目次
AIエージェントの導入を議論すると、たいてい最後は同じ着地点になる。「最終的には人間が承認する形にしましょう」。
この一文は、稟議を通す力が異常に強い。反対しにくく、コストも見えず、事故が起きたときの説明にもなる。だから多くの企業が、まずここに落とす。
問題は、この安全弁に耐用年数があることだ。しかも、その寿命は「エージェントを何体動かすか」でほぼ決まる。
「AIのほうが正しい」と認めた現場が、それでも承認を外さない
日本のITエンジニア調査における逆説を示す図。サーバーワークスが2026年8月20日に公表した「AIエージェントに関する調査」の結果。調査期間は2026年6月29日から7月5日、全国の20歳以上でITエンジニアとして企業に勤める260名が対象。AIの判断力への評価では、人間より優れた場面が「多くある」31.9パーセント、「一部ある」49.2パーセントで、合計81.1パーセントが優れた場面があると回答した。「ない」は8.5パーセント。一方で人間による承認の必要性については「多くの業務で必要」44.2パーセント、「常に必要」26.2パーセントで合計70.4パーセント、「高リスク業務のみ」は13.1パーセントにとどまる。業務ごとにAIの完全自律を許容できる割合は、技術調査・情報収集27.3パーセント、ログ分析25.4パーセント、本番環境へのデプロイ8.8パーセント、障害対応6.5パーセントで、分かれ目は精度ではなく影響範囲であることがわかる。最大の懸念は誤判断16.5パーセント、次いで情報漏えい14.6パーセント、ハルシネーション14.2パーセント
サーバーワークスが2026年8月20日に公表した調査は、この構図を国内データで正面から捉えている。対象は全国の20歳以上でITエンジニアとして企業に勤める260名、調査期間は2026年6月29日〜7月5日のインターネット調査である。
まず、現場のAI評価は驚くほど高い。
- AIには人間より優れた判断をする場面が「多くある」31.9%、「一部ある」49.2% ― 合計81.1%
- 「ない」と答えたのは 8.5% にすぎない
- 勤務先での導入状況は、全社導入28.5%＋一部部署24.2%で導入済み52.7%
- 2030年時点で「AIが一定程度、業務を自律実行している」と予想する人は73.1%
ところが同じ回答者が、承認については逆の答えを出す。
- 人間の承認が「多くの業務で必要」44.2%、「常に必要」26.2% ― 合計70.4%
- 「高リスク業務のみ必要」は 13.1% にとどまる
そして、業務別に「AIの完全自律」を許容できるかを聞くと、はっきり割れる。
- 技術調査・情報収集：27.3%
- ログ分析：25.4%
- 本番環境へのデプロイ：8.8%
- 障害対応：6.5%
技術調査とログ分析は約4分の1が任せられると答えたのに、障害対応は6.5%。同じ運用チームの業務で、4倍の開きがある。
ここを「AIの精度がまだ足りないから」と読むと、打ち手を間違える。ログ分析と障害対応で、AIに要求される推論の質はそれほど変わらない。違うのはアウトプットが外に出ていくかどうかだ。ログ分析は読んで終わる。障害対応は、本番の設定を変え、サービスを再起動し、顧客に影響する。
つまりこの調査が映しているのは、能力への不信ではない。結果を誰が引き受けるかが決まっていないという組織側の状態である。最大の懸念として挙がった「誤判断」16.5%も、同じ文脈で読むべきだ。誤判断そのものより、誤判断が起きたときに説明する人がいないことが怖い。
だから承認が置かれる。承認は品質検査ではなく、責任の受け皿として機能している。
この区別は、実務上とても重要だ。品質検査であれば、精度が上がれば減らせる。責任の受け皿であれば、精度がいくら上がっても減らない。実際、81.1%が「AIのほうが優れた判断をする場面がある」と認めながら、70.4%が承認を求めている。精度と承認要求は、この時点ですでに切り離されている。
事故のたびに承認が増える。しかし承認者は増えない。
事故のたびに承認が増えるが承認者は増えない構造を示す図。AvePoint「State of AI 2026」はグローバルITリーダー750名を対象とし、過去12ヶ月間にAIエージェント関連のセキュリティ侵害を経験した組織は88.4パーセント、インシデント後に何らかの対策を実施した組織は95.5パーセントで、最も多かった対策は人間の承認を足すことだった。その結果として承認件数が積み上がる。エージェント関連の懸念の第2位はエージェントがhuman-in-the-loop統制を迂回することで、第1位は誤った判断やデータ毀損である。承認の分母も増えており、AIエージェントが関与する業務プロセス比率は1年前26.6パーセント、現在39.1パーセント、12ヶ月後の予想54.8パーセントで、従業員の46.9パーセントが既に日次または週次でエージェントを利用している。一方で受け止める側は増えず、Deloitteの24カ国3235名調査では成熟したガバナンスモデルを持つ組織は21パーセントにとどまり、約8割に決定権の境界・異常検知・監査証跡が不足している。Gartnerは2026年末に企業アプリの40パーセントがタスク特化エージェントを搭載すると予測しており2025年時点の5パーセント未満から急拡大する。AIエージェント導入の平均遅延は5.92ヶ月
承認が増える経路は、意思決定ではなく事故である。
AvePoint の「State of AI 2026」は、金融・ヘルスケア・行政を含むグローバルITリーダー750名を対象とした調査だ。ここに、承認が増えるメカニズムがそのまま出ている。
- 過去12ヶ月にAIエージェント関連のセキュリティ侵害を1件以上経験した組織：88.4%
- インシデント後に何らかの是正措置を取った組織：95.5%
- そして、最も多く選ばれた対策が「human-in-the-loop（人間の承認）を追加すること」だった
事故が起きる。原因を分析する。再発防止策として「今後は人間の確認を挟む」と書く。稟議は通る。ここまでは、どの企業でも起きている。
問題は、この承認が翌月も翌年も残り続けることだ。 一度足された承認ステップを外す稟議は、足す稟議の何倍も通りにくい。外した後に事故が起きたら、外した人の責任になるからである。承認は単調増加する。
一方で、承認の分母は加速度的に増えている。同じAvePointの調査によれば、AIエージェントが関与する業務プロセスの比率は1年前26.6% → 現在39.1% → 12ヶ月後の予想54.8%。従業員の46.9%が既に日次または週次でエージェントを使っている。Gartnerは、2026年末までに企業アプリケーションの40%がタスク特化型のAIエージェントを搭載すると予測している（2025年時点は5%未満）。
受け止める側はどうか。Deloitteが24カ国のIT・ビジネスリーダー3,235名を対象に実施した調査（2026年1月報告）では、成熟したガバナンスモデルを持つ組織は21%。残る約8割には、エージェントの決定権の境界設定、リアルタイムの異常検知、監査証跡とアカウンタビリティの仕組みのいずれかが欠けている。
承認件数はエージェント数×アクション数で増える。承認者は定員で増えない。 これは意思の問題ではなく、算数の問題だ。
さらに厄介なことに、AvePointの調査ではエージェントに関する懸念の第2位が「エージェントが human-in-the-loop 統制を迂回すること」だった（第1位は誤った判断やデータ毀損）。承認を足したことで安心した組織が、その承認が実際に通っているかを確認していない、という構図である。
承認率が100%に近づくとき、「押した記録」は監督の証拠にならない
承認の形骸化が押しすぎと無視しすぎの両側から起きることを示す図。Radiology誌に2023年5月2日オンライン公開された研究「Automation Bias in Mammography」は、放射線科医27名がマンモグラフィ50件を、AIによるBI-RADS提案を見ながら読影した実験。AIの提案が正しいときと誤っているときで正答率を比較すると、経験の浅い読影者は79.7パーセントから19.8パーセントへ59.9ポイント低下、中程度の経験の読影者は81.3パーセントから24.8パーセントへ56.5ポイント低下、非常に経験豊富な読影者でも82.3パーセントから45.5パーセントへ36.8ポイント低下した。熟練しても半分以下であり、経験年数はオートメーション・バイアスの防御にならない。専門家を承認者に置いたから大丈夫という設計はこの実測データに反する。逆方向の形骸化としてアラート疲れがあり、van der Sijsらによる17論文の系統的レビューではCPOE電子処方オーダーにおける医師の安全アラート却下率は49から96パーセントに達した。ただし却下が常に不適切とは限らない。したがって測るべきは承認率ではなく、差し戻し率（override率）、1件あたりの承認所要時間、承認キューの滞留時間と長さである。差し戻しがほぼゼロの承認は機能している証拠ではなく形骸化の兆候
では、承認が増えると何が起きるのか。人間が疲れて雑になる、という話ではない。もっと計測可能な現象が起きる。
医療分野には、この問いに対する厳密な実測がある。Radiology誌に2023年5月2日にオンライン公開された研究「Automation Bias in Mammography」は、放射線科医27名がマンモグラフィ50件を、AIによるBI-RADS（乳房画像診断のカテゴリ分類）提案を見ながら読影した前向き実験である。50件のうち、AIが誤ったカテゴリを提示するケースが12件、事前の訓練セットとして正解を提示するケースが10件、という設計になっている。
結果は、AIの提案が正しいときと誤っているときで、こう分かれた。
- 経験の浅い読影者：79.7% → 19.8%（59.9ポイント低下）
- 中程度の経験：81.3% → 24.8%（56.5ポイント低下）
- 非常に経験豊富：82.3% → 45.5%（36.8ポイント低下）
最も経験豊富な層でさえ、AIが間違っているときの正答率は45.5%。半分を切っている。
この数字が示しているのは、オートメーション・バイアス ― 自動化されたシステムの提案を過度に信頼し、独立した検証をやめてしまう傾向 ― が、経験や訓練では防げないということだ。
日本企業のガバナンス設計で最もよく見る対策は「経験のある管理職を承認者に置く」である。この実測データは、その対策の効果に厳しい判定を下している。熟練者は完全には引きずられないが、それでも正答率は半分以下になる。 承認者の質を上げることは、承認が形骸化する速度を遅らせるだけで、方向を変えはしない。
形骸化は、逆方向からも起きる。同じ医療分野には、アラートを無視しすぎる側のデータもある。van der Sijs らによるCPOE（電子処方オーダーシステム）の系統的レビュー（17論文が対象）では、医師による薬剤安全アラートの却下率は49〜96%に達していた。ただし、この研究は却下が常に不適切だったわけではないことも指摘している。アラートの精度が低ければ、却下するほうが正しい判断になる。
つまり、承認・警告のような「人間に判断を求める仕組み」は、押しすぎても無視しすぎても壊れる。そしてどちらの状態でも、記録上は「人間が確認した」ことになる。
実務でこれがどう現れるかは、比較的よく報告されている典型パターンがある。リスクスコアが一定を超えたエージェントアクションすべてに人間の承認ゲートを置いた開発チームが、2ヶ月目には1日200件超の承認キューを抱え、レビュー担当者が処理を追いつかせるためにまとめ承認を始め、半年後には承認率がほぼ100%になった ― という話だ。承認の記録は完璧に残っている。監督は残っていない。
ここから導かれる実務上の指標がある。承認率は監督の健全性を測らない。測るべきは差し戻し率（override率）である。 判断の余地がある業務で差し戻しがほとんど発生していないなら、それは審査が優秀なのではなく、審査が起きていない可能性が高い。EU AI Act 第14条も日本のAI事業者ガイドラインも「実効的な人的監督」を求めており、ハンコを押した記録があることと、監督が機能していることは別の命題として扱う必要がある。
技術側の答えは「人を減らす」ではなく「人に届く前に分ける」
承認を人のキューから経路上の階層判定へ移す設計を示す図。これまでは、エージェントの全アクションをリスクスコア閾値のみで判定して人のキューに送っていたため、承認キューが1日200件超となり、まとめ承認が発生し、承認率がほぼ100パーセントになって監督の実体がなくなった。これからは、サーバー側のポリシー判定によって通過・属性付与＋監査記録・遮断に振り分け、人が見るのはcriticalのみとすることで、監督が可能な件数に収まる。Cloudflareが2026年8月18日にプライベートベータとして発表したWriteGuardは、MCPサーバーの手前で各ツール呼び出しをリスク4階層に分類する。read-onlyは読み取りのみで自動通過、minimal impactは影響が軽微な書き込みで属性付与して記録、contained writeは影響範囲が限定的で条件付き許可＋監査、criticalはマージリクエスト・デプロイ・一括削除などで遮断または人の承認となる。設計上の要点は、統制がサーバー側にあるためクライアントを切り替えてもローカルのフックを無効化しても回避できないこと。同時期の動きとして、Amazon Bedrock AgentCore Paymentsが8月22日に一般提供開始、GoogleのA2AプロトコルがAgentic AI Foundationへ移管され加盟は2025年12月の40組織未満から250組織超へ拡大した（8月19日）
興味深いのは、この8月のプラットフォーム側の動きが、ほぼ一斉に同じ方向を向いていることだ。承認を「人が押すボタン」から「経路上で判定される属性」へ移すという方向である。
Cloudflareが2026年8月18日にプライベートベータとして発表した WriteGuard は、その典型だ。これはMCP（Model Context Protocol）サーバー群の手前に置かれるポリシー・属性付与・監査のレイヤーで、エージェントからのツール呼び出しをすべて傍受し、対象ツールの設定とリクエストの文脈からリスク階層を判定する。
階層は4つに分かれている。
- read-only ― 読み取りのみ
- minimal impact ― 影響が軽微な書き込み
- contained write ― 影響範囲が限定的な書き込み
- critical ― マージリクエスト、デプロイ、一括削除など
判定結果に応じて、そのまま通す／エージェントの属性情報を付与して監査イベントを残す／ハンドラが動く前に遮断する、のいずれかを実行する。人間の目に届くのは、上位階層に分類されたものだけになる。
Cloudflareのエンジニアはこの設計の理由をこう説明している ― 「GitLab単体であれば、これらの統制をサーバーに直接組み込むこともできた。しかし同じ機能が Jira にも、社内wikiにも、Google Workspaceにも、そして新しく追加するすべてのMCPサーバーにも必要だった」。
もう一点、統制設計として重要な性質がある。統制がサーバー側にあるため、利用者がクライアントを切り替えたり、ローカルのフックを無効化したりしても回避できない。 これは、前回の記事で扱った「規程が現場で迂回される」問題への構造的な回答になっている。文書ではなく経路に置いた統制は、迂回できない。
同じ週の動きも並べておく。8月22日にAmazon Bedrock AgentCore Payments が一般提供を開始し、エージェントの決済実行が基盤側の機能になった。8月19日にはGoogleのA2A（Agent2Agent）プロトコルが Agentic AI Foundation へ移管され、同財団の加盟組織は2025年12月時点の40未満から250組織超へ拡大している。エージェント間の連携も、決済も、標準化された経路の上に乗り始めている。
経路が標準化されるということは、そこにポリシーを置けるということだ。 逆に言えば、経路を持たない企業には置き場所がない。
なお、本番化そのものの数字は依然として厳しい。2026年8月に公表されたNess Digital Engineeringの分析は、エージェント型AIの導入を計画している企業が99%、実際に本番投入できている企業は9〜14%にとどまるとし、この区間を「Death Valley」と呼んでいる。要因として挙げられているのは、確率的に振る舞うシステムへの信頼と、業務そのものの再設計が済んでいないことだ。承認設計は、この谷を越えるための必須工程に入っている。
日本の大企業が、承認設計で今から変えられる4点
ここまでを踏まえて、実務で変えられることを整理する。
① 承認の対象を「リスク階層」で先に決める
現状の多くの設計は「重要そうなものは承認」という曖昧な閾値で動いており、その結果として承認キューが低リスク案件で溢れる。WriteGuardの4階層のように、どの操作がどの階層かをツール単位・API単位で事前に定義し、人間に回る割合を設計値として決める。目安として、人間が実質的に審査できる件数（1人1日あたり何件か）から逆算し、そこに収まる階層定義にする。この作業は技術部門だけでは終わらない。どの操作が「不可逆」かは業務側にしか判断できないからだ。
② 承認率ではなく差し戻し率（override率）を計測する
承認プロセスのダッシュボードに載せるべきは、承認件数と承認率ではない。差し戻し率、1件あたりの承認所要時間、承認キューの滞留時間とキュー長である。判断の余地がある業務で差し戻し率が極端に低い状態が続いているなら、その承認は形骸化している。定期的にサンプリング監査を行い、承認済み案件のうち何割が本来差し戻されるべきだったかを測る仕組みも要る。
③ 承認画面に「差し戻せる材料」を置く
オートメーション・バイアスは、判断材料が乏しいときに強く出る。「承認／却下」の2ボタンだけを出すUIは、承認を押すことが最小コストの選択になるよう設計されているに等しい。エージェントがその判断に至った根拠、変更前後の差分、影響範囲、ロールバックの手段と所要時間を同じ画面に出す。この4点があるかどうかで、差し戻しが起きる確率が変わる。
④ 承認を稟議・職務権限規程に翻訳する
エージェントの承認フローは、たいてい既存の職務権限規程と接続されていない。「システム上は課長が承認するが、規程上その金額の決裁権は部長にある」といった不整合が、本番化直前に発覚して止まる。既存の決裁区分・金額基準・責任分界点を、エージェントのリスク階層にマッピングする作業を、実装前に済ませておく。
まとめ ― 承認は無料ではない
この記事の主張は、ひとつに絞れる。「最終的に人間が承認する」は、コストゼロの安全弁ではない。
承認は、承認者の処理能力という有限資源を消費する。消費量はエージェントの台数とアクション数に比例して増え、承認者の定員は増えない。そして限界を超えた瞬間、承認は監督ではなく記録に変わる。押した記録は残り、判断は残らない。
Wizitの整理する「4つの壁」で言えば、これはガバナンスの壁の話に見えて、実際には品質の壁と人材の壁にまたがっている。承認が形骸化した状態で本番リリースすれば、品質は検査されないまま外に出る。承認を実効化しようとすれば、判断できる人材が必要になり、その人材は社内にいない。
そして最も見落とされやすいのが、承認設計は本番化の前に決めておかないと手遅れになる、という点だ。PoCの段階では承認は1日数件で、いくらでも人が見られる。台数が10倍になってから設計し直すのは、動いているものを止めるということである。
Wizitは、大企業のAIをPoCで止めず、本番運用とROIまで動かし切ることを仕事にしている。その過程で繰り返し直面するのが、まさにこの「承認をどう設計するか」だった。本番化基準を最初に合意し、リスク階層と差し戻し率を業務指標として定義し、監督が数字で説明できる状態を作る。派手さはないが、ここを飛ばした案件は本番の手前で必ず止まる。
「人間が承認する」と書いた瞬間に安心してしまう前に、その承認は1日何件になるのかを計算してみてほしい。答えが3桁なら、設計はまだ終わっていない。
---
出典:
- サーバーワークス「AIエージェントに関する調査結果を公表」（2026年8月20日）／クラウド Watch「ITエンジニアの73.1％が『2030年時点でAIエージェントが一定程度業務を自律実行する』と予想、サーバーワークス調査」
- AvePoint「State of AI 2026」（グローバルITリーダー750名、2026年6月公開）
- Deloitte「Business and IT leaders report AI agents are scaling faster than their guardrails」（24カ国3,235名、2026年1月）
- Dratsch T. ほか「Automation Bias in Mammography: The Impact of Artificial Intelligence BI-RADS Suggestions on Reader Performance」Radiology 2023;307(4):e222176（2023年5月2日オンライン公開、doi:10.1148/radiol.222176）
- van der Sijs H. ほか「Overriding of drug safety alerts in computerized physician order entry」Journal of the American Medical Informatics Association（CPOE系統的レビュー、17論文）
- Cloudflare Blog「WriteGuard: Fine-grained controls for MCP Servers」（2026年8月18日）／InfoQ「Cloudflare WriteGuard Brings Fine-Grained Security Controls for MCP Servers」
- Ness Digital Engineering「Agentic AI in Financial Services: Crossing the POC Death Valley」（2026年8月）
- Gartner「2026年末までに企業アプリケーションの40%がタスク特化型AIエージェントを搭載」予測
- AI Agent News（2026年8月19〜22日）: Amazon Bedrock AgentCore Payments 一般提供、Google A2A の Agentic AI Foundation 移管