AI監査スタートアップが「偽のコンプライアンス証明書」を捏造か

「コンプライアンスを自動化する」と謳っていたスタートアップが、実際には「コンプライアンスを偽造していた」とすれば——それは単なる企業スキャンダルではなく、AI監査ツール全体の信頼性を揺るがす問題です。

何が起きたのか：3億ドル企業への告発

2026年3月、匿名の内部告発者「DeepDelver」がSubstack上に投稿した記事が、シリコンバレーのスタートアップ業界に波紋を広げています。告発の対象は、YCombinator（Yコンビネーター）が支援するコンプライアンス自動化スタートアップ、Delveです。

Delveは2023年に設立され、AIを活用してSOC 2（情報セキュリティ）、HIPAA（医療情報プライバシー）、GDPR（欧州データ保護）といったセキュリティ・規制認証の取得プロセスを自動化すると主張してきました。昨年のシリーズA資金調達ラウンドでは3億ドル（約450億円）の企業評価額を獲得。投資家のInsight Partnersは3,200万ドル（約48億円）を投じ、「AIネイティブなコンプライアンスのスケーリング」と題した投資論文を公開していました。

顧客リストにはMicrosoft、Chase、PayPal、American Express、AI検索企業のPerplexityといった名だたる企業が並んでいます。

しかし、DeepDelverは「元顧客」を名乗り、次のような具体的な疑惑を提示しました。Delveが「実際には行われなかった取締役会議、テスト、プロセスの証拠を捏造した」こと、そして顧客に対して「偽の証拠を採用するか、AIや自動化がほとんど機能しない手作業を選ぶかの二択を迫った」というのです。さらに、同プラットフォームが独立した第三者監査を経ずに自社レポートを自ら承認していたとも指摘しています。

企業の反論と「沈黙のシグナル」

Delveはこれらの告発を否定しています。同社の主張は以下の通りです。「私たちはコンプライアンスレポートを発行しておらず、あくまでも『自動化プラットフォーム』だ。顧客が選んだ独立した第三者監査法人に情報を提供しているだけであり、テンプレートの提供は業界標準の慣行だ」と。

しかし、言葉よりも雄弁なのは行動です。告発が公開された直後、Delveのウェブサイトから「デモを予約する」ボタンが削除されました。そしてInsight Partnersは、前述の投資論文記事をウェブサイトから削除しています（ただし、インターネットアーカイブ「Wayback Machine」には原文が保存されています）。

Delveの共同創業者であるKarun Kaushik氏とSelin Kocalar氏、そしてInsight Partnersは、メディアの取材に対してコメントを返していません。

広告

広告掲載について

[email protected]

広告

なぜ今、この問題が重要なのか

この事件が単なる一企業の不正疑惑にとどまらない理由があります。

コンプライアンス認証とは、企業が「信頼できる」と証明するための制度です。SOC 2を取得した企業は「データを安全に管理している」と見なされ、取引先や顧客から信頼を得ます。その認証プロセス自体をAIで自動化しようとするビジネスモデルは、近年急速に広がっています。もし自動化ツールが「証拠の捏造」を可能にするなら、認証制度そのものの意味が問われます。

日本企業にとっても、この問題は無関係ではありません。日本の大手企業の多くは、海外のクラウドサービスやSaaSツールを導入する際に、SOC 2やISO 27001といった認証を判断基準の一つとしています。もし認証が「AIによる自動生成」で取得できるなら、その基準はどこまで信頼できるのでしょうか。

各ステークホルダーの視点

投資家の視点：Insight Partnersが投資論文を削除したことは、単なる「様子見」以上の意味を持ちます。ベンチャーキャピタルにとって、投資先企業の不正疑惑は評判リスクに直結します。特に、投資論文が「顧客の時間とコストを削減する」と謳っていた内容が、疑惑と真っ向から対立するため、距離を置かざるを得ない状況です。

顧客企業の視点：MicrosoftやPayPalなどの名前がウェブサイトに掲載されていましたが、現在も同プラットフォームを利用しているかどうかは不明です。もし実際に偽の証拠を使って認証を取得していたなら、これらの企業自身も法的・評判上のリスクを抱えることになります。

規制当局の視点：SOC 2やHIPAAの認証機関にとって、これは見過ごせない問題です。AIツールによる証拠捏造が横行するなら、監査の独立性を担保するための新たな仕組みが必要になるかもしれません。

競合他社の視点：同じくコンプライアンス自動化を手がけるVantaやDrataなどの企業は、今回の事件によって「自社は独立監査を維持している」と差別化を図るチャンスを得た一方、業界全体への不信感が高まるリスクも背負っています。

日本市場への示唆

日本では、2022年の経済安全保障推進法の施行以降、企業のサプライチェーンにおけるセキュリティ管理が一層厳しく問われるようになっています。政府調達においてもセキュリティ認証が重視される中、認証の「質」を担保する仕組みの重要性は増しています。

また、日本企業は一般的にコンプライアンスを「書類上の形式」ではなく「実質的な管理」として捉える文化があります。この文化的背景から見れば、「AIが証拠を自動生成する」という発想自体に、根本的な違和感を覚える企業も少なくないでしょう。

一方で、人手不足が深刻な日本においては、コンプライアンス業務の自動化ニーズは確かに存在します。問題は「自動化の何を自動化するか」です。プロセスの記録と整理を効率化することと、証拠そのものを生成することは、まったく異なる行為です。