在求めているものである。
その2、棚卸しを自律性のレベルと事業上の重要度によって分類し、「行動ごとの人間の承認」という閾値を超えて稼働するエージェントを特定する。これらが、最も注意を要するシステムである。
その3、最も重要度の高いエージェントについて、キルスイッチとロールバックの能力を評価する。「このエージェントを直ちに停止し、それが行ったことを取り消せるか」という問いへの答えが自信を持ってイエスと言えるものでない場合、それが是正の最優先事項である。
より先へ進んでいる組織にとっては、優先事項は、継続的な保証レイヤーの構築へと移り、監査、リスク、セキュリティの各機能を、静的なモデルではなくエージェンティックな挙動を検証できるように整えることへと移る。これは棚卸しの作業よりも構造的に難しく、ツール、スキル、そしてプロセスの再設計への投資を要する。成功する組織は、AIエージェントのガバナンスを、間接費ではなく基盤（インフラ）として扱い、当初からアーキテクチャに組み込み、明確なオーナーシップと測定可能な成果を伴わせる組織である。
オーストラリアの金融サービス事業体に特化して言えば、APRAの2026年4月の書簡が実際上の基準となる文書である。4つの所見領域それぞれについて具体的に示された期待事項を含めてこれを注意深く読み込み、それらの期待事項に照らして構造化されたギャップ評価を行うことが、当面の適切な優先事項である。APRAは、比例的な健全性レビュー、テーマ別活動、そしてAIサプライヤーとの関与が、今後12か月にわたって活発な監督プログラムを形成することを示唆している。書簡が明示的に招いている、APRA非財務リスクチームとの構造化された早期の関与の機会は、現在開かれており、検査を受けるのを待つよりも実質的に緩やかな監督上の姿勢をもたらすだろう。