記事執筆者：認定SEOコンサルタント 三田健司
「開発会社がAIを使ってアプリを作ると聞いたけれど、品質は大丈夫なのでしょうか」「安く早くできるのはうれしいが、後で不具合や情報漏えいが起きないか心配です」。アプリ開発のご相談で、最近こうした質問をいただくことが増えました。
結論から言うと、AIを使うこと自体が悪いわけではありません。ただし、AIが書いたプログラムには特有の弱点があり、それを人がどう確かめているかで品質は大きく変わります。
この記事では、最新の調査でわかったAI生成コードの弱点、開発会社に確認したい質問、納品時に発注者ができる確かめ方、契約で押さえておく点までを、発注する側の目線で整理します。
筆者は全日本SEO協会認定SEOコンサルタントとして、Web制作に10年以上携わり、延べ1,000件以上のご相談に対応してきました。
現在は中小企業の業務アプリ開発もお手伝いしており、自社でもAIを使った開発を行っています。その経験も交えてお伝えします。
AIで作ったアプリの品質が話題になっている理由
まずは、なぜ今「AIで作ったアプリは安全か」が問われているのかを確認しておきましょう。背景を知ると、確認すべき点が見えやすくなります。
開発の現場でAIを使うのが当たり前になった
Stack Overflowが2025年に公表した開発者調査では、AIツールを使っている、または使う予定と答えた開発者が84%に達しました。AIによるプログラム作成は、一部の先進的な会社だけのものではなくなっています。
大手でも同じ流れです。Googleのスンダー・ピチャイCEOは2026年4月のイベントで、社内の新しいコードの75%がAIで生成され、エンジニアの承認を経ていると説明しました。
この割合は、前年秋の50%から大きく増えています。
ここで注目したいのは「エンジニアの承認を経て」という部分です。AIが書いたものを、そのまま使っているわけではありません。
「動く」と「安全」は別の話
AIが書いたプログラムは、文法的には正しく、見た目には問題なく動くことが多くあります。後で紹介するVeracodeの2026年の報告でも、文法として正しいコードはほぼ100%生成できていました。
ところが、同じ報告で安全性の検査に合格したのは平均56%にとどまっています。画面上で問題なく動くことと、攻撃に耐えられることは別の話だと考えておく必要があります。
画面を触るだけでは、主に「動くかどうか」しか確かめられません。だからこそ、目に見えない部分を誰がどう確かめているかが重要になります。
発注する側にも関係がある理由
IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました。
同じ組織編の2位は「サプライチェーンや委託先を狙った攻撃」です。開発を外部に任せる中小企業にとって、委託先の品質管理は自社の守りに直結する問題だと言えます。
調査でわかったAI生成コードの弱点
次に、AIが書くプログラムにどのような弱点が出やすいのかを、公表されている調査から見ていきます。数字は調査ごとに条件が異なるため、傾向をつかむ目的で読んでください。
検査課題の約4割で脆弱性が見つかる
ソフトウェアの安全性検査を手がける米Veracodeは、2025年7月の報告で、100を超えるAIモデルに80種類のプログラム作成課題を解かせた結果を公表しました。全体の45%で、既知の種類の脆弱性（攻撃に悪用されうる欠陥）が入り込んでいました。
その後も同社は定期的に調査を続けています。2026年7月の年次報告では安全性の合格率が平均56%、2026年10月の更新では62%に改善しました。
それでも検査課題のおよそ4割では、まだ脆弱性が入るという状況です。
同社は、新しいモデルや大きなモデルでも安全性が必ずしも高くならない点も指摘しています。「AIの性能が上がれば自然に解決する」とは考えないほうがよいでしょう。
弱点が出やすい種類がある
同じ調査では、弱点の種類によって合格率に大きな差がありました。2026年の年次報告では、データベースを不正に操作されるSQLインジェクションへの対策は83%が合格した一方で、画面に悪意あるスクリプトを埋め込まれるクロスサイトスクリプティング（XSS）への対策は15%しか合格していません。
利用者が入力した内容をそのまま記録して、記録を改ざんされるおそれがある「ログインジェクション」も、合格率は12%にとどまりました。入力欄や記録の扱いは、AI任せにすると漏れやすい部分です。
お問い合わせフォームや会員登録、検索欄など、利用者が文字を入力する画面がある業務アプリでは、特に念入りな確認が必要です。
存在しない部品を勧めることがある
アプリは、世界中で公開されている部品（ライブラリやパッケージ）を組み合わせて作るのが一般的です。米国の大学の研究チームが2025年のUSENIX Securityで発表した論文では、AIが勧めた部品のうち平均19.7%が実在しない名前でした（商用のモデルでは平均5.2%、公開されているモデルでは21.7%）。
実在しない部品の名前は20万種類以上にのぼりました。攻撃者がその名前で悪意のある部品を公開しておき、AIの提案どおりに取り込ませる手口も懸念されています。
こうした手口があることも、部品の名前を人が確かめる工程が欠かせない理由の1つです。
パスワードや鍵の書き込み
プログラムの中に、外部サービスに接続するためのパスワードや鍵（APIキー）をそのまま書いてしまう問題もあります。GitGuardianの2026年3月の報告では、2025年に公開のGitHub上で新たに見つかった鍵やパスワードは2,865万件で、前年より34%増えました。
同じ報告では、調査対象となったAIの開発支援ツールを使った更新で、漏えいの割合が全体平均の約2倍だったとしています。ただし同社は、何を採用して公開するかを決めるのは開発者であり、ツールだけの問題ではないとも述べています。
AIを使うこと自体が悪いわけではない
ここまで弱点を並べましたが、「AIを使わない会社に頼めば安心」という話ではありません。大切なのは、AIをどう管理しているかです。
AIの利用は「隠すもの」ではなく「管理するもの」
人が書いたプログラムにも不具合や脆弱性は入ります。AIを使うことで、テストの作成や見落としの洗い出しが速くなる面もあります。
発注者として見るべきなのは、AIを使っているかどうかより、AIが書いた部分を誰がどの基準で確かめているかです。この点を説明できる開発会社なら、AIの利用は品質を下げる理由になりにくいと筆者は考えています。
体感と実際の効果がずれることもある
米国の研究機関METRが2025年7月に公表した実験では、経験豊富な開発者がAIを使うと、作業時間がかえって19%長くなりました。本人たちは事前に24%速くなると予想し、終わった後も20%速くなったと感じていました。
この実験は2025年前半のツールでの結果で、METRは2026年2月に、現在は当時より速くなっている可能性が高いとしつつ、新しいデータでは改善の大きさまでは確かめきれないと説明しています。それでも、「速くなった気がする」と「実際の品質や効率」は分けて確かめるべきだという教訓は残ります。
品質を決めるのは人の確認の工程
AIツールの提供会社自身も、人による確認を求めています。たとえばAnthropicは、開発支援ツール「Claude Code」の公式ドキュメントで、提案されたコードやコマンドを承認する前に安全性を確かめるのは利用者の責任だと明記しています。
筆者の会社でもAIを使って開発していますが、AIの提案をそのまま取り込むことはしていません。変更点を1つずつ読み、動かして確かめ、意図と違う変更は差し戻しています。
この手間を省かないことが、品質を保つうえでの前提です。
発注前に開発会社へ確認したい質問
開発会社を選ぶ段階で、次のような質問をしてみてください。答えの内容だけでなく、具体的に説明できるかどうかが判断材料になります。
AIをどの工程で使っているか
設計の相談、プログラムの作成、テストの作成など、AIを使う場面は会社によって異なります。どこで使い、どこは人が担っているのかを聞いてみましょう。
あわせて、自社の資料や顧客データをAIに入力するかどうかも確認しておくと安心です。入力する場合は、学習に使われない設定やプランを使っているかを聞いてください。
誰がコードを確認しているか
AIが書いたプログラムを、人がどのように確認しているかは最も大事な質問です。「レビューしています」だけでなく、誰が、どの段階で、何を基準に見ているかまで聞くと、実態がわかります。
担当者が1人だけで作って確認も同じ人、という体制だと見落としが起きやすくなります。小さな会社でも、別の人の目を入れる工夫をしているかどうかを確かめましょう。
自動の検査を入れているか
プログラムの書き方から脆弱性を探す「静的解析」や、使っている部品に既知の脆弱性がないかを調べる仕組みを入れているかも確認ポイントです。Veracodeも、AIが書いたコードを見た目で安全と判断せず、静的解析や部品の脆弱性チェックなどの自動の検査を開発の流れに組み込んで確かめるよう勧めています。
自動の検査は万能ではありませんが、人の目だけに頼るより見落としは減ります。どのような検査を、いつ実行しているかを聞いてみてください。
テストの範囲と結果をもらえるか
納品前にどのようなテストをして、結果をどの形で受け取れるかも事前に決めておきましょう。テストの一覧と結果が書面で残っていれば、後で不具合が見つかったときの話し合いもしやすくなります。
「テストは社内でやっておきます」という口約束だけで進めると、何が確かめられていて何が未確認なのかがわかりません。
不具合が見つかったときの対応を聞く
公開後に不具合や脆弱性が見つかったとき、どのくらいの時間で連絡が来て、どの順番で直すのかも確認しておきたい点です。過去に似た問題が起きたとき、どう対応したかを聞くと、体制の実力が見えてきます。
AIを使った開発では、修正もAIで素早くできる場合があります。一方で、急いで直した部分に別の不具合が入ることもあるため、修正後にもテストをする流れになっているかを確かめましょう。
納品時に発注者ができる品質の確かめ方
プログラムの中身を読めなくても、発注者にできる確認はあります。専門家でなくても取り組める方法を紹介します。
受け入れテストのチェック表を作る
受け入れテストとは、納品されたアプリが約束どおりに動くかを発注者が確かめる作業です。「どの画面で、何をしたら、どうなるべきか」を表にしておき、1つずつ試します。
表は開発の初めに作っておくのが理想です。最後に慌てて作ると、試す項目が漏れやすくなります。
権限と入力欄を重点的に試す
開発者向けの安全性の指標として知られる「OWASP Top 10」の2025年版でも、1位は「アクセス制御の不備」でした。見てはいけない人がデータを見られてしまう問題です。
発注者にできる確認としては、一般の社員の権限で管理者向けの画面を開けないか、別の人のデータが見えないかを実際に試すことです。入力欄に、とても長い文字や記号だけの文字を入れても画面が崩れたりエラーが表示されたりしないかも見ておきましょう。
使っている部品の一覧（SBOM）をもらう
SBOM（エスボム）とは、アプリに使われている部品の一覧表のことです。経済産業省は2024年8月に「ソフトウェア管理に向けたSBOMの導入に関する手引」のver2.0を公表し、SBOMに関する要求や責任、費用の負担を取引先との契約で明確にするための考え方も示しています。
部品の一覧があれば、後で特定の部品に脆弱性が見つかったとき、自社のアプリが影響を受けるかを調べやすくなります。OWASP Top 10の2025年版では、従来の「脆弱で古くなった部品」の項目の範囲を広げた「ソフトウェアサプライチェーンの不備」が3位に入っており、部品の管理は以前より重視されています。
公開前の脆弱性診断を検討する
個人情報や決済を扱うアプリでは、公開前に専門の会社による脆弱性診断を受けることも検討してください。費用はかかりますが、公開後に問題が見つかった場合の損害と比べて判断するとよいでしょう。
どこまでの診断が必要かは、扱う情報の重要さで変わります。迷う場合は、開発会社に診断の必要性と範囲を相談してみてください。
少人数から使い始めて様子を見る
受け入れテストに合格しても、実際の業務で使い始めると思わぬ使い方から不具合が見つかることがあります。いきなり全社で使うのではなく、まずは数人の部署や一部の店舗で試すと安心です。
試用の期間には、困ったことや気づいたことを記録する場所を1つ決めておきましょう。記録がまとまっていれば、開発会社への修正依頼も正確に伝えられます。
御社専用のアプリ開発、ご相談ください
株式会社アクセス・リンクは、スマホアプリ・Windowsアプリ・業務アプリをオーダーメイドで開発しています。自社アプリ4本をGoogle Playで公開しています。
- 業務アプリ 30万円〜／スマホアプリ 80万円〜／Windowsアプリ 50万円〜（税別）
- 連絡先の入力なしで使える概算シミュレーター
- 代表が直接担当し、ソースコードはすべてお渡しします
契約と社内ルールで押さえておくこと
品質の確認は、契約書と社内の決まりにも反映させておくと確実です。口頭の約束だけでは、問題が起きたときに頼りになりません。
契約書に品質と不具合対応の範囲を書く
納品物の検収の方法、不具合を見つけたときの連絡期限、無償で直してもらえる範囲を契約書に書いておきましょう。請負契約の場合、民法では、注文者が品質などの不適合を知った時から1年以内に通知しないと修補などを求められなくなるとされていますが、この期間は契約で変えることもできます。
AIを使って作った部分も、納品物としての責任は開発会社が負うのが基本です。契約の具体的な内容は、必要に応じて弁護士などの専門家にご相談ください。
秘密情報をAIに入れない取り決め
開発の途中で、顧客名簿や社内の資料を開発会社に渡すことがあります。そうした情報を外部のAIサービスに入力してよいかどうかは、事前に取り決めておきましょう。
総務省と経済産業省が2026年3月に公表した「AI事業者ガイドライン」の第1.2版でも、AIを使う事業者に適切なデータの管理や人による関与を求めています。発注者の側でも、渡す情報の範囲を整理しておくことが大切です。
公開後の保守とアップデートの体制
脆弱性は、公開した後に新しく見つかることもあります。部品の更新や修正を誰がどのくらいの頻度で行うのか、保守の契約で決めておきましょう。
公開した時点で安全でも、更新を止めると安全ではなくなるのがアプリです。保守費用は、開発費とあわせて最初から予算に入れておくことをおすすめします。
社内に確認の窓口を決めておく
開発会社とのやり取りを、社内の誰が受け持つかも決めておきましょう。窓口が決まっていないと、テスト結果や修正の連絡が担当者の間で埋もれてしまいます。
窓口になる人は、プログラムに詳しくなくても構いません。受け入れテストの表を管理し、困りごとを集めて開発会社に伝える役割を担える人を選んでください。
部品の一覧やテスト結果、契約書などの書類も、窓口の人がまとめて保管しておくと安心です。担当者が替わったときも、これまでの経緯をたどれるようになります。
よくある質問（FAQ）
AIで作ったアプリは、人が作ったアプリより危険ですか？
一概には言えません。Veracodeの検査課題ではAIが書いたコードのおよそ4割で脆弱性が見つかっていますが、人が書いたコードにも脆弱性は入ります。
差が出るのは、確認の工程です。人のレビューや自動の検査をきちんと組み込んでいれば、AIを使ったかどうかよりも、その仕組みのほうが品質に大きく影響すると筆者は考えています。
開発会社がAIを使っているかどうかは、聞いてもよいのでしょうか？
遠慮なく聞いてください。どの工程でAIを使い、どう確認しているかは、品質を判断する大事な情報です。
説明を嫌がったり、あいまいな答えしか返ってこなかったりする場合は、ほかの会社とも比べて検討することをおすすめします。
プログラムがわからなくても、品質を確かめられますか？
はい。受け入れテストのチェック表を作り、権限や入力欄を実際に試すことは、プログラムが読めなくてもできます。
加えて、テストの結果や部品の一覧を書面で受け取れば、後から専門家に確認してもらうこともできます。
小さなアプリでも脆弱性診断は必要ですか？
扱う情報によります。社内の数人だけが使い、個人情報も扱わないアプリであれば、開発会社の検査と受け入れテストで足りる場合もあります。
一方で、お客様の個人情報や決済を扱うアプリは、規模が小さくても狙われる可能性があります。診断の要否は開発会社と相談して決めましょう。
AIで作れば開発費用は安くなりますか？
作業の一部が速くなることはありますが、確認やテストの工程は省けません。確認を省いて安くしている場合は、かえって後の修正費用がかさむおそれがあります。
見積りでは、金額だけでなく、確認やテストにどれだけの工程が含まれているかを見比べてください。
まとめ｜AIで作るかより「誰が確かめるか」が大切
AIを使ったアプリ開発は、すでに当たり前になっています。調査では、AIが書いたコードは文法的にはほぼ正しい一方で、安全性の検査課題ではおよそ4割で脆弱性が見つかっています。
特に、入力欄の扱い、存在しない部品の取り込み、パスワードや鍵の書き込みは、AI任せにすると漏れやすい部分です。人のレビューと自動の検査を組み合わせているかどうかが、品質を分けます。
発注者としては、開発会社にAIの使い方と確認の体制を聞くこと、受け入れテストで権限と入力欄を試すこと、部品の一覧やテスト結果を書面で受け取ることが有効です。契約書と保守の体制にも、品質の約束を反映させておきましょう。
今日からできることとして、検討中のアプリで「誰が見てよい情報か」「利用者が入力する欄はどこか」を書き出してみてください。それが、開発会社への質問と受け入れテストの土台になります。
御社専用のアプリ開発、ご相談ください
株式会社アクセス・リンクは、スマホアプリ・Windowsアプリ・業務アプリをオーダーメイドで開発しています。自社アプリ4本をGoogle Playで公開しています。
- 業務アプリ 30万円〜／スマホアプリ 80万円〜／Windowsアプリ 50万円〜（税別）
- 連絡先の入力なしで使える概算シミュレーター
- 代表が直接担当し、ソースコードはすべてお渡しします
アプリ開発のご相談はアクセス・リンクへ
株式会社アクセス・リンクでは、栃木県下野市を拠点に、中小企業の業務アプリやスマートフォンアプリの開発をお手伝いしています。全日本SEO協会認定SEOコンサルタントの代表・三田健司が、要件の整理から公開後の運用まで一貫して対応します。
開発ではAIも活用していますが、変更点の確認やテストは人が行い、確認の進め方もご説明しています。「AIで作るアプリの品質が心配」「今の開発会社の体制を相談したい」といったご相談もお気軽にどうぞ。
料金の目安とシミュレーターはアプリ開発のページで公開しています。ご相談はお問い合わせフォームからお寄せください。
記事執筆・株式会社アクセス・リンク 代表取締役
Webサイト制作歴10年以上の経験を元にSEOコンサルティングを行い、延べ1,000件以上のサポート実績を誇ります。個人事業主や中小企業向けのホームページ制作やSEOコンサルティングを得意としています。
（社）全日本SEO協会 認定SEOコンサルタント
コメント