リスクマネジメント

• AIに関連する事業を展開する国または地域における法令・規制の制定・改正や、官公庁による運用変更に対応できず、またはAIに関するルール策定への関与や対応が遅れることにより、当社の戦略が影響を受け、業務継続や事業展開に支障が生じる。
• AIに関連して順守すべき法令・規制に違反することで、当社の社会的信用・信頼の失墜や、経済的・財務的損失（罰則）を招く。
• 今後、AIに関するより厳格な、または予期しえない法令・規制等の制定が進み、技術革新、研究開発、新規投資等に影響を及ぼす場合、当社の新規事業の創出や開発が阻害される、または既存事業の継続等に支障が生じる。

対話型で利用可能な生成AI^※1の登場、さらにはユーザーの代わりに自律的にタスクを検討・実行するAIエージェント^※2への発展により、AIは今後もビジネスの生産性向上等に大きく寄与することが期待されています。

当社グループは、さまざまな業務で積極的にAIを活用することにより、業務の改善や効率化を実現することに加え、関連商品やサービスを顧客企業等へ提案・販売しており、例えば、2024年8月から生成AIエージェントサービス「satto」のベータ版提供を開始しました。

また、当社は、経営理念である「情報革命で人々を幸せに」の実現に向けて、2023年5月に発表したデジタル社会の発展に不可欠な次世代デジタルインフラを提供するというソフトバンクの長期ビジョンの実現に向け、分散型AIデータセンターやAIとの共存社会を支えるデジタルインフラの構築などにも取り組んでいます。経済安全保障推進法に基づく「特定重要物資クラウドプログラムの供給確保計画」について、2024年5月に当社が経済産業省から認定を受けたことから、AI計算基盤を拡張するため、約1,500億円の設備投資を行い、2024年度から2025年度にかけて国内の複数の拠点にAI計算基盤を新たに構築していきます。

一方、世界経済フォーラム（WEF）の報告書（Global Risks Report 2025）では、2024年に続き最も深刻な世界的リスクの短期リスク（今後2年）に「誤情報と偽情報」、長期リスク（今後10年）に「AIリスクの悪影響」がランクインしています。高度な技術や専門知識を必要とせずにAI技術を利用できるようになったことで、誤情報や偽情報の拡散が一層容易になり、社会に新たな混乱や不安を引き起こすだけでなく、政治的、経済的な安全保障上の懸念から、一部の国では規制を検討する動きもみられます。日本においても、AI活用推進法^※3が2025年5月28日に参議院本会議で可決・成立し、開発事業者や活用事業者にはAI技術の適正な利用に努め、透明性・公正性を確保し、利用者の権利利益を保護することが求められています。

このような状況において、当社は、「責任あるAI」^※4の実行が不可欠と捉え、AIの活用および顧客企業等へのAI関連商品・サービスの提案・販売や、生成AIや生成エージェント等の開発を行っていますが、今後、より厳格な法令・規制等が制定され、当社がそれらに適切に対応できなかった場合、当社グループのAIに関する事業計画に大幅な遅れが生じる可能性があります。

さらに、例えば、当社による生成AIの活用において機密情報や個人情報が漏えいする、または生成物の利用において第三者の著作権を侵害する等、当社が関連法令・規制等に違反した場合には、当社の社会的信用・信頼の失墜や経済的・財務的損失（罰則）を招く可能性、また、AIに関する法令・規制等のルール策定への関与や対応が遅れる場合、当社の戦略が影響を受け、業務継続や事業展開に支障が生じる可能性があります。

[注]

1. ※1
   文章、画像、プログラムコード等のさまざまなコンテンツを生成することのできる人工知能
2. ※2
   ユーザーに代わって目標達成のために最適な手段を、自律的に選択してタスクを遂行するAIの技術
3. ※3
   人工知能関連技術の研究開発および活用の推進に関する法律
4. ※4
   AIに係る倫理やプライバシー、セキュリティーなどの課題や潜在的なリスクに企業や組織が責任を持って取り組み、信頼性や公平性があるAIサービスの開発や提供を行うこと。

当社は、「Beyond Carrier」戦略の下、AIやIoTなどの先端技術を活⽤し、⾰新的なサービス提供とDX推進に取り組んでいます。特にAIについては活⽤が広がる⼀⽅で、倫理⾯での配慮が必要とされていることから、AIの適切な活⽤と安⼼・安全なサービス提供をするため、2022年に「ソフトバンクAI倫理ポリシー」を策定しました。具体的には「⼈間中⼼の原則」「公平性の尊重」「透明性と説明責任の追及」「安全性の確保」「プライバシー保護とセキュリティの確保」「AI⼈材・リテラシーの育成」の6つの項⽬において指針を定め、この指針にのっとった事業運営やサービス開発などを⾏うことを宣⾔しました。AI倫理ポリシーを基に規程・基準、ガイドライン、チェックシートなど、さまざまな社内ルールを制定しており、制定にあたってはAI事業者ガイドライン（第1.0版）の基礎となっている内閣府作成の⼈間中⼼のAI社会原則、総務省作成のAI開発ガイドライン、AI利活⽤ガイドライン、経済産業省作成のAI原則実践のためのガバナンス・ガイドライン、等の準拠性を考慮して作成しています。また、このポリシーをグループ会社でも適用できる体制を整えており、2025年3月1日時点で74社がポリシーを適用しています。加えて、グループ会社に対しても当社が定めたAIガバナンスにおけるリスク観点に基づくリスクアセスメントを実施することで、リスク低減に努めています。

当社のAIガバナンス推進にあたっては、AI事業の戦略部⾨であるAI戦略室がミッションを担い、その中に独⽴した専⾨部⾨としてAIガバナンス推進室を設け、社内AI利活⽤部⾨のガバナンスを推進しており、CIO（Chief Information Officer）、CDO（Chief Data Officer）、CISO（Chief Information Security Officer）、CCO（Chief Compliance Officer）から構成されるステアリングコミッティが管理・監督しています。また、2024年4月に、社外有識者委員と社内委員で構成される、AIガバナンスのアドバイザリーボードである「AI倫理委員会」を設立しました。社外有識者委員には、AI倫理やAI技術全般、データガバナンス、金融、法律、消費者、ESG（環境・社会・ガバナンス）など、さまざまな専門領域の知見を持つメンバーが就任し、AI倫理に係る各種課題の議論や提言を行うほか、国内外の最新動向に係る知⾒の共有などを行っています。AI技術の急速な進化やそれに伴う課題の複雑化は世界規模で進んでおり、当社は社外有識者の多様な視点や知見を取り入れることで、顧客の視点を踏まえた、客観的で実効性が高いAIガバナンスを実現しています。

また、当社はAIガバナンス推進戦略の中で、“AI倫理・ガバナンス教育の推進”を重要視しています。具体的には、e-learningによる研修（年1回）、勉強会（年2回）、毎⽉配信しているメールマガジン等で役員を含む全社員に対して教育を推進しています。教育コンテンツのアジェンダとしては、国内外で発⽣しているAIインシデントの事例紹介、⽣成AIを含むAIを利活⽤する際の注意点（バイアス、情報漏えい、著作権侵害、ハルシネーション等）、AI倫理に関する社会動向などを中⼼に教育を推進しており、全社員のリテラシー向上に努めています。

• 当社の基幹システムが停止し、通信の提供が中断することで、顧客へのサービス提供に支障をきたし、顧客離れにつながる。
• 当社が提供するサービスの停止や、データ暗号化（ランサムウェア）により、業務が妨害され、事業継続が困難になる。
• 個人情報を含むデータの窃取や流出により、監督官庁から行政処分や罰金を科される。

近年、ロシアによるウクライナ侵攻やガザに端を発した中東紛争、米国・中国や韓国・北朝鮮の関係悪化など、国際情勢の不安定化に伴い、国家の支援がうかがえるサイバー攻撃が増加しています。また、AI技術の革新が進み、利用者の裾野が広がったことで、技術的専門知識の乏しい攻撃者でもAIの支援を受けてサイバー犯罪を行えるようになり、攻撃のスピードや規模も飛躍的に拡大しています。例えば、生成AIは自然で説得力のある文章やコードを自動生成できるため、マルウェアなどの作成が格段に容易かつ高度になりました。世界経済フォーラムの年次レポート「Global Cybersecurity Outlook 2025」では、組織の約60％が地政学的緊張がサイバーセキュリティ戦略に影響を与えていること、47％が生成AIを活用した攻撃者の進化を最大の懸念事項として挙げていることが述べられています。

通信事業においては、5GやIoTの普及により通信インフラが高度に複雑化し、新たな攻撃ポイントが増加しています。さらに、新たな脆弱性が生まれたことで、攻撃の標的となりやすい状況が生じています。こうした技術革新の負の側面は、通信事業者である当社にとって、通信ネットワークの安定供給を脅かす中長期的なリスクとなる可能性があります。

当社は通信事業者として大量の機密データを伝送・保有しているため（2025年3月期におけるスマートフォン契約数は累計3,177万件）、サイバー攻撃による不正アクセスやランサムウェア攻撃により個人情報を含むデータの窃取や流出が発生した場合には、顧客の信頼を損ない、顧客離れにつながるおそれがあります。

また、当社の取引先は数千社に及びますが、攻撃者がマルウェアを用いて当社の社内システムやサーバを暗号化し業務を停止させた場合、当社が適切に対処できない場合には、事業継続が困難になるおそれがあります。これは当社に限らず、取引先を含む当社の国内外に及ぶサプライチェーンが地政学的要因によるサイバー攻撃で途絶した場合、重要な通信機器等の供給が遅れ、サービスの提供に支障をきたす可能性があります。

さらに、通信インフラは社会の基盤であり、その破壊は社会に大きな影響を及ぼすため、攻撃の動機となる可能性があります。Check Point Software Technologies社の調査（2025年第1四半期）によると、サイバー攻撃が世界中で急増する中、業界別の増加率が最も大きかったのは通信業界で、前年比94％の大幅な増加となったと報告されています。当社は経済安全保障推進法^※1に基づき、2023年11月16日に電気通信事業における特定社会基盤事業者（基幹インフラ事業者）に指定されており、サイバー攻撃により、通信の重要設備の維持管理に支障が生じ、通信サービスの提供に影響が出た場合、監督官庁から罰則を科されるだけではなく、当社の社会的信用・信頼の低下を招くおそれがあります。

[注]

1. ※1
   経済施策を一体的に講ずることによる安全保障の確保の推進に関する法律

当社では、従業員や業務委託を含む約4万人が約10万台のデバイスおよび1,000を超えるITシステムを利用して業務を行っており、このような大規模なIT環境では、外部からの偵察行為や脆弱性を狙った攻撃、ウイルスやフィッシングなど多くのセキュリティイベントが日々発生しています。

対策として、情報セキュリティに関する法令その他の規範を順守し、情報資産の保護やサイバー攻撃の防御を目的とした情報セキュリティ管理体制を構築しています。具体的には、従業員が順守すべき「情報セキュリティポリシー」の制定や、「最高情報セキュリティ責任者（CISO：Chief Information Security Officer）」の設置、さらに、CISOを委員長とする情報セキュリティ委員会およびSoftBank Computer Security Incident Response Team（SoftBank CSIRT）を組織し、環境変化や技術革新に応じた対策の見直しや、情報セキュリティ・サイバーセキュリティ対策に有益な情報の共有を行っています。

SoftBank CSIRTは、CISOの下、セキュリティ部門のメンバーおよび各部門の所属長に任命されたメンバーで構成され、セキュリティインシデントの未然防止と、迅速なインシデント対応による被害極小化を行うとともに、CSIRT事務局を設置し、情報セキュリティ委員会事務局および社内外の関連組織と共に対応を行っています。また、インシデントの未然防止として、脆弱性対応（情報収集と分析、対応依頼、対応状況の把握）、セキュリティルールの策定、セキュリティ教育、注意喚起、インシデント発生時の準備として、インシデント発生時対応フローの整備、インシデント対応訓練などを行っています。

同様に、関係会社（子会社および関連会社）においてもリスク管理体制を整備しています。CISOを委員長とし、関係会社の情報セキュリティ管理責任者を構成員とするSBKKグループセキュリティ委員会を設置し、情報共有、教育・訓練の実施、インシデント発生時の連携対応を行っています。また、関係会社の適正なセキュリティ管理に必要な体制や順守事項を定めた「ソフトバンク関係会社セキュリティガイドライン」を策定するなど、情報セキュリティ・サイバーセキュリティに関するリスクの低減および未然防止を図っています。

さらに、2023年度の当社へのサイバー攻撃の実態として、1日あたりのセキュリティイベント数は160億件に達し、偵察行為や脆弱性を狙った攻撃が1,200万件、ウイルスやフィッシングメールは8万件にも及んでいることから、これらのサイバー攻撃に対抗するため、当社では対策として複数のセキュリティソリューションを活用し、日々サイバーセキュリティの強化に取り組んでいます。