Sarah Webb、LawVuの最高執行責任者（COO）兼共同創業者—インタビューシリーズ

Sarah WebbはLawVuの最高執行責任者（COO）兼共同創業者で、LOVEFiLMやAmazonでの職務を含む、エンジニアリングとソフトウェア分野のリーダーとしての経歴を持つ。2015年にCTOとしてLawVuに入社し、2020年にCOOに就任。テクノロジー、オペレーション、セキュリティ、ガバナンスにまたがる経験を積んできた。法務チームがデータとワークフローを連携させ、AIの革新と企業リスクのバランスを取れるよう支援することに取り組んでいる。

LawVuは、企業内法務チーム向けの法務オペレーティングシステムを提供し、受付、案件、契約、支出、ナレッジを連携したプラットフォームに集約する。AI機能と各種連携により、権限管理と監督体制を維持しながら、既存のツールを横断して業務を進められる。このインタビューでWebbは、シャドーAI、エージェント型ワークフロー、組織内ナレッジ、そして企業がガバナンスの効いたAI活用を進めるうえで必要な基盤について語る。

LOVEFiLMやAmazonを含め、キャリアの大半をソフトウェアチームの構築と指揮に費やした後、LawVuを共同創業されました。企業法務のオペレーションを解決すべき課題だと考えるに至ったきっかけは何ですか。また、AIがテクノロジーの環境を大きく変えるなかで、LawVuの当初のビジョンはどのように進化してきましたか。

キャリアの初期は、LOVEFiLMやAmazonを含め、エンジニアリングやテクノロジー関連の職務に大半の時間を費やしました。法務テックの分野に進むことを当初から目指していたわけではなく、どちらかといえば偶然の成り行きでした。LawVuにはもうすぐ11年になります。当初はCTOとして入社しましたが、比較的早くCOOに移りました。この役割の変化だけでも、事業に対する考え方は大きく変わりました。

創業当初に解決しようとしていた最初の課題は、可視性でした。顧客の多くはOutlookやExcelのスプレッドシートを使っており、あらゆる情報を一か所に集めるだけでも大きな前進だと感じていました。その後、チームがリモート勤務に移行する時期を迎えましたが、一元管理できるプラットフォームがなければ、連携はさらに難しくなりました。この経験を通じて、すでに見えていた問題がよりはっきりしました。反復的な法務業務の多くは、可視化する場がなかったために、事業の他部門から評価されず、そもそも認識すらされていなかったのです。この時期をきっかけに、顧客にツールを渡すだけでなく、データの構造化や社内での変革の進め方について、顧客とともにしっかり取り組むようになりました。

また、早い段階からMicrosoftスイート全体との連携を構築しました。チームに慣れ親しんだツールを手放してもらうのではなく、日々の業務で使っている環境に合わせることが、常に目標だったからです。それ以来変わったのは、同じ考え方を実現するために求められる規模です。以前は、使えるデータセットを用意するための導入障壁を下げることは、利便性の問題でした。今では、法務業務を実際に処理できるAIと、同じ断片化をそのまま映し返すだけのAIを分ける要素になっています。

「シャドーAI」は従業員の問題というより、ワークフローの問題であることが多いと主張されています。実際にはどういう意味でしょうか。また、従業員が承認済みのAIツールやシステムを避け、独自の解決策を使う場合、組織はそこから何を学べるでしょうか。

社内で適切なツールを利用できるようにしなければ、効率化を求める人々は自分でツールを探します。それが根本にあります。誰かが承認済みのシステムを迂回すると、違反行為とみなし、利用を制限したり、禁止するポリシーを作ったりしがちです。しかし実際には、たいていの場合、それはワークフロー自体に問題があることを示しています。承認された手順のほうが代替手段より遅かったり、面倒だったりするため、人々が独自の回避策を見つけたということです。

だからこそ、シャドーAIはかつてのシャドーITよりも大きなリスクになります。シャドーAIが関係するインシデントは、現在、データ侵害の20％を占め、その平均損失額は1,020万ドルに上ります。人々は未承認のツールを導入するだけでなく、契約文言、取引条件、社内の検討内容といった機密情報を直接入力しているからです。

組織がここから本当に学ぶべきなのは、どこにギャップがあるかということです。安全で、適切な情報に基づく代替手段がなければ、人々がAIに頼るのを止めることはできません。見えないところで使うようになるだけです。さらに、その下にはセキュリティにとどまらない、より深いリスクがあります。業務が共有された構造化システムではなく、個人のAIツールに分散すると、事業上の意思決定は全体像の一部が欠けていることにも気づかないまま、不完全な情報に基づいて行われることになります。関連データの残りが誰かの個人アカウントにあるため、AIツールが必要なデータの60％しか参照できなければ、精度は下がり、誤った判断をするリスクは高まります。回避策を禁止しても、こうした問題は何も解決しません。回避策より優れたものを提供することが解決につながります。

LawVuが数百の企業法務チームと取り組むなかで、AIガバナンスの構築にあたって組織が犯しがちな間違いとして、特に従業員がますます高性能になる汎用AIツールを利用できるようになる状況で、どのようなものが最も多く見られますか。

最もよくあるのは、文書化されたポリシーを実効性のある管理策と取り違えることです。AIをどのように使うべきか、あるいは使うべきでないかを定めた文書を用意している組織は、今ではたくさんあります。しかし、その方針を実際に運用する仕組みを構築している組織はごくわずかです。つまり、ツールがアクセスできる情報を実際に管理し、その動作を記録し、必要になった場合に後から経緯を再現できる仕組みです。

2つ目の誤りは、ツールを一つ導入するたびに、どれほどリスクが増えるかを考慮していないことです。チームが契約、支出、受付のいずれかのために個別のソリューションを導入するたびに、それぞれ独自の連携が必要となり、固有の認証プロトコルを維持し、機密データのコピーを個別に保有することになります。一つひとつは、管理できるように思えます。しかし、積み重なると法務テクノロジー環境はリスクが分散する複雑な網の目となり、情報漏えいの3分の1超が、まさにこの種のサードパーティーアクセスに起因しています。何か問題が起きた後に調査を受ける立場になるまで、そのリスクがどれほど積み重なっているかに気づかないチームは少なくありません。

3つ目は、機密データを扱うほかのあらゆるソフトウェアとは別扱いで、汎用AIツールを捉えることです。創業当初から当社が支援してきた顧客は、政府機関の顧客も含め、全社が当社とともに包括的なセキュリティ評価を受けています。当社のようなシステムに入るのは、企業が保有する情報のなかでも特に機密性の高いもの――企業秘密、M&A関連データ、個人識別情報（PII）などだからです。一方、従業員は日々、同じような情報を公衆向けAIツールに渡していますが、それに見合う厳格な審査はほとんど行われていません。新しいベンダーを採用するというより、単にツールを使っているだけだと感じられるためです。監査される対象と、実際にリスクを抱える対象とのこの隔たりが、ほとんどのガバナンスプログラムが機能しなくなる原因です。

LawVuは、法務業務にAIエージェントやエージェント型ワークフローを取り入れてきました。どの法務プロセスならAIによる自律的な実行に適しており、どのプロセスでは常に人による確認や承認が必要なのか、どのように判断していますか？

書面上のプロセスの複雑さよりも、影響の大きさと、元に戻せるかどうかを重視します。ミスを低コストで発見でき、簡単に取り消せるなら、自律化に適していることが多いです。そのため、受付や振り分けのような、件数が多く、手順が明確な業務は自律化になじみやすい傾向があります。

外部への約束、法的リスク、あるいは覆すのが難しい判断に関わるものは、テストでどれほど高い精度を示すエージェントであっても、必ず人が関与します。これは、LawVuがリスク許容度全般について考える際の基本的な考え方と同じです。チームが許容できる範囲を見極め、それに応じた適切な制御を設けたうえで、初めて利用範囲を広げます。本当に重要なのは精度ではありません。エージェントが何にアクセスし、なぜその行動を取ったのか、その権限があったのか、そして後からそれを証明できるのかを説明できるかどうかです。これらに答えられなければ、そのプロセスはまだ自律的に実行できる段階ではありません。

こうした判断は一度決めたら終わりではありません。今日、自動化しても安全なプロセスでも、利用が拡大したり、ワークフローが当初より機密性の高い情報を扱うようになったりすれば、安全でなくなることがあります。そのため、安全性の境界は一度引くだけでなく、継続的に見直す必要があります。

LawVuのMCPサーバーを使うと、企業はChatGPT、Claude、Microsoft Copilotなどのツールを、自社の法務業務環境に直接接続できます。企業は、権限、監査可能性、プライバシー、管理を維持しながら、外部AIシステムに企業データへの有用なアクセスをどのように提供できるでしょうか？

接続性と安全性は両立しないと考えがちですが、必ずしもそうではありません。権限管理の信頼できる唯一の情報源であり続けるべきなのはプラットフォームであり、その上で動くAIツールではありません。ChatGPT、Claude、Copilotのいずれから会話を始めても、どのインターフェースをその日に開いたかによって、閲覧や操作の権限が変わるべきではありません。

それを実現するには、何かを接続する前に、接続先の環境に適切な制御が整っていなければなりません。まさにこの下準備を、多くの企業が省いています。データの移動量が減るため、MCPは自動的にセキュリティを高めると誰もが考えています。それは事実ですが、受信側のシステムが、何にアクセスしたのか、なぜアクセスしたのか、誰のためにどのエージェントがアクセスしたのかを説明でき、事後にそれを証明できる場合に限られます。

ここにはビジネス上の利点もあります。中核となるAIツールが、依頼に法務上の要素があると認識し、自動的にLawVuへ振り分けられれば、従業員が最初にどのシステムを使うべきかを把握するためのやり取りが不要になります。また、信頼できる安全なデータセットにまったくアクセスできない個人向けAIツールに手を伸ばすことも防げます。適切にガバナンスされた一つの利用開始地点を設けるほうが、あらゆるものをロックダウンするよりも、導入を促進できます。

汎用AIモデルは高い能力を持つ一方で、組織に蓄積された知見や過去の意思決定、固有のリスク特性を把握していないことがよくあります。AIモデルが、企業にとって重要度の高い業務で真に役立つようになるには、どのような情報やインフラを整える必要がありますか？

汎用AIは、非常に優秀な見知らぬ人のようなものだと考えています。膨大な知識を読み込み、文章を書くのが巧みで、ほとんどどんな話題についても会話できます。しかし、その人はあなたの顧客に会ったことがありません。あなたの交渉の場にいたこともありません。あなたの組織がどのようにリスクのバランスを取っているかも知りません。6か月前にチームが例外を認めるに至った話し合いを見聞きしたこともありません。

そのため、多くの法務チームがまず行うことの一つは、AIをプレイブックに接続することです。誤解のないように言えば、これは非常に価値があります。AIモデルに、推奨条項、代替案、承認基準、交渉に関する指針を参照させれば、効率の向上はほぼすぐに現れます。課題は、最も重要な法的判断が、標準的な方針では対応できなくなったときに下されることが多い点です。たとえば、戦略上重要な顧客のために例外が必要になる場合、高成長の機会を得るために追加のリスクを受け入れる場合、あるいは交渉の結果、商業上の優先事項が推奨条項を上回る場合です。

そうした場面で、法的判断の重要性が見えてきます。最も価値ある知識の一部は、プレイブックではなく、例外の中に蓄積されています。なぜこの顧客には例外を認めたのでしょうか。同じ相手とこの条件を交渉した前回は、何が起きたのでしょうか。このリスクを事業部門が別の場面で受け入れたことはあるでしょうか。この問題は以前にエスカレーションされ、その結果、最終的にどのような判断が下されたのでしょうか。

その答えが一つの文書にまとまっていることはほとんどありません。契約書、承認記録、メール、案件記録、会議メモ、そして当時関わった人々の経験の積み重ねの中に、ばらばらに存在しています。文書に記録されるのは結果にすぎず、その判断に至った理由は組織内の別の場所に残されています。

非常に優秀な見知らぬ人でも、ルールは驚くほど早く覚えられます。しかし、そもそもなぜルールが曲げられたのかを理解するのは、まったく別の難題です。役に立つAIと変革をもたらすAIを分けるものは、組織がAIの学習に役立てられるよう、自らの経験をどれだけ蓄積してきたかです。

多くの企業では、契約管理システム、案件管理ツール、スプレッドシート、メールアーカイブなど、企業内の知識が分断された複数の情報源に蓄積されています。AIエージェントを導入する前に、データ基盤を統合しておくことはどれほど重要でしょうか。また、データを真にAI活用可能な状態にするために、組織は何をする必要があるでしょうか。

この点が重要である理由を示す好例が法務です。契約書はWordで修正され、承認はメールで行われ、判断はSlack上で下されます。それにもかかわらず、AIは実際に業務をつなぐのではなく、文書リポジトリの上に追加されているのです。分断されたシステムの上にAIを載せても、混乱により速くアクセスできるようになるだけです。

AIが登場する前から何年もかけて本格的なデータ基盤を整え、システムを整理してきた企業では、すでにAIが成果を上げています。要点はまさにそこです。分断された契約管理システム、案件管理ツール、スプレッドシート、メールアーカイブの上でエージェントを拡大しても、信頼できる結果は期待できません。AIの拡大を考える前に、まず基盤を整える必要があります。システムを連携させ、明確なアクセス制御を設け、許容するリスクの範囲を定めることが欠かせません。

企業が独自のAIアプリケーションを開発するのか、専門特化型のAIプラットフォームを購入するのか、それとも汎用モデルを既存システムに接続するのかを検討する際、テクノロジー部門のリーダーは「開発・購入・統合」の判断をどのように考えるべきでしょうか。

内製か購入かという話は、技術上の判断に聞こえます。しかし私の経験では、実際には法務オペレーションの成熟度に関する問題です。法務チームが、自らのワークフロー、データ、運営モデルを持つ一つの機能として、自分たちをどれほど真剣に捉えているかが問われます。その成熟度を適切な水準に高めれば、ふさわしい法務AI戦略は自然と見えてくるものです。

内製する場合について言えば、ソフトウェア企業のように運営できるリソースを持つ、ごく一部のチームにとっては理にかなうことがあります。モデルは進化し、インフラは変化し、作業が本当に終わることはありません。ほとんどのチームにとっての課題は、一度開発することではなく、それを永久に維持し続けることです。

購入する場合について言えば、多くのチームがこの選択肢に行き着きますが、「購入」は一つの選択肢ではありません。少なくとも3つの異なるものが、ひとまとめにされています。ChatGPT、Copilot、Claudeのような横断型AIは強力ですが、案件の構造、受付、承認ワークフローを本質的に理解しているわけではありません。MCPのような仕組みを通じて単一のポイントソリューションに接続するAIは、意味のある前進です。しかし、その視野は依然として、その一つのシステムに存在する情報に限られます。

より大きな可能性を秘めているのは、個々のツール内で何が起きているかだけでなく、法務機能全体で業務がどのようにつながっているかを理解するAIです。受付、案件、契約、支出、ナレッジがすべて一元化されていれば、AIはその一部分だけでなく、全体像を踏まえて推論できます。

LawVuでCTOとCOOの両方を務め、テクノロジー、オペレーション、セキュリティ、製品の実行を幅広く担ってこられました。この経験の組み合わせは、急速なAIイノベーションと、セキュリティ、コンプライアンス、信頼性、企業リスクのバランスを取るアプローチにどのような影響を与えましたか。

2015年にCTOとしてLawVuに入社し、2020年にCOOに就任しました。そのため、テクノロジーとオペレーションの両方に携わって10年以上になります。

この組み合わせによって、AIイノベーションとセキュリティやコンプライアンスについての考え方が変わります。両者を別々の課題として捉えるわけではないからです。社内のガバナンス、リスク、コンプライアンスを担うと同時に、顧客が同じ機能を管理できるプラットフォームを構築しているため、イノベーションとセキュリティを順番に進めることはできません。どちらかがもう一方の後に来るのではなく、両方が同時に実現するか、どちらも実現しないかです。創業当初から、すべての顧客に包括的なセキュリティ評価を受けてもらっています。また、エコシステムに新しいツールを追加するたびに、そのデータを取り巻くリスクの範囲が広がります。これは顧客だけでなく、私たちの社内にも当てはまります。製品を構築し、そのガバナンスに責任を負う立場だからこそ、両方を同時に考えなければなりません。

今後、エージェント型AIは企業の法務チームの役割をどのように変えるとお考えですか。法務部門は主に生産性を高める手段としてAIを活用するのでしょうか。それとも、いずれは企業全体にまたがる、ほぼ自律的なワークフローを監督する立場になる可能性もあるでしょうか。

生成AIによって、議論の焦点は段階的な効率化から、法務業務の進め方そのものを根本から見直すことへと移りました。また、エージェント型の機能が急速に広がる世界で、どのような業務運営モデルが必要なのかも問われています。私はエージェント型AIを一時的な流行ではなく、適切な管理策とガードレールを備えたうえで、法務が業務を管理する段階から、実際に業務を遂行する段階へ進むのを支援する実行レイヤーだと捉えています。

現在、多くの組織で「入り口」の変化が起きています。ビジネス部門のユーザーは、Microsoft CopilotやClaudeのようなツールから作業を始めることが増えており、法務にとっては、そうしたやり取りを適切なシステム、データ、ワークフローにどうつなげるかが課題になります。

ですから、生産性を高める手段か、監督者かという二者択一ではなく、段階的な変化だと考えています。法務はまず、個々の業務をより速く進めるためにAIを活用します。しかし、エージェント型の機能が成熟するにつれて、本当の可能性は、法務が実行レイヤーそのものを担い、初稿をより速く作成するだけでなく、ガバナンスの効いたシステムを通じて積極的に業務を遂行することにあります。

素晴らしいインタビューをありがとうございました。連携した法務オペレーションと、ガバナンスの効いたAIワークフローについて詳しく知りたい読者は、LawVuをご覧ください。