情シスが遅い会社と進む会社の分岐点｜大企業でAIを回した6社の共通型

「3ヶ月経ってもまだ検証環境がクリアにならないんです」

大企業の会議室で、経理担当の方がぽつりと漏らしました。

「わたしたち、生成AIの検証環境を立ち上げてくださいって情シスにお願いしてから、もう3ヶ月経つんです。まだクリアになりません」

隣にいたR&Dの部長がうなずきます。「うちも同じです。要件を書き直して、セキュリティ審査に出して、法務に回って、ベンダー審査に回って、また要件を書き直して。半年経ちますが、まだPoC（試験導入）が動きません」

こういうやりとりは、日本の大企業のあちこちで、いま同時多発的に起きているようです。情シスが遅い、と現場は感じています。でも、その遅さには理由と構造があるのではないでしょうか。

この記事では、AIを全社で回せている会社と、いまだにPoC（試験導入）が動かない会社の差はどこにあるのか、という問いを、情シスという律速段階（システム全体の速度を決めてしまう最も遅い工程のこと）に絞って解剖してみます。マスクさんが情シスを80%削って何が起きたか、大企業でも同じことをやったら何が壊れるか、そして実際に情シスと折り合いをつけて時間削減44万時間を達成したパナソニックコネクトなどの共通型は何か。オピニオン記事ではありますが、数字と一次情報にはこだわりました。

この記事の結論を先に3行でまとめると、次のとおりです。

• AIを全社で回せている会社と回せていない会社の差は「情シスをどう位置づけたか」に集約されます。単なる審査係のままなら律速段階、AIガバナンスのCoE（Center of Excellence：中核となる推進組織）に再定義すれば推進役に変わります。
• 情シス解体（マスクさん的な80%削減）は日本の上場企業では機能しません。J-SOX、GDPR、個人情報保護法、FISCの4つの規制の砦が同時に崩れ、監査意見不表明→上場停止シナリオに直結します。
• 折り合いをつけた6社（パナソニックコネクト、DeNA、三菱UFJ、三井住友、みずほ、旭化成）に共通するのは、「守り」を先に整備し、「利用」と「試用」を分離し、トップが「安全にやれ、しかし絶対に止めるな」と号令をかけ、時間削減で見える化する、という4つの型の徹底です。

データで見る「進む会社」と「進まない会社」

まず数字から入ります。日本企業の生成AI導入率は、NRIの2025年調査で 57.7% まで来ました。2023年度が33.8%、2024年度が44.8%だったので、2年間で約1.7倍です。「検討中」も含めれば76%。数字だけ見れば、日本企業のAI導入は急速に進んでいるように見えます。

ところが、視点をひとつ上に上げると景色が変わります。McKinseyのState of AI 2025では、105カ国1,993名の調査で、AIを日常業務で使っている組織は88%まで来ましたが、全社にスケールできているのは33%だけでした。EBITインパクトを何らかの形で出せているのは39%、しかもそのほとんどが5%未満。「AIハイパフォーマー」（利益に5%以上のインパクトを出せている組織）はたった 6% です。

さらに強烈なのが、MITのNANDAが2025年7月に出したレポートです。エンタープライズGenAIには累計 300〜400億ドル が投じられていますが、95%の組織がゼロリターンでした。米国では S&P Globalの調査 が「大半のAIイニシアチブを放棄した企業が42%（前年17%）」と報告していて、1年で2.5倍に膨らんでいます。

つまり、いまAIで起きているのは「導入した会社」と「スケールできた会社」の分岐です。日本国内でも、IPAのDX動向2025で「生成AIが部署の業務プロセスに組み込まれている割合」を見ると、日本企業は 約1割、米独は 約4割。導入したかどうかではなく、業務の骨格に組み込めているかどうか、で差が広がっています。

そして、この分岐の一番前で交通整理をしているのが、多くの企業では情シスなのです。

情シスが律速段階になる4つの構造

「情シスが遅い」という現場の実感には、少なくとも4つの構造的な原因があります。

ひとつ目は 審査ループ です。AINOWが整理した2026年の生成AI導入スケジュールによると、独自環境（Sandbox、自社データ連携の環境）を構築する場合は3〜6ヶ月、SaaS型（Microsoft 365 Copilot、ChatGPT Enterprise、Gemini for Google Workspace）でも3〜4週間かかります。従業員100人以下ならPoCから全社展開まで約3ヶ月ですが、1万人規模の大企業だと約12ヶ月。データ持ち出し・学習利用・ログ保管・ベンダー審査・データレジデンシー（データの保管地域）と、審査項目が積み重なるからです。

ふたつ目は シャドーAI の広がりです。BlackFogの2026年1月調査（2,000人規模）では、86%の従業員が週1回以上AIを業務利用し、そのうち 34%が会社承認ツールの無料版を使っています。IBMの2025 Cost of a Data Breach Report では、20%の組織がシャドーAI経由で情報漏洩を経験し、平均で 約1億円（$670K）の追加コスト がかかっています。97%のAI侵害組織はアクセス制御が不十分だった、というのも刺さる数字です。

さらに深刻なのは、禁止しても収まらないことです。Reco.aiの調査 では、ChatGPTをブロックしても71%の従業員がなお無許可のAIを使っており、Otter.aiやClaude、Perplexityへとツールを乗り換えただけでした。禁止は解決策にならないという実データです。

象徴的な事件があります。Samsungは2023年3月に生成AIの利用を解禁しましたが、わずか20日間で3件の機密漏洩を出しました。半導体設備のソースコード、良品/不良品識別プログラム、社内会議録音の議事録生成。4月末に全生成AIツール禁止令を出しましたが、2026年6月にはChatGPT・Gemini・Claudeの3種を全社解禁する方針へ大転換しています。禁止しては解除、解除しては禁止、を繰り返せる時間はもう残っていない、という判断です。

みっつ目は 上流詰まり。ヒゲ情シスBlogの「上流がボトルネック、横展開が難しい」という実録レポートに、こんな一節があります。「開発の下流（実装・テスト）は高速化しているが、上流（業務整理・要件策定）が詰まる」。AIコーディング支援でエンジニアが書けるコード量は倍増しても、そもそも何を作るかを決める会議が動かない。エイトレッドの稟議業務調査では、稟議書の差し戻し経験が 97.2%、うち「何度もある」が39.3%、ストレス1位は「事前根回し・関係部署調整」で58.1%です。

よっつ目、そしてこれが本質だと思うのですが、責任の非対称性 です。noteの記事「社内AI稟議、3回落とされてわかった反対意見3型」にこんな一行があります。「情シスが怖いのは『後から問題が起きた時に自分が責任を取らされること』でもある。共同設計者になれば、責任が分散される。それが情シスにとっての実利だ」。

導入で得られる利益は経営層と現場に、リスクは情シスに、という構造。これが変わらない限り、審査は慎重にならざるを得ません。Qiitaの「情シスがAIエージェントを導入しようとして詰まった、5つの壁」は、「これらは技術の問題ではありません。組織の仕組みがAIツール導入に最適化されていないことが本質」と診断していて、まさにその通りだと思います。

もし「情シス解体」をやったら、大企業では何が壊れるか

ここで、極端な思考実験に振ってみます。イーロン・マスクさん的な「情シス解体」を大企業でやったらどうなるか。

マスクさんは2022年10月にTwitterを買収し、従業員を約7,500人から1,500人まで削減しました。80%減です。1週目で3,700人を一斉解雇。日本チームでは145人が7人まで減り、「いいねを4個押したら4,000件になる」小さな障害が続きました。インフラ部門のエンジニアも指名解雇され、社内では年間10億ドルのインフラ削減指示を「現実離れ」と表現していたと報じられています。

その結果、Twitterは何度もグローバル障害を起こしました。2023年3月にはWashington Postが「brittle（脆い）」と評し、設定変更が連鎖障害を誘発する状態に。X利用率は米国人口ベースで 30%低下（27%→19%）し、Xは結局 2024年9月時点で2,840人まで再増員 しています。80%削減は永続不可能だった、というのが結論です。

マスクさんは「first principles（第一原理）」の5ステップ・アルゴリズムを掲げます。①すべての要件を疑え、②プロセスや部品は削除しろ（後で10%以上を戻さないなら削り足りない）、③単純化、④サイクル短縮、⑤自動化。哲学として理解できます。ただ、大企業でこれをそのままやると壊れるものが多すぎるのです。

日本の上場企業には、金融商品取引法に基づく J-SOX（内部統制報告制度：財務報告の信頼性を確保するために内部の統制プロセスを整えて開示する制度） があります。情シスが担うIT全般統制（ITGC：IT General Controls、情シスが担うシステム面での統制ルール）は、アクセス管理・変更管理・システム運用管理・外部委託管理の4領域です。監査では、退職者アカウントを退職日から何日で削除したか、特権ID（システム管理者権限を持つアカウント）のログ、変更承認の4点セット（誰が申請・承認・実施・確認したかの記録）、本番と開発の分離が毎年チェックされます。この4領域を削ると重要な不備（Material Weakness：財務報告に重大な影響を及ぼしうる内部統制の欠陥）の指摘が飛び、監査意見不表明→上場維持リスクに直結します。

さらに、GDPRではDPO（データ保護責任者）の任命義務、個人情報保護法は令和2年改正で法人罰金が最大1億円、漏えい時30日以内報告。金融機関なら FISC安全対策基準（第13版で306項目）が金融庁検査で参照されます。情シスを解体するというのは、これらの砦を全部同時に外す、ということなのです。

米国政府で実施された DOGE（Department of Government Efficiency） の結果も参考になります。連邦職員270,000人以上（約9%）を削減しましたが、独立分析では 削減後の連邦予算は6%増加、IRSの機能低下による税収減は $500B超と推計されました。ガバナンス研究者のDon Moynihanは「壊すのは速かったが、作るのは全くできなかった」と評しています。

情シス解体は答えではない、というのがわたしの結論です。でも、いまのままの現状維持も答えではない、というのが同時にわたしの実感です。答えは、その中間にあるはずだと、いろんな事例を並べていくうちに見えてきました。

折り合いをつけた組織に共通する4つの型

日本の大企業のなかにも、情シスと折り合いをつけて、AIを全社に浸透させることに成功している組織があります。パナソニックコネクト、DeNA、三菱UFJ、三井住友、みずほ、旭化成、楽天。事例を並べてみると、共通する型が浮かび上がります。4つに整理してみます。

型	中身	代表事例	効果
①「守り」を先に整備	法務・知財・情報セキュリティが連携する専門チーム＋ガイドブックをAI導入前に用意	パナソニックコネクト、三井住友、味の素	経営から「もっとやれ」しか出ない状態が作れる
②「利用」と「試用」の分離	試用は速く、本利用は慎重に、というダブルスタンダードを許容	DeNA（Gemini全社配布＋Cursor 1,100席）	リーガル90%効率化、QA工数半減
③ トップの明確な号令	「安全にやれ、しかし絶対に止めるな」を両輪で発信	パナソニックコネクト樋口社長、SMBC CDIOミーティング70回	情シスの心理的リスクが下がる
④ 時間削減で見える化	ROI試算が難しいAIを「時間削減」という具体的な貨幣に翻訳	パナソニックコネクト年44.8万時間、三菱UFJ月22万時間	経営層への稟議通過が一気に軽くなる

型のひとつ目は、「守り」を先に整備すること です。パナソニックコネクトの ConnectAI は、CIOの河野さんへのインタビュー記事で「経営層から『やめておけ』と反対されたことが一度もない。『もっとやれ』しかなかった」と語られています。理由は明快で、AIの利用が始まる前から、法務・知財・情報セキュリティが連携する「データ利活用支援チーム」を組み、「生成AI利活用ガイドブック」を作っていたからです。守りの土台があったから、攻めに全振りできた。三井住友フィナンシャル・グループも 2024年にAI導入・利用ガイドラインを制定 してからLLM-CoE（Center of Excellence）を14人→31人に拡大しました。味の素は EYと組んで非構造化データを含む利用基準を先に具体化 しています。順番が肝心です。

ふたつ目は、「利用」と「試用」の分離 です。DeNAは南場さんが2025年に「AIオールイン」を宣言し、Gemini Advancedを全社員にマンダトリー（義務）として配布、Cursorは4か月で1,100アカウントを突破しました。ここで大事なのは、全社員が最新ツールを「即座に」「安全に」試せるプロセスと、基幹業務に本格的に組み込む「本利用」のプロセスを、明確に分けたことです。試用は速く、本利用は慎重に、というダブルスタンダードを許容する仕組み。結果として、リーガルチェックが90%効率化、QAの工数が半減、Pococha配信審査が60%削減 されています。

みっつ目は、トップの明確な号令 です。パナソニックコネクトの樋口社長は「使うべきかどうかではなく、いつ使い始めるか」と言い切り、楽天の三木谷さんは「楽天なくして生活ない、AIなくして未来ない」、DeNA南場さんは「マンダトリー」、SMBCの三井住友フィナンシャル・グループでは 社長・頭取・関連CxO（Chief Xx Officer：役員クラスの総称）全員出席のCDIO（Chief Digital Innovation Officer：デジタル戦略の最高責任者）ミーティングを累計70回以上開き、事前根回しなしで投資予算を承認 しています。トップが情シスに「安全にやれ、しかし絶対に止めるな」と両輪でメッセージを出せる組織は、社内力学のねじれが起きにくいのです。

よっつ目は、時間削減で見える化 すること。パナソニックコネクトは2年目に 年間44.8万時間の労働時間削減 を公表しました。1回あたり28分、月間ユニークユーザー率49.1%、社員満足度5段階中4.1点。三菱UFJは 月22万時間、SMBC-GAIは 1日7〜8万トランザクション と500億円投資枠、みずほのWiz Createは 議事録作成70%削減、継続利用意向93%、旭化成は 月2,157時間 + 年間1,820時間 の削減を細かく開示しています。海外に目を向けると、JPMorganのLLM Suiteは230,000人が利用し、1人あたり週3〜6時間を節約、ウェルスアドバイザーの文書検索効率は20%→80%まで上がりました。

「AIは何ができるか」という抽象論を、時間削減という具体的な貨幣に翻訳することで、経営層への説明が一気に軽くなります。これはROI試算が難しい生成AIの世界で、いま最も再現性のある稟議突破フレームだとわたしは思います。

情シスが安心できる新武器と、これからのシナリオ

いい流れも来ています。情シスが安心してAIを承認できる「新武器」が、この1年で一気に揃ってきました。

まず、既存ライセンステナントに乗る パッケージ化されたAI です。Microsoft 365 Copilotは2026年Q3時点で有償2,000万席（前四半期1,500万席から33%増）、フォーチュン500の90%以上が採用しています。既存のMicrosoft Entra ID（旧Azure AD）とMicrosoft Purview（DLP）で管理でき、追加ライセンスを貼り付けるだけで展開できるのが強みです。Gemini Enterpriseも4か月で800万席、Q1 2026で40% QoQ成長。Salesforce Agentforceは$800M ARR、ServiceNow Now Assistは$750M ACV まで来ました。既存契約に追加する形なら、稟議のハードルは大きく下がります。

次に、AIガードレール市場の勃興 です。CraniumやHiddenLayer、Robust Intelligence（Cisco AI Defenseに統合）、Prompt Security（SentinelOne傘下）、Lakera（Check Point傘下）が、AI版のDLP（Data Loss Prevention：情報漏洩防止機能）＋Firewall（不正通信のブロック機能）＋SBOM（Software Bill of Materials：使われているソフトウェア部品を可視化する台帳）を提供しています。市場規模はほぼゼロから2030年に80億ドル規模へ拡大予測、Gartnerは「2028年までに50%超の企業がAI Security Platformを導入」 と予測しました。EU AI ActとNIST AI RMFの証跡収集を自動化してくれるので、情シスの負荷が構造的に下がります。

ゼロトラスト（「社内ネットワークだから安全」という前提を捨て、すべてのアクセスを都度検証する考え方）の世界にも生成AIが乗ってきました。Zscaler ThreatLabzの2026レポートは9,000組織、989.3B（10億件の989倍、つまり約9,893億件）のAI/MLトランザクションを分析し、赤チームテスト（攻撃側視点で防御を試すテスト）の中央値で「AI侵害まで16分」、ChatGPTだけで4.1億件のDLP違反を検出しています。同時に、Zscaler AI ProtectやNetskopeのAI Fast Path、Palo Alto Networks Prisma AIRSといったSSE（Security Service Edge：クラウド型のセキュリティ基盤）側のAI Gateway機能が2026年に相次いでリリースされました。既存のゼロトラストSSE契約に相乗りする形なので、新規稟議なしで「AI版DLP」を稼働できます。

組織の面では、CAIO（Chief AI Officer） が急拡大しています。IBMのCEO Study 2026では76%の組織にCAIOが存在、1年前の26%から急伸しました。日本でもパナソニックが2026年4月に榊原彰さん、freeeが横路隆さん、電通デジタルが山本悟さん、IBM Japanが村田正樹さんと、名前を出して置き始めています。PwC Japanの調査では、AI導入で成果を上げている日本企業の60%がCEO直轄でAI推進 を進めていました。情シスに全部背負わせるのではなく、経営マター化する動きです。

監査ログの面では、LangSmith、Portkey、BraintrustのようなLLM（Large Language Model：ChatGPTやGeminiなどの大規模言語モデル）オブザーバビリティ基盤（AIの入出力や挙動を継続的に可視化・監視する仕組み）が育ってきています。Portkeyは1,600以上のLLMプロバイダーを単一APIで抽象化し、MITライセンスでGitHub 10,000スター超え。プロンプト（AIへの指示文）、レスポンス（AIの出力）、トークン使用量（AIが処理した文字数の単位）、PIIフラグ（個人情報の混入検知）、コスト、ハルシネーション率（AIの誤情報生成率）を、一本の監査可能なテレメトリ（システムの動作記録）として残せます。EU AI Act（2026年8月完全施行）の証跡要件を、機械的に満たせる時代がやっと来ました。

そして予算です。Gartnerは2026年5月に、世界のAI支出を$2.59兆（前年比+47%）と予測しました。世界IT総支出の約41%がAI関連です。GartnerのJohn-David Lovelockさんは「これまでAI支出はハイパースケーラー主導だった。2026年がエンタープライズAIのinflection year（変曲点の年）」と言い切っています。予算の絶対額がこれだけ大きくなるということは、CIOがAI予算を持たない選択肢が経営上ありえなくなる、ということでもあります。

具体的な使い方の話で言えば、業務利用としてすでに承認されているSaaS（Software as a Service：クラウドで使えるソフトウェアサービス）に載っているAIから使い始めるのが、いちばん抵抗が少ない導線です。Microsoft 365 CopilotやGemini for Google Workspaceといった全社横断ツールに加えて、業務ドメインに特化したエージェント（例えば、専門データベースを横断して調査できる研究エージェントである Snorbe のようなサービス）を1つずつ組み込んでいく形で、情シスの承認が下りやすい入り口を選んでいくと、社内のAI経済圏が破綻せずに広がっていきます。

情シスは律速段階か、推進役か。選ぶのは今

情シスが遅く見える理由は、責任の非対称性という構造の帰結でした。情シスを解体すれば早くなるかというと、J-SOX・GDPR・個人情報保護法・FISCという4つの砦が同時に崩れて、監査意見不表明という別の破局に直行します。マスクさんがTwitterでやったことも、DOGEが連邦政府でやろうとしたことも、大企業の平時運用にはそのまま持ち込めません。

一方で、パナソニックコネクトが年44.8万時間、三菱UFJが月22万時間、DeNAがリーガル90%効率化、旭化成が月2,157時間、みずほが議事録70%削減、といった結果を出している組織は、確実に存在します。共通するのは、守りを先に整備し、利用と試用を分離し、トップが「安全にやれ、しかし絶対に止めるな」と両輪で号令し、時間削減で見える化する、という順序の徹底でした。

Gartnerが呼ぶinflection year（変曲点の年）である2026年、情シスの選択肢は「解体か存続か」ではなく、「律速段階のままか、AIガバナンスのCoE（Center of Excellence）に変身するか」だと、わたしは思います。前者を選び続けるなら、シャドーAIはIBMのレポートが示すとおり平均約1億円の追加コストを積み上げていくし、後者を選ぶなら、AI予算$2.59兆の潮流にちゃんと乗れます。選ぶのは、いまです。

---

よくある質問（FAQ）

情シスがAI導入で遅くなる主な理由は何ですか？

大きく4つあります。1つ目は審査ループ。データ持ち出しやログ保管、ベンダー審査が積み重なり、独自環境なら3〜6ヶ月、大企業では12ヶ月かかります（AINOW）。2つ目はシャドーAIへの対応。3つ目は上流（業務整理・要件策定）の詰まり。4つ目、これが本質ですが、責任の非対称性です。導入で得られる利益は経営層と現場に、リスクは情シスに、という構造がある限り、審査は慎重にならざるを得ません。

情シスを解体してAI導入を進めるべきですか？

推奨できません。マスクさんのTwitter 80%削減後は、グローバル障害が続き、X利用率は30%低下し、結局は再増員に転じました（Blog.getaura.ai）。日本の上場企業ではJ-SOX、GDPR、個人情報保護法、金融機関ならFISCの306項目、と複数の規制が絡み、情シス解体は監査意見不表明→上場停止シナリオに直結します（金融庁）。解体ではなく、AIガバナンスの中核組織（CoE）へ変身させる、という再定義が現実解です。

AI導入が進んでいる企業に共通するパターンは何ですか？

4つの型があります。1つ目は「守り」を先に整備すること。パナソニックコネクトはAI導入前にデータ利活用支援チームと生成AI利活用ガイドブックを整備しました（Microsoft News Center Japan）。2つ目は「利用」と「試用」の分離。DeNAは全社Gemini配布に踏み切りました。3つ目はトップの明確な号令。4つ目は時間削減という具体的な貨幣で経営層に見える化することです。

シャドーAIとはどんなリスクがあるのですか？

会社が承認していないAIツール（無料版ChatGPTや個人アカウント経由のClaude、Otter.aiなど）を従業員が業務で使うことです。IBMの2025 Cost of a Data Breach Report では、20%の組織がシャドーAI経由で情報漏洩を経験し、平均約1億円の追加コストが発生。97%のAI侵害組織はアクセス制御が不十分でした。Samsungでは2023年3月に禁止解除から20日で3件の機密漏洩が起き、半導体設備のソースコードや会議録音がChatGPTに流れています（Forbes）。

大企業がAIを全社導入するまでにどのくらい時間がかかりますか？

導入形態と企業規模で大きく変わります。SaaS型（Microsoft 365 Copilot、ChatGPT Enterpriseなど）なら3〜4週間、独自環境の構築が必要なら3〜6ヶ月、1万人規模の大企業では約12ヶ月が目安です（AINOW）。MIT NANDAも「中規模企業は約90日で本番化、大企業は9ヶ月以上」と一致しています（Fortune）。既存ライセンステナントに乗るM365 CopilotやGemini Enterpriseから入るのが、いま最も速い導線です。

情シスが承認しやすいAIサービスにはどんなものがありますか？

既存ライセンス・既存ID基盤に乗るタイプが最も稟議を通しやすいです。Microsoft 365 Copilot（有償2,000万席）、Google Workspace with Gemini（800万席）、Salesforce Agentforce（$800M ARR）、ServiceNow Now Assist（$750M ACV）が代表例です。合わせて、AI版DLPとしてZscaler AI ProtectやCisco AI Defense、監査ログ基盤としてLangSmith・Portkey・Braintrustを組み合わせると、EU AI Act（2026年8月完全施行）の証跡要件も機械的に満たせます。

さいごに、この記事を書いた私たちDeskrexが開発しているリサーチAI「Snorbe」の紹介をさせてください。情シスと現場が同じ絵を見るには、判断材料を検索とチャットで散らさず一つのナレッジグラフに束ねることが効きます。Snorbeは調査から意思決定までを、記憶を持ったまま反復できるリサーチエージェントです。ご興味あれば[lp.deskrex.ai](https://lp.deskrex.ai/)をご覧ください。