大企業における「AIが書いたコード」の管理の実態｜「毎回レビューできている」は3割にとどまる

1. AIが書いたコードは、開発部門だけの課題ではなくなっている

1-1. 社内ツールから本番コードまで、AIの利用範囲が広がっている

AIによるコード生成は、一部の先進的な開発チームや、限定的な検証用途だけのものではなくなっています。
大企業におけるAIが書いたコードの具体的な用途を見てみると、「社内ツールや業務効率化スクリプトの作成」が62.1%で最多となったほか、「本番環境で稼働するシステムのコード作成」も43.4%に達していることが分かりました。

年商1,000億円以上の企業では、AIが書いたコードの利用が一部の開発現場に限られず、社内ツールや業務効率化スクリプト、本番環境で稼働するシステムのコード作成にも及び始めています。利用範囲が広がれば、生成されるコードの量だけでなく、確認すべき変更点も増えていきます。

セキュリティ部門や情報システム部門にとっては、どの部門で、どの用途にAIが書いたコードが使われ、どのシステムに反映されているのかを把握する必要が高まるということです。開発の効率化が進むほど、品質やセキュリティを確認する対象も増えるため、現場任せの確認だけでは管理が追いつきにくくなります。

1-2. 活用は広がる一方、不安も解消されていない

今回の調査結果によると、AIが書いたコードの品質やセキュリティに対して83.1%の大企業担当者が不安や懸念を抱いていることが明らかになりました。その一方で、87.7%の回答者が今後もAI活用の「継続・拡大」を見込んでいると回答しています。この一見すると相反するようなデータが示しているのは、現場が直面している「リスクへの懸念はあるが、活用の波を止めるわけにはいかない」という切実なジレンマです。

現在のビジネス環境において、生成AIがもたらす開発スピードの向上や業務効率化の恩恵は無視できないほど大きくなっています。競合他社がAIを活用してデジタル変革（DX）を加速させる中、自社だけがリスクを恐れて「AIの利用を一律で禁止・抑制する」というアプローチをとることは、ビジネスの競争力を損なうおそれがあり、現実的ではありません。

今、管理職やセキュリティ決裁者に求められているのは、「いかに使わせないか」という制限の視点から、「積極的に使っていくことを前提に、いかに組織としてガバナンスを効かせるか」という視点への明確なシフトです。

AI活用のアクセルを踏み続けながら、企業としての安全を守るブレーキ（管理体制）をどう構築していくか。その具体的な課題を探るため、まずはリスクを遮断するための第一関門である、現場の「レビュー体制」の実態から見ていきましょう。

2. リスクの中心は、AIが書いたコードそのものではなく「確認できない状態」

2-1. 毎回レビューできているとの回答は約3割にとどまる

AIが書いたコードが危険なのではなく、「そのコードに問題がないかを確認する仕組みが追いついていない状態」こそが、企業にとって重大なインシデントリスクとなります。

調査において、AIが書いたコードに対するレビュー状況を尋ねたところ、「人間が毎回レビューしている」との回答は32.4%にとどまり、「重要な機能に関するコードのみ、人間がレビューしている」という限定的な対応も26.9%を占めました。

しかし、「何が重要な機能か」の判断基準が現場の部門や個人の裁量に委ねられている場合、チェックの網の目は容易に粗くなります。

「誰が、どのコードを、どのような基準で確認するのか」の統制が取れていないまま、現場任せの運用が続くこと自体が、経営上の見えないリスクとなっています。

2-2. 人材不足と基準未整備が、レビューの属人化を招く

現場が十分なレビューを行えない背景には、大企業共通の構造的な課題が存在します。十分なレビューが行えていない理由を尋ねたところ、以下の項目が上位に挙がりました（n=138）。

AI生成コードをレビューできる人材が不足している：47.1%
レビューの基準やチェック項目が整備されていない：40.6%
AI生成コードの量が多く、全てを確認しきれない：38.4%

「スキルを持った人材の不足」と「明確な評価基準の欠如」、そしてAIのハイペースな出力に対する「量的な限界」。これらが重なった結果、セキュリティやコードの品質確認業務は特定の有識者に依存する「属人化」の状態に陥りやすくなります。

対応業務が属人化すると、特定担当者のリソースが枯渇した瞬間に、確認漏れや対応の遅れ、判断のばらつきが発生します。これは、増加し続ける脆弱性情報に対して迅速に対処するための「セキュリティ対応リソースの不足」という、多くの企業が抱える既存の課題をさらに悪化させる要因となります。実際、IPA（独立行政法人情報処理推進機構）の脆弱性対策情報データベース「JVN iPedia」には、2025年の1年間だけで41,742件の脆弱性対策情報が登録されています（出典：IPA「脆弱性対策情報データベースJVN iPediaの登録状況［2025年第4四半期］」）。

3. セキュリティ部門が警戒すべきは、脆弱性を見落とすこと

3-1. 最大の課題は「セキュリティ上の脆弱性の検出」

AIが書いたコードの管理において、大企業のIT担当者が最も課題視している領域はどこでしょうか。

調査結果では、「セキュリティ上の脆弱性の検出」が58.4%でトップとなり、「コードの品質や可読性の確認」（48.9%）や「動作確認テストの実施や網羅性」（47.9%）を上回りました。

大企業におけるAIが書いたコードは、単なる一担当者のデスクトップ上の効率化ツールにとどまらず、基幹業務システムや、クラウド環境、外部の取引先と接続するAPIなどに組み込まれる可能性があります。

もし、確認漏れによって深刻な脆弱性が見落とされた場合、自社のシステムが侵害されるだけでなく、顧客データの漏洩、取引先や委託先へのサプライチェーン攻撃の足がかりにされるなど、影響は社会的な信用失墜へと拡大しかねません。IT資産が急速に複雑化する中、脆弱性をいかに見落とさずに把握するかは、急を要する課題です。

3-2. コードレビューだけでは、攻撃対象の全体像を把握しきれない

課題は脆弱性の検出だけに限られません。調査では、「コードの品質や可読性の確認」が48.9%、「動作確認テストの実施や網羅性」が47.9%、「知的財産権やライセンスの抵触チェック」が39.7%と続いています。

この結果から、AIが書いたコードの管理では、セキュリティの観点だけを強めても十分ではないことが分かります。安全性を確認するだけでなく、読みやすく保守しやすいか、想定どおりに動くか、権利面で問題がないかを、それぞれ確認する必要があります。

こうした確認を特定の担当者の経験に任せると、レビューの質がばらつき、対応の優先順位も揃いにくくなります。だからこそ、次章で述べるように、開発、セキュリティ、運用の各部門が見るべき観点を分け、判断基準を共有することが重要になります。

4. 属人化を防ぐには、確認範囲と責任を分けて設計する必要がある

4-1. 開発、セキュリティ、運用で見るべき観点は異なる

AIが書いたコードの管理を一つの部門だけで完結させると、確認範囲が偏りやすくなります。開発部門、セキュリティ部門、運用部門では、それぞれ見るべき観点が異なるためです。

開発部門はコードが意図どおりに動くかを、セキュリティ部門は攻撃の入口になり得る弱点を、運用部門は本番環境への影響や障害時の対応を、それぞれ重視します。同じコードでも立場によって見る角度が異なるため、一つの部門だけに任せると、他の部門なら気づけた問題が見落とされやすくなります。

管理職や決裁者に求められるのは、部門ごとの役割を明文化し、判断が個人に偏らない仕組みを整えることです。責任の所在があいまいなままAI活用だけが広がれば、問題が起きた後に原因を追いにくくなります。

4-2. 確認事項と判断基準まで具体化する

AIが書いたコードの確認体制は、部門名を並べるだけでは運用に定着しません。どの段階で、誰が、何を確認し、どの基準を満たせば次に進めるのかまで決めておく必要があります。

例えば開発部門は、仕様との整合、品質、可読性、テスト結果を確認します。セキュリティ部門は、脆弱性の有無、ライセンス上の懸念、社内基準への適合を確認します。運用部門は、変更履歴、監視対象への反映、障害時の対応手順を確認します。確認項目を表にし、担当部門と承認条件を明確にしておくと、判断が個人に偏りにくくなります。

重要なのは、最終的な責任を誰か一人に負わせることではありません。各段階で判断の根拠を残し、問題が起きた時に、どの確認が不足していたのかを追える状態にすることです。その状態を作ることが、AIが書いたコードの活用を続けながら属人化を抑える現実的な対応になります。

5. ホワイトペーパーで確認できること

5-1. 記事では触れなかった調査結果から、自社の管理体制を点検する

本記事では、大企業におけるAI活用の拡大、それに伴うレビュー不足や属人化、そして脆弱性検出の課題に絞って調査結果を紹介しました。

今回実施した『AI生成コードのセキュリティ・品質管理に関する実態調査』のフルレポート（ホワイトペーパー）では、記事内で紹介しきれなかった以下の詳細なデータも掲載しています。

•  品質問題が発生した際の具体的な対応体制の実態

•  IT担当者が生の声で語る「人手・スキル不足のリアルな課題」（自由回答）

• 今後、大企業が強化したいと考えている具体的なセキュリティ施策

自社の現在のレビュー体制やセキュリティ確認の手法、責任分担、あるいは外部委託の活用方法が適切であるかを客観的に見直すための材料としてご活用いただけます。経営層への説明や、社内のセキュリティガイドライン策定の根拠資料としても有用です。

ぜひ、以下のリンクから資料をダウンロードし、貴社の「攻めと守りの両立」にお役立てください。