データ・プライバシー・ウィークは月曜日、欧州連合（EU）の欧州委員会（ ） が、違法なコンテンツの拡散の疑いについてイーロン・マスク氏の「X」に対する調査を開始すると発表したことで、波乱の幕開けとなりました。これは、xAIのチャットボット「Grok」によって作成された、実在の女性や少女を性的に描写した数百万枚のディープフェイク画像 がインターネット上に氾濫し、世間の激しい反発を招いたことを受けての措置です。
この調査は、英国のメディア規制機関であるオフコム（Ofcom）が最近開始した同様の調査に続くもので、技術的にはXがEUの「デジタルサービス法」に基づく透明性およびコンテンツ管理の規則に違反したかどうかを検証するものです。しかし、同時に、 データプライバシー の核心、すなわち、おそらく最もプライベートな形態である「裸の姿を見られない権利」 にも切り込んでいます。
これは非常に説得力のある比喩です。AIがデジタル領域に浸透したことで、企業は今や、かつてない規模で個人データを収集・分析できるようになったからです。 これにより、プライバシー担当の専門家たちへの負担がますます増大しています。彼らはすでに過度のストレスにさらされており、さらにこの1年間で人員が大幅に不足している状況にあることが、今月発表されたISACAの最新調査（ ）で明らかになりました。 また、これにより、消費者や企業の経営者は、AIツールやモデルによって個人データがさらされるリスクに直面せざるを得なくなっています。そのデータとは、銀行情報、健康情報、位置情報、購入履歴、そして今や私たちの身体（あるいはGrokの場合、他人の体に私たちの頭部を合成したもの）などです。
データ保護の問題は新しいものではありませんが、その実態を把握するのは難しく、多くの消費者は、盗まれたデータが闇市場サイトに流出し、 のようなサイバー犯罪組織によって売買されているという話を耳にすると、ただ手を挙げて諦めてしまうのが実情です。 Grokの「スパイシーモード」は、誰でもあなたや配偶者、あるいはお子様のポルノ画像を作成し、それをすべての人のスマートフォンに配信できるようにする、露骨なコンテンツ設定であり、この危険性をこれまで以上に鮮明かつ生々しい形で浮き彫りにしています。 そこで、ある疑問が浮かびます。この動きは、消費者や企業のリーダーたちにデータプライバシーをより真剣に受け止めるよう促し、状況に変化をもたらすのでしょうか？
全米サイバーセキュリティ同盟のリサ・プラッゲミア事務局長は昨日、デジタルプライバシーの問題への関心を高めるための国際的な取り組みである「データ・プライバシー・ウィーク」の開幕を記念して開催されたウェビナーで、前向きな見解を示しました。 「私たちは毎日、膨大な量のデータを生成しています――私たちの居場所、習慣、会話、顔――」と彼女は言い、ここで眉を少し上げ、カメラに向かってほほえみながら、「そして、私たちの声も」と付け加えました。 データが不注意に収集されたり、無期限に保存されたり、あるいは意図しない方法で利用されたりといった問題があるにせよ、彼女はプライバシーに対する見方が変わりつつあると考えています。 「もはや単なる秘密保持の問題ではなく、主体性の問題なのです。」
他の人たちは、それほど確信を持っていません。
「Grokのような一般消費者向けAIシステムを導入する企業が、プライバシーについてより深く考えるようになることを願っていますが、他の方法でAIを活用している企業がそうするかどうかは分かりません」と、プライバシーの専門家であり、ISACAの主任研究アナリストであるサフィア・カジー氏は述べています。ISACAは、 デジタル信頼の促進に尽力する、世界をリードするIT認定・研修を行う非営利団体です。。 「画像生成機能を提供していないからといって、自社のAIシステムが悪用される心配はないと考えているのかもしれません」と彼女は述べました。
ISACA（旧称：情報システム監査・統制協会）は、毎年、新たな「プライバシーの現状」報告書を発表しています。 同団体は、プライバシー担当スタッフの数がわずかに減少している傾向を把握していましたが、 2025—from 社において、中央値で8名だったスタッフが5名へと3分の1も減少したことが、同団体の注目を集めました。 カジー氏は、これは同調査が実施されてきた6年間の中で、断トツで最大の減少幅であると指摘しました。
カジー氏は先週、 の担当責任者である 氏と実際に面談し、同レポートの主な調査結果について話し合いました。このレポートは、秋に世界中の1,800 名以上のデータプライバシー責任者（DPO）やその他のデータ保護の責任者を対象に実施された調査に基づいています。 私たちは彼女に、これら5つの重要なチャートに注目するようお願いしました。
キーポイント
1. 取締役会はプライバシーを支持していますが、その理由は間違っています
プライバシープログラムに対する取締役会の見解： 御社の取締役会は、御社のプライバシープログラムをどのように捉えているとお考えですか：
出典：ISACA 2026 プライバシーの現状
回答者のわずかな過半数（56％）が、自社の 取締役会 はプライバシーを適切に優先していると回答しましたが、カジー氏が取締役会のプライバシーへの取り組みを後押しする具体的な動機を分析したところ、programs—41％がコンプライアンスを最大の要因として挙げており、これは他を圧倒するほど強い動機となっています。彼女はここに問題があると考えています。
「コンプライアンスを唯一無二の目標とすることなど、実に悪い目標です。」ISACAのプライバシー担当主任研究アナリスト、サフィア・カジー氏
「『』のコンプライアンスや『 』を、究極の目標として掲げるのは、実に不適切な目標です」と彼女は述べました。 コンプライアンスは扱いが難しいものです。なぜなら、規則は地域によって異なり、頻繁に変更されるからです。 組織のプライバシーポリシーを、このように変動しやすい指針に結びつけようとするのは、動く桟橋にボートを係留しようとするようなものです。
より強力で安定した選択肢は、「プライバシー・バイ・デザイン」です。これは、システムやアプリケーションの開発の最も初期の段階から、プライバシー保護の仕組みを組み込む手法です。 「それなら、それは付加価値となります」と彼女は言いました。「競合他社との差別化につながる可能性があり、その意味で、企業全体にとってより不可欠なものとなるのです。」
[関連記事：ITリスクおよびコンプライアンス管理の完全ガイド]
例えば、Signalもこの課題に直面しています。このプライベートメッセージングサービスは市場シェアを争う中で、Slackやその他のメッセージングサービスを提供するブランドでユーザーが利用できる可能性のある新機能――検索機能やテキストのやり取りのスクリーンショットを撮る機能など――を検討しているのです。 どちらの場合も、プライバシーに対するリスクが大きすぎると判断した、とシグナルの戦略・国際担当副社長であるウドバフ・ティワリ氏は、月曜日に全米サイバーセキュリティ同盟が主催した「 」ウェビナー（ ）で述べました。
「シグナルでは、ユーザーは信頼を期待しています。シグナルがそのメッセージを守るために全力を尽くしてくれることを願っているのです」と彼は述べました。
2。 プライバシー保護におけるAIの活用――そのメリットと「一息入れる」ことの重要性
プライバシー関連業務におけるAIの活用： 貴組織では、プライバシー関連の業務を行うために、AI（機械学習など）をどのように活用する計画がありますか？
出典：ISACA 2026 プライバシーの現状
私たちの多くと同様、プライバシー分野の専門家たちも、AIがどのように業務パフォーマンスを向上させることができるのかに関心を持っています。 38％が、今後1年間でデータプライバシー関連の業務において、AI（ のボット や 、機械学習 など）を活用する計画があると回答しています。 これは、 2025 年の36％、 2024年の 28％から上昇したものです。 しかし、実際にそうしている組織の数はかなり少ないです（わずか 13％です）。
「データプライバシーは、多くの組織がその理解と管理に奔走している複雑なエコシステムへと拡大しており、未知のものに対する恐れが足止めを招くこともあります。」Tanium社のセキュリティおよび製品設計研究担当シニアディレクター、メリッサ・ビショピング氏
カジはこれを不思議に思います。 彼女は、回答者たちがAIの公認された用途ばかりを念頭に置き、職場における「シャドウAI」の急速な台頭（ ）を忘れてしまっているのではないかと疑っています。。 あるいは、 のような「雰囲気コーディング」アプリ （Lovable や Claude など）といった、注目を集めるAIツールの利用には慎重になる一方で、レコメンデーションアルゴリズムや、顧客から収集した個人を特定できる情報（PII）を検知するシステムなど、「より日常的で、派手さのない」タイプのAIについては見落としているのかもしれません。
あるいは、一部の専門家が指摘するように、実はもっと単純なことなのかもしれません。
「AIエージェントやワークフローが現代の企業において欠かせない要素となるにつれ、データプライバシーは複雑なエコシステムへと拡大しており、多くの組織がその理解と管理に奔走しています。そして、未知のものに対する不安が、行動を躊躇させる要因となり得るのです」と、サイバーセキュリティソリューションおよび自律型IT分野のリーディングイノベーターであり、本誌の発行元でもあるTaniumの、セキュリティおよび製品設計研究担当シニアディレクター、メリッサ・ビショピング氏は述べています。
はい、イノベーションの精神が多くの技術者を鼓舞し、 のエージェント型AI の構築、導入、統合へと駆り立てている、と彼女は認めました。 しかし、プライバシーの専門家たちは、データについて独自の視点を持っています。
[関連記事：メリッサ・ビショピング著『ソフトウェア・サプライチェーンを守る 7 の方法』]
「AIは、高度なワークフローを迅速かつ大規模に実行するという、かつてない能力を私たちにもたらしてくれましたが、適切な管理や監視が行われない場合、それと同じ規模で前例のないリスクやデータ損失を招く恐れがあります」とビショピング氏は述べました。 そして、データの保護を最優先課題とするプライバシーの専門家ほど、その重要性を理解できる人はいないのではないでしょうか。
この消極的な姿勢の理由が何であれ、AIの活用は万能の解決策ではありません。
「AIを導入したからといって、取締役会がプライバシーを優先するようになるわけではなく、また『プライバシー・バイ・デザイン』の実践が容易になるわけでもありません」と彼女は述べました。 技術的な解決策として、AIには確かにメリットがありますが、「それだけでは、人員が増えたり、経営陣の理解や支持が得られるわけではありません」。
3。 「プライバシー・バイ・デザイン」――一つひとつのプロジェクトから
プライバシー・バイ・デザインの実施頻度： 御社では、どのくらいの頻度でプライバシー・バイ・デザインを実践されていますか？
出典：ISACA 2026 プライバシーの現状
企業がAIの可能性を探求し、数多くの新しいAIモデルを生み出している中、エンジニアリングプロセス全体にプライバシーを組み込む取り組み、いわゆる「プライバシー・バイ・デザイン」は、これまで以上に重要になっています。 これはデータのプライバシーを確保するための最も信頼できる方法であり、場合によっては、 のプライバシーに関する法令や規制（）によって義務付けられることもあります。 例えば、 欧州連合（EU）のAI法 は、「プライバシー・バイ・デザイン」の取り組みを推進しています。
それにもかかわらず、「自社では『プライバシー・バイ・デザイン』を常に、あるいは頻繁に実践している」と回答した回答者の割合は、 2024 年の63％、 2025 年の62％から、今回の最新調査では 58％へと減少しています。
この着実な減少の要因は何でしょうか？ 「特に今年は、人員削減が『最も有力な原因』であるように思われます」とカジー氏は述べました。
この調査によると、当然のことながら、予算規模の大きい大企業ほど、中小規模の企業よりもこの慣行を取り入れる傾向が強いことが明らかになりました。 興味深い調査結果によると、現在プライバシー関連の業務でAIを利用している人のほぼ半数（41％）が、常に「プライバシー・バイ・デザイン」を実践していることが分かりました。 ISACAの報告書では、こうしたAIの利用の一部は、実際には「プライバシー・バイ・デザイン」を活用しており、ひいてはプライバシーの保護に寄与し得ると指摘しています。
資金や人員の確保に苦労している方々については、必要なリソースが不足しているからといって、そのような取り組みが不可能になるわけではないと、カジー氏は断言しました。 彼女からのプロのアドバイス：プロジェクトごとに進めていきましょう。
「データを確認し、どのプロジェクトが『プライバシー・バイ・デザイン』の恩恵を最も受けられるかを特定してください」と彼女は述べました。 「もしかすると、御社のマーケティングチームは新しいニュースレターの作成に取り組んでいるかもしれませんが、新しい顧客データベースに比べれば、その優先度はそれほど高くないでしょう。」 「ですから、限られたリソースを最大限に活用するためには、そこに力を注ぐのがよいのかもしれません。」
4。 プライバシー関連予算の削減がもたらす意外なメリット
予算見通し： 今後 12 ヶ月間で、貴組織のプライバシー関連予算はどのように変化するでしょうか（変化がある場合）？
出典：ISACA 2026 プライバシーの現状
予算削減への懸念はここ数年高まっており、回答者の半数が、今後1年間でプライバシー関連の予算が「若干」または「大幅に」減少すると予想しています。これは、 2023年に同様の見通しを示した回答者が 8％だったのと対照的です。 同様に、資金増額への期待も薄れてきました。
とはいえ、実際の状況はそれよりもやや明るいようです。
「そうした懸念は、実際に目にする状況とは一致していません」とカジー氏は述べました。 実際の予算削減額は、前年に人々が懸念していたほど大きくはありません。 例えば、昨年の初めには、回答者の 48％が 2025年に資金が多少なりとも、あるいは大幅に減少すると予想していましたが、今回の調査では、その年に予算削減を経験したのはわずか 12％にとどまりました。
[関連記事： 2026—11 のサイバーセキュリティ予測から読み取れること（そしてその備え方）]
「どのニュースサイトを見ても、大手メディアが人員削減を行っている様子が目につかないことはなく、ですから、その不安の背景には何があるのか、私にはよくわかります」とカジー氏は述べました。 とはいえ、秋に発表された「サイバーセキュリティの現状」レポートで調査対象となったセキュリティ責任者たちの間では、予算削減に対する同程度の懸念が見られないことを、彼女は不思議に思っています。
5。 プライバシー研修のヒント――注意すべき点
プライバシー意識向上研修： 御社では、いつプライバシー研修を実施していますか？
出典：ISACA 2026 プライバシーの現状
回答者の 79％が、所属組織でプライバシー意識向上研修が実施されていると回答しましたが、 は、 によって異なり、最も一般的な実施時期は年1回のテスト（4分の3）と採用時の研修（半数以上）でした。
「プライバシーに関する概念、例えば同意の理解やデータの活用方法、何が個人情報とみなされるかといったことは、セキュリティ研修の範囲にはあまり含まれていません。」カジ
また、ほとんどの参加者はこの研修に好印象を抱いていました。これは、従来の形式の従業員向けセキュリティ研修（ ）ではもはや不十分であると感じているセキュリティ研究者や の最高情報セキュリティ責任者（）が増加している現状とは対照的です（）。 ISACAの調査によると、回答者の 82％が、プライバシーに関する研修が実際のプライバシー意識に「強い」または「中程度の」プラスの影響を与えたと感じていました。
セキュリティ研修 は、プライバシー研修とは異なります。 カジー氏は、企業にとって、適切なセキュリティ対策が講じられていなければプライバシーは確保できませんが、セキュリティ対策をしっかりと行っても、必ずしもプライバシー対策が実践されているとは限らない、と指摘しました。
「たとえば、素晴らしいセキュリティ意識向上研修を実施しており、 からのフィッシングメール を決してクリックしないようなマーケティングチームがいるとしましょう」と彼女は述べました。 「彼らはあらゆる兆候を熟知しています。彼らを騙すことなどできません。」 しかし、彼らは必ずしもプライバシーに関する具体的な概念、例えば「同意」の意味やデータの活用方法、何が個人情報とみなされるかといったことを理解しているとは限りません。 「それは、セキュリティ研修の範囲にはあまり入りません。」
企業がセキュリティとプライバシーに関する意識向上研修を組み合わせたいと考えるのであれば、プライバシーに関する概念が確実に網羅されている限り、それは構わないと彼女は述べました。
必見のウェビナー
データ保護に関する問題への意識を高めるための国際的な取り組みである「データ・プライバシー・ウィーク」は、金曜日まで開催されています。 この年次イベントを記念して、全米サイバーセキュリティ同盟（NCA）は、起業家、経営幹部、公共部門のリーダー、および一般消費者への啓発を目的とした一連の「 」無料ウェビナー（ ）を開催しています。 詳細については、以下のリンクをご覧ください。
- デジタル社会における子どものプライバシー（TUE、 2026年1月27日、 14:30 EST）—Dr. カーネギーメロン大学のCyLabセキュリティ・プライバシー研究所所長であるロリー・クラナー氏が、NCAの事務局長リサ・プラッゲミア氏と共に、テクノロジーが学習、コミュニケーション、自己表現に深く浸透する中で、子どもや10代の若者、保護者、教育者が直面している、年齢確認や学校用ツールなどを含む独自のプライバシー上の課題について議論します。
- プライバシー法をわかりやすく解説（水曜日、 2026年1月28日、 13:00 EST）—ベーカー・マッケンジーのデータ・プライバシー担当弁護士、ジャスティン・フィリップス氏が、個人データへのアクセスや削除に関する権利から、企業が収集したデータをどのように取り扱い、保護すべきかまで、現在のプライバシー法の状況を、わかりやすく実践的な言葉で解説します。 また、彼女は全米各地で制定されつつある新しい法律や、すでに利用可能な保護措置をどのように活用すべきかについても探っていきます。
- ダイナミックプライシング：アルゴリズムが価格を決定する仕組み（木曜日、 2026年1月29日、 13:00 EST）—専門家たちが、ダイナミックプライシングという拡大を続ける新たな分野について、その公平性や透明性から、航空券、ライドシェアの料金、オンラインショッピングなどの支払額を決定する際に、個人のデータがどのように利用されているかまで、幅広く掘り下げていきます。
- 「忘れられる権利」：オンライン上のデータの削除（FRI、 2026年1月30日、 13:00 EST）—個人データ削除プラットフォーム「Optery」の創設者であるローレンス・ジェンティレロ氏と、CalPrivacyの事務局長トム・ケンプ氏が、ウェブサイト、アプリ、検索エンジンから自身のデータの削除を請求できる法的概念である「忘れられる権利」について解説します。 また、デジタルフットプリントを減らし、個人情報をよりしっかりと保護するための簡単な手順についてもご説明します。
