6月25日、ECI Researchが「AI Code Governance: GitLab Report Reveals a Control Crisis」と題した記事を公開した。GitLabの「AI Accountability Report」をもとに、AIコーディングツールの急速な普及に対してガバナンス体制の整備が大きく後れを取っているという実態を分析している。調査が突きつける数字の中でも最も衝撃的なのが、自組織のコードベースでAI生成コードと人間が書いたコードを信頼性をもって区別できないと答えた回答者が43%に上るという事実だ。
自分のコードベースで、どれがAI生成か判別できない
43%の回答者が、自組織のコードベースでAI生成コードと人間が書いたコードを信頼性をもって区別できないと回答している。
トリアージできないものは管理できない。これが本質的な問題だ。
本番障害（プロダクションインシデント）との関連でみると、この問題の深刻さがより鮮明になる。87%が「24時間以内にAI生成コードが本番障害の原因かどうかを特定できる」と自己評価しているが、実際に過去1年間で本番障害を経験した組織のうち、34%はその特定ができなかった。 自己評価と実際の対応能力の間に大きな乖離がある。
障壁として挙げられた理由は明快だ：
- **43%**：AI生成コードと人間が書いたコードの区別が困難
- **40%**：ツールチェーンが断片化している
- **39%**：コードの出所を追跡するシステムがない
- 28%のみ：SDLCツールがデータとワークフローで完全に統合されている
ソフトウェアサプライチェーン攻撃への対策として、サードパーティソフトウェアの精査強化を最優先の対応策として採用している組織は一定数存在する。しかしAI生成コードはサードパーティでもファーストパーティでもない新たなプロベナンス（出所）カテゴリを生み出しており、既存のサプライチェーンセキュリティフレームワークはこれに対応した設計になっていない。
8割の組織が「ガバナンス前にAIを導入済み」
GitLabの「AI Accountability Report」は、The Harris Pollが6カ国1,528名の開発者・技術購買担当者を対象に実施した調査だ。そこから浮かび上がった数字が問題の核心を突いている。
80%の組織が、AIコーディングツールの利用ポリシーを策定する前にツールを導入していた。
これは個別組織の失敗ではなく、業界全体の構造的な問題だ。91%の組織が2種類以上のAIコーディングツールを現在も並行して使用しており、78%が「開発者のコード作成・コミット速度が上がった」と報告している。速度は先行したが、統制の仕組みはついてきていない。
「AIパラドックス」：個人は速くなったが、デリバリーは速くなっていない
生産性向上の効果は本物だ。60%がAIコーディングのROIは期待を上回ったと回答し、73%がコード品質の改善を、79%が個人の生産性向上を実感している。
しかし、85%が「AIによってボトルネックがコード作成からレビュー・検証へとシフトした」と回答している。 GitLabはこれを「AIパラドックス」と呼ぶ。コード生成は速くなったが、レビュー・検証・ガバナンスのインフラが追いついていないため、ボトルネックがパイプラインの下流に移動しただけという状態だ。
さらに深刻なのは保守性の問題だ。82%がAI生成コードは自組織では管理できない新たな技術的負債（テクニカルデット）を生むリスクがあると認識している。 そして、その管理を困難にしているのが前述の「43%が判別できない」という数字だ。
ガバナンス投資は「ほぼ全組織」が方針決定済み
調査結果が示すガバナンス不在の規模は大きい。92%が何らかのガバナンス課題を抱えており、83%がAI生成コードの蓄積を「今すぐ対処すべきリスク」と認識。そのうち44%は「最優先の技術リスク」と位置づけている。
一方で、98%が予算を確保済み、または確保見込みで、91%が今後12カ月以内にAIコードガバナンスツールへの投資を検討している。 市場の方向性はほぼ確定している。
開発者・プラットフォームエンジニアへの含意
アーキテクチャ的な観点では、問題は「AIガバナンスレイヤーを既存ワークフローにボルトオン（後付け）すること」ではない。ECI Researchは、SDLC（ソフトウェア開発ライフサイクル）レベルでの統合、すなわちコード生成時にタグ付けし、レビュー・マージを通じて追跡し、インシデント対応時に系譜データを参照できる仕組みが必要だと指摘している。
ECI Researchの2025年アプリケーション開発調査では、83.8%の回答者がCI/CDプロセス中にコードスキャンツールを使用済みという。しかし既存のスキャンツールは脆弱性検出向けに設計されており、プロベナンス追跡やAI生成コードのアカウンタビリティ確保には対応していない。既存パイプラインを置き換えるのではなく、拡張するのが現実的な近道だと記事は述べている。
またITDM（IT意思決定者）に対しては、「80%」という数字を業界統計として見るのではなく、リスク監査のトリガーとして扱うべきだと記事は述べている。最初の一手はガバナンスツールの購入ではなく、「自組織の本番システムにAI生成コードがどこに存在するか」「インシデント発生時にそれを追跡できるか」を把握するマッピング作業だ。多くの組織がこの作業を実施すると、答えが「No」であることが明確になり、投資の優先順位が自ずと定まるという。
※編集部の考察：AIコーディング採用の「速度フェーズ」はほぼ完了した。「アカウンタビリティフェーズ」が始まったばかりだ。
詳細はAI Code Governance: GitLab Report Reveals a Control Crisisを参照していただきたい。
