2026年に入って、企業のAIエージェントは静かに性質を変えた。要約や下書きを「手伝う」存在から、社内システムに触れ、承認された操作を人の代わりに「実行する」存在へと移ったのだ。象徴的なのが、日常業務ツールの標準機能としての一般提供（GA）が相次いだことである。Salesforceは Slack に組み込まれた Slackbot を『Your Personal Agent for Work』としてGAし、社内データを検索し、書類を作成し、従業員に代わって操作を実行する——しかもMCPクライアントとして他のエージェントに仕事を回し、実行結果はCRMに自動記録される。2026年8月には、エージェントが別のエージェントに仕事を委任するA2A連携もGAへ進んだ。「行動するエージェント」は、もう実験ではなく標準装備になりつつある。
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、日本企業の導入を「PoCから本番・全社へ」日々支援している。その現場でいま最も強く感じるのは、能力の普及速度に、統制（ガードレール）の整備が追いついていないことだ。この非対称を、印象論ではなくデータで裏づけたのが Deloitte の調査だった。本稿では、その「ガードレールの遅れ」を数字で確認し、埋めるべき制御点を3つに絞って整理する。
データが示す「ガードレールの遅れ」
Deloitte の The State of AI in the Enterprise 2026（"The Untapped Edge"）は、24カ国・6業種の3,235名の業務／IT責任者を対象とした調査だ。その付随分析 「Agentic AI is scaling faster than guardrails（エージェントAIはガードレールより速く広がる）」が示す数字は、そのままタイトルどおりの構図を描く。
| 指標 | 現在 | 2年後（見込み） |
|---|---|---|
| エージェントAIを「中程度以上」使う企業 | 23% | 74%（ほぼ3社に2社超） |
| エージェントAIの統制モデルが成熟している企業 | 21% | — |
つまり、利用はおよそ3倍に伸びる一方で、統制が成熟しているのは今も5社に1社にとどまる。裏返せば、約8割の企業が、エージェントを統べるための成熟した仕組み——エージェントが自律的に決めてよいことと人の承認が要ることの線引き、挙動を追って異常を検知する監視、行動の連鎖を丸ごと残す監査証跡——を欠いたまま、実行するエージェントを増やしていく計算になる。
この調査は2025年8〜9月に実施された2026年版レポートに基づく。数字自体は年初から公表されているが、「行動するエージェント」のGAが業務ツールに降りてきた2026年後半こそ、この非対称が実害に変わる局面だ。手伝うだけのAIなら、統制の遅れは「品質のばらつき」で済んだ。実行するエージェントでは、同じ遅れが「誰も承認していない操作」「後から追えない事故」に直結する。
なぜ「行動するエージェント」は従来のAI統制と違うのか
生成AIのガバナンスは、これまで主に「入力と出力」を対象にしてきた。機密情報を入れない、誤った出力を鵜呑みにしない——いわば言葉の統制だ。だが実行するエージェントが増やすリスクは、言葉ではなく行動にある。Deloitte の分析も、エージェントが「ワークフローを起動し、通信を送り、ソフトウェアと相互作用し、下流に業務上の帰結をもたらす操作を取り得る」点を統制設計の起点に置く。
決定的な差は、取り消しにくさと速さだ。人が承認画面を見てクリックする間もなく、エージェントはレコードを更新し、メールを送り、次のエージェントに仕事を委任する。ワークフローは速くなったように見えるのに、その裏側の判断ロジックは曖昧で、テストされておらず、統制の枠組みがなければ後から監査もできない——これが「速く見えて、実は追えない」状態である。
最も見落とされがちなのは、「一度承認したら終わり」という設計だ。導入時に一度権限を渡したエージェントが、その後どんな操作を積み重ねているかを継続的に見ていなければ、統制は初日で止まる。実行するエージェントの統制は、入口の一回審査ではなく、動き続ける挙動を追い続ける運用でしか成立しない。
埋めるべき3つの制御点
「ガードレールの遅れ」を埋めるといっても、必要なのは大掛かりな新規開発ではない。Deloitte が挙げる要件——アクセス権限、高影響アクションの承認ワークフロー、監査可能なログと可観測性——を、次の3つの制御点に落とし込めばよい。順に「境界を引く」「見続ける」「証跡を残す」である。
| 制御点 | 問い | 実装の要点 |
|---|---|---|
| ① 決定境界（権限） | このエージェントは何を自律で決めてよいか | エージェントごとに専用IDと最小権限（RBAC）を与え、高影響アクションは人の承認を挟む線引きを明文化・強制する |
| ② リアルタイム監視 | いま何をしているか／異常はないか | 挙動をダッシュボードで追い、逸脱・異常を検知して止められるようにする（可観測性） |
| ③ 監査証跡 | 何が・どこへ・何のために起きたか | 行動の連鎖を、あとから再現・説明できる形で全て記録し、インシデント調査とコンプライアンス証明に使えるようにする |
3つは独立した機能ではなく、一続きの制御ループとして効く。①で「やってよいことの範囲」を決め、②でその範囲内で実際に何が起きているかを見張り、③で起きたことを消えない記録に残す。どれか一つでも欠ければ、残りの二つも半分しか機能しない——境界を引いても見張らなければ守られたか分からず、見張っても記録がなければ後から証明できない。
重要なのは、この3点を特定ベンダーのエージェントの中だけでなく、社内で動く全エージェントに一律で効かせることだ。Salesforce の Slackbot のように「操作がCRMに自動記録される」設計は望ましいが、それはあくまでそのプラットフォーム内の話。複数ベンダーのエージェントが混在し、互いに仕事を委任し合う現実では、統制はベンダー横断の一層で握らなければ、境界の外に穴が開く。各社が管理コンソール側に承認・権限・監査を寄せ始めているのも同じ理由からだ。
homula の観点——統制を「後付け」ではなく「導入の順序」に組み込む
homula の実装思想は、この「速さに統制を追いつかせる」課題とそのまま重なる。鍵は、統制を導入後の後付けにせず、最初の設計に織り込むことだ。
- 接続（縦）: Agens は MCP を活用したエンタープライズ向け統合プラットフォームで、200以上のツールと構築ゼロで接続できる。エージェントを業務の文脈とツールにつなぐ「実行の足回り」を、個別開発なしで最短化する層だ。
- 統制（3つの制御点）: Agens Control は承認フロー・DLP・5年分の監査ログ・RBACを提供する。これは Deloitte が挙げる要件——アクセス権限（RBAC）／高影響アクションの承認（承認フロー）／監査可能なログ（監査ログ）——に、そのまま対応する。上表の①決定境界・②監視・③監査証跡を、プロトコルやベンダーの外側から一律に効かせるための一層である。
- 定着: AIエージェント・ブートキャンプは、業務棚卸し・プロトタイプ構築・ROI試算を3〜5日で完結する。「どの業務から、どの承認境界で解禁するか」を業務単位で見極めるところから始められるため、統制を後追いにせず、最初の一歩に組み込める。
homula はこれらを、戦略策定 → PoC（最短5日）→ 実装 → 運用 → 内製化まで一気通貫で支援する。活用技術は n8n / Dify / LangGraph などベンダー中立で選ぶため、特定プラットフォームのエージェントに閉じない。実行するエージェントが複数ベンダーをまたぐ時代に、統制もまたベンダー横断で効かせられることが、5社に1社の側に立つための条件になる。派手な全面自動化より、「境界・監視・証跡つきの実行」を一つずつ増やす設計の方が、この局面では確実に効く。
まとめ
2026年に起きたのは、AIエージェントが「手伝う道具」から「行動する担い手」へ変わったことだ。Salesforce の Slackbot、A2A連携のGA——実行するエージェントは、もう例外ではなく標準になった。だが Deloitte の数字が示すとおり、2年で74%が使うのに、統制が成熟しているのは21%にとどまる。この「ガードレールの遅れ」は、実行するエージェントが増えるほど、品質の問題から事故の問題へと質を変える。
埋めるべきは3つの制御点だ——自律と承認の線を引く決定境界、挙動を追うリアルタイム監視、行動の連鎖を残す監査証跡。しかもそれらを、単一プラットフォーム内ではなくベンダー横断の一層で、導入の後付けではなく最初の設計として握ること。エージェントの実行を止める必要はない。止めるべきは、境界も記録もないまま走る実行の方だ。
自社のどの業務から、AIエージェントの「実行」を統制つきで解禁できるか。承認境界の設計と監査の型づくりから、5社に1社の側に立つ一歩を一緒に描きませんか。