サイバーセキュリティの新領域では、まだあまり議論されていない新たな課題が生まれています。今年の末までに、非人間アイデンティティ（NHI）、つまりAIエージェントは450億に達すると予測されています。アイデンティティセキュリティ企業であるOktaが、倫理的なAIにおいて果たすべき独自の役割は、AIエージェントを保護し、安全性とプライバシーを確保することです。当社にとって、倫理的AIをエンジニアリングの実践に組み込むことは、特例ではなく、戦略の中核を成すものです。責任あるAIイノベーションで示した取り組みを発展させる中で、AI倫理の原則を実際の取り組みに落とし込むには、次の4つの要素が重要であることがわかりました。
- 原則を事業・ビジョン・価値観と整合させ、理解と支持を得る。
- 人による監督ができるようガバナンスを確立する。
- 各部門の業務に原則を組み込み、実践的で関連性のあるものにする。
- 業界全体と連携し、影響力を高めながら包摂的な取り組みを進める。
1. 事業・ビジョン・価値観との整合
Oktaは、アイデンティティ管理の提供を中核事業としています。従業員が必要なアプリケーションを安全に利用できるようにIT部門を支援するためのソフトウェアや、開発者が医療・金融などさまざまな業界の顧客向けにアイデンティティソリューションを構築するためのソフトウェアを開発しています。当社のプラットフォームは、AIエージェントから顧客、従業員やパートナーまで、あらゆるタイプのアイデンティティを保護します。アイデンティティはすべてのデジタルインタラクションにとって主な入口となるため、その保護は、プライバシー、安全性、差別のない自由といった人権の尊重にもつながります。
倫理的なAIは、Oktaの中核と直接結び付いています。
- ビジネス：当社の事業は、アイデンティティの保護です。次の大きなサイバー脅威となり得るAIエージェントも、その対象となります。
- ビジョン：当社のビジョンは、「すべての人があらゆるテクノロジーを安全に利用できるようにすること」です。AIエージェントの保護も、この自然な延長線上にあります。
- 価値観：当社の責任あるAIの原則は、当社の価値観に直接結び付いています。
- お客様を大切にする：AI機能とその設定方法についてお客様に明確に説明し、お客様が安全にツールを使用できるようにします。
- 常に安全、常に稼働：セキュリティ、プライバシー、安全性に重点を置いた設計を行っています。
- 成果に責任を持つ：自分たちの仕事に責任を持ちます。
- 未来を牽引：責任あるイノベーションを推進します。
2. ガバナンスの確立と標準的な手順の整備
Oktaでは、責任あるAI戦略を監督するために、部門横断のAIガバナンスチームを設置しました。ガバナンスは、進歩を妨げる障害のように誤解されることがありますが、適切に機能すれば、実際には信頼を保ちながらイノベーションを加速させる役割を果たします。このチームがAIツールを事前に承認することで、責任あるAIの導入を迅速に進めて、責任あるAIの原則を実践できます。また、従業員が新しいAIツールを安全かつ適切に導入するためのレビューを申請できる仕組みも整えています。個々のAIの具体的なユースケースについては、ガバナンスチームが詳細に審査し、契約上の義務が守られているかを確認します。さらに、エンジニアリングチームはAIツールを導入する際の標準的な手順を整備しました。これらの標準手順は、ガバナンスチームが精査した上で、プライバシー、セキュリティ、コンプライアンスの保護対策を組み込みました。この取り組みによって、エンジニアはコンプライアンスの解釈に迷ったり余計な手続きに煩わされたりすることなく、新しい機能の開発に集中できるようになりました。
また、従業員には実験や革新を行うための場が必要であると考えています。そのため、探索的な取り組みを促す目的で、社内ハッカソンの際に専用のAIサンドボックスを設けるなど、実験を行える環境を整えています。このように管理された環境で、必要な監督を行いながら、従業員が安心して試行し、学習やスキルアップできる機会を提供しています。
3. 各部門の業務に原則を組み込む
倫理的な原則を実際に適用するには、各部門の日常業務に合わせて調整する必要があります。つまり、抽象的な原則を、各チームが日々の意思決定で活用できるよう、シンプルで実務に即した指針へと落とし込むのです。
たとえばOktaでは、次のような取り組みを行っています。
- AI戦略チームは、人間とAIの協働など倫理的AIに関する内容を取り上げた、全社向けのAIイベントを開催しています。
- 設計チームは、AIに関する具体的な設計原則を策定しました。
- セキュリティチームは、Oktaの責任あるAI利用ガイドラインを作成しました。
- 社会的・環境的影響チームは、AIに関するチームの行動指針とベストプラクティスを策定し、さらにエンジニアリングチームと協力して、Oktaの全社員向けに「AI利用に関するサステナビリティガイド」を作成しました。
- エンジニアリングチームは、責任あるAIの導入をテーマに、社内でAIの取り組みに関する知識共有を促進するためのEngineering AI Dayを開催しました。
- エンジニアリングチームはまた、AIガバナンスチームの提言に沿って、AIツール導入のための標準的な手順を整備しました。
- 人材育成・能力開発チームは、全社必須のAIトレーニングブートキャンプを実施しました。各部門の業務に合わせて内容をカスタマイズし、責任あるAIのモジュールでは、機密情報の保護や、AIアシスタントのハルシネーション、AIアシスタントのバイアス、Oktaの責任あるAIの原則と関連リソースなどのトピックを取り上げています。
- また、各チームや各地域にはAI変革推進者が配置され、AIを活用した学習、試行、成長の取り組みを主導しています。Oktaの従業員は、責任あるAIや部門別のトレーニングなど、正式な全社研修を受講できます。また、責任あるAIの導入に関して知識ベースを増やす機会も提供されています。こうした取り組みによって、従業員はOktaでの業務や自身のキャリアで成功するために必要となる、新しいスキルや経験を身につけることができます。
4. 業界とコミュニティのサポート
倫理的なAIの実現のためには、社会全体で取り組む責任があります。私たちは、業界、学術界、公共部門と連携しながら、AIを倫理的かつ責任ある形で活用できるように推進しています。Okta for Goodのビジョンは、すべての人があらゆるテクノロジーを安全に使えるようにすることです。私たちは、助成金の提供、当社のアイデンティティソフトウェアプラットフォーム、そして従業員の情熱と専門知識を通じてこのビジョンを実現しています。ここで、Oktaが行っている取り組みをいくつかご紹介します。
公益のためのサイバーセキュリティ：私たちは、カリフォルニア大学バークレー校の長期的サイバーセキュリティセンター（CLTC）と連携し、サイバーセキュリティとAIセキュリティに関する研究を推進するとともに、さまざまな公益団体のサイバーセキュリティ強化に取り組んでいます。ある取り組みでは、カリフォルニア大学バークレー校で実施された机上演習に参加し、サイバー犯罪において急速に存在感を増している生成AIの役割について検討しました。その成果として、同テーマに関する調査結果をIEEEの学術誌で発表しました。別の取り組みでは、重要な社会サービスを提供する組織がサイバー攻撃の脅威にさらされるケースが増えていることを踏まえ、ワシントン州のWaTechとカリフォルニア大学バークレー校CLTCとの連携に参加し、社会事業分野のデジタルの最前線を守る取り組みを支援しました。
デジタルの公平性：Okta for Good（O4G）を通じて、非営利団体に対し、製品やサービスを無償または割引価格で提供しています。これには、Okta AIによるアイデンティティ脅威からの保護の利用や、十分な機会に恵まれない人材にサイバートレーニングやAIトレーニングを提供する組織への資金援助が含まれます。
オープンな標準の策定：OpenID Foundationのワーキンググループに参加し、AIエージェントがシステム間で安全にやり取りできるようにするための新しいセキュリティ標準であるIPSIE（Interoperability Profile for Secure Identity in the Enterprise）の策定に取り組んでいます。
エコシステムの強化：ISV（独立系ソフトウェアベンダー）と連携し、AIエージェント同士のやり取りを安全に管理する新しいオープンプロトコル、Cross-app Accessの策定を進めています。
ベストプラクティスの共有：すでに公開している原則を通じて市場に対するコミットメントを示すとともに、ベンダーに持続可能なAIへの取り組みについて確認しています。また、AIをより持続可能な形で利用するための従業員向けガイドを公開し、業界全体で効率的かつ責任ある実践が広がるように働きかけています。
今後に向けて
原則から実践への落とし込みは、本来、単発のプロジェクトではなく、運用しながら継続的に実行していくべきものです。対象が人間の従業員でも、450億の非人間アイデンティティ（NHI）でも、当社の使命は変わりません。誰もがあらゆるテクノロジーを安全に利用できるようにすることです。この考え方をベースにAI戦略を進めることで、イノベーションが安全性を損わないようにすることを目指しています。Oktaにとって、倫理的なAIとは、単にリスクを抑えることではありません。テクノロジーが長期にわたって安全かつ確実に人々の役に立つような仕組みを設計していくことなのです。
