ココナラとElithが合弁、シャドーAI対策を初期事業に

ココナラは2026年10月13日の発表で、Elithとの合弁契約を同日付で締結し、資本金1000万円、出資比率をココナラ51％・Elith49％とする「株式会社ココナラエリス」を東京都渋谷区に11月1日付で設立する予定だと明らかにした。最初に取り組むのは、会社が把握していないAI利用への対策と、業務に使うAIの回答品質の評価だ。

トレーダーズ・ウェブの市場向け速報も、社内のAI利用を可視化・制御・記録するシャドーAI対策と、AI回答の品質評価を初期事業として伝えている。現時点で成立したのは合弁契約で、新会社の設立と新会社によるサービス提供は予定段階にある。すでに存在するElithの製品と、新会社がこれから提供する内容は分けて見る必要がある。

合弁会社は販売と開発をどう結ぶか

新会社の狙いは、ココナラが持つ法人顧客との接点を、ElithのAI研究開発と製品開発につなぐことにある。ココナラは販売や顧客の要望の収集、導入後の支援を担い、Elithは技術検証や製品・機能の開発を担う。合弁会社は顧客への提供と新規事業の企画を受け持つ計画だ。

Elithの合弁事業の発表では、ココナラの法人会員62万社超という顧客基盤を生かし、設立初期に「GENFLUX Security」と「GENFLUX Evaluation」などを活用する方針を示しており、ココナラの鈴木歩社長は企業が問う点を「安心して任せられるか」と表現している。前者はAI利用に伴うリスクの把握と制御、後者は出力の品質や信頼性の評価に関わる既存製品だ。両社は顧客の要望を取り込み、新たな機能や製品も共同で企画・開発する構想を持つ。

この役割分担には、導入後に分かった問題を開発へ戻すという意味がある。たとえば、管理者が把握できない利用経路が残るなら監視の対象を見直す必要があり、回答の誤りが特定の業務で続くなら評価基準や製品側の対応を改める必要がある。販売先を増やすだけでなく、運用で得た情報を機能改善へ結び付けられるかが、合弁事業の中身を左右する。

新会社の事業内容には、AIの安全性の評価・検証とAIエージェントに関する事業が含まれる。ただし、最初からその全領域のサービスが揃うという意味ではない。初期段階では既存のGENFLUX製品を足場に安全性、セキュリティ、品質評価を扱い、その後に顧客の需要に応じて対象を広げる計画だ。

シャドーAI対策では何を把握するのか

ココナラエリスが初期事業で扱う、把握できるAI利用と管理外のシャドーAI利用の違い

シャドーAIは、従業員が会社の把握していないAIツールに業務情報を入力するような利用を指す。問題になるのは、ツールの存在だけではない。誰がどの業務で利用し、どの種類の情報が外部サービスへ渡り得るか分からなければ、企業は利用ルールを実態に合わせて運用しにくい。

新会社が最初に掲げる対策は、社内のAI利用を可視化・制御・記録するものだ。可視化は管理外の利用を見つけること、制御は利用条件に応じて扱いを変えること、記録は後から状況を確認できるようにすることに当たる。同じ利用状況を扱っていても、何が見えるか、どこで止められるか、何が記録に残るかは別々の機能である。

たとえば会社が契約したAIだけを管理できても、従業員が個人向けの外部ツールへ業務情報を入力しているなら、管理者には利用の全体像が見えない。反対に利用先を把握できても、機密情報を含む入力をどう扱うか決めていなければ、可視化だけでは運用上の判断は完結しない。導入企業が確かめるべき対象は、製品名の一覧よりも、自社の利用経路と情報の扱いに合うかどうかだ。

記録にも目的の違いがある。利用の有無を把握したいのか、部門ごとの使い方を見直したいのか、問題が起きた後に経緯を追いたいのかで、必要な情報は変わる。発表段階では対象ツールや記録内容の詳細までは一律に示されていないため、新会社の提供条件が明らかになれば、可視化の範囲と記録の扱いが重要な比較点になる。

回答品質と攻撃耐性を分けて評価する理由

AIの利用状況が分かることと、その回答が業務に使えることは別の問題だ。新会社の初期事業に含まれる品質評価は、回答に誤りや事実と異なる内容がないか、業務で求める水準に達しているかを確かめるものと位置付けられている。利用経路の記録から、回答の正確さを判断することはできない。

評価基準は業務に合わせる必要がある。社内文書の要約なら元の文書との整合性、問い合わせへの回答なら案内する内容の正確さが焦点になる。どの誤りを重大とするかも、利用目的によって変わるため、一つの点数だけで異なる業務の適否を決めるのは難しい。

さらに攻撃への耐性は、通常の質問への回答品質とは別に確かめる項目だ。想定外の指示や不正な入力によって、守るべき情報や操作の境界が崩れないかを検証する。ElithはAIエージェントの攻撃・脆弱性検証で得た知見をGENFLUX Securityに反映しているが、合弁会社が顧客向けにどの検証を提供するかは、具体的なサービス条件に左右される。

通常時の回答が正確でも、不正な指示に対して適切に振る舞うとは限らない。同様に、攻撃を想定した検証で問題が見つからなくても、日常業務の回答が常に正しいとは言えない。業務で使う情報やAIモデルが変われば、以前の評価結果をそのまま現在の運用に当てはめられるかも見直す必要がある。継続的な評価という構想の価値は、この変化を追えるかどうかにある。

新会社の提供範囲を測る三つの質問

ココナラエリスの提供範囲を判断するために分けて確認するAI利用、回答品質、攻撃耐性

合弁会社が扱う安全性の事業は、企業側から見ると三つの統制項目に分けられる。管理外の利用を把握すること、通常時の出力品質を測ること、不正な入力への耐性を検証することだ。対象となるデータも判断基準も違うため、提案を一括して「AIセキュリティ」と呼ぶだけでは、どの課題に応えるのか見えにくい。

利用状況の可視化では、どのAIツールと利用経路が対象になるか。見つけた利用について、何を制御でき、どの情報が記録に残るか。
出力品質の評価では、自社業務に合わせた正答基準を設定できるか。誤りをどう分類し、情報やモデルの更新後に評価をやり直せるか。
攻撃耐性の検証では、どの種類の不正な入力や操作を想定するか。見つかった問題を利用制御や製品の改善にどう反映するか。

これらは発表済みの機能一覧ではなく、提供範囲を確かめるための問いである。既存のGENFLUX製品で使える内容、新会社が設立後に提供する内容、共同開発を計画する内容を区別すれば、将来の構想を現在の機能と取り違えずに済む。企業にとっては、同じ業務と利用条件を示したうえで回答を比べることが、導入可否を判断する材料になる。

両社は安全性、セキュリティ、品質評価を起点に、将来はAIエージェントの活用や業務改善にも事業を広げる計画だ。次の節目は予定されている新会社の設立であり、その後に初期サービスの対象範囲、利用条件、継続的な検証の方法が具体化すれば、企業は自社のAI統制にどこまで組み込めるかを判断できる。