KPMGがAIハルシネーションで報告書撤回｜45件中40件が偽引用・vibe citing問題とAI活用リスク【2026年6月】

KPMGは2026年6月中旬、エージェントAIをテーマにした自社報告書を、AIが生成したとみられる偽の引用・捏造事例を多数含んでいたとして撤回しました。皮肉なことに、「AI活用の卓越性」を説く報告書そのものが、AIハルシネーション（AIが事実でない内容をもっともらしく作る現象）の実例になってしまった事案です。

この記事では、以下を整理します。

• 何が起きたのか（時系列と一次ソースに基づく事実）
• GPTZeroの調査が示した「引用45件中40件に問題」の正確な内訳
• 新語「vibe citing（バイブ・サイティング）」とは何か
• 捏造・誤りが指摘された具体事例（エミレーツ航空・JR東日本・UBS・NHSなど）
• KPMGだけではない、Deloitte・EYと続くプロフェッショナルサービス業界の構造的リスク
• 自分や自社がAIで資料・レポートを作るときに今日からできる検証チェックリスト

想定読者は、生成AIで資料・調査レポートを作る実務者、コンサル・監査・士業などプロフェッショナルサービス従事者、社内のAIガバナンスや情報統制を担当する方です。AI活用の「失敗から学ぶ」典型例として、リスク管理の視点で読み進めてください。

なお本件は2026年6月時点で「調査中」の進行形の事案です。確定している事実と未確定の部分を分けて記載します。

AI活用の旗振り役が、検証を省いてハルシネーションを公開した

本件のポイントを整理します。

• KPMGが2025年10月に公開した報告書 「Total Experience: Redefining Excellence in the Age of Agentic AI（エージェントAI時代における卓越性の再定義）」 が、AI生成とみられる偽引用・捏造事例を多数含んでいた。
• AI検出企業 GPTZero のフォレンジック調査で、報告書の引用45件のうち40件に問題があると指摘された。
• 英Financial Times（FT）が報告書で名指しされた企業・組織に取材し、記載内容が事実でない／誤解を招くものだと裏付けた。
• KPMGは2026年6月13日ごろに報告書を撤回し、「公開の経緯を調査中」と表明。
• これはKPMG単独の事故ではなく、Deloitte・EYでも同種の事案が連続しており、業界構造的なリスクとして注目されている。

教訓は単純です。生成AIで作った文章は、引用と事実を人間が検証（human-in-the-loop）しない限り、もっともらしい嘘をそのまま世に出してしまう——その典型例が今回の事案です。生成AIそのものの仕組みを理解したい場合は、生成AIとは何かを解説した記事や、リスク面を扱った生成AIのセキュリティ・ガバナンス解説もあわせて参照してください。

何が起きたのか：AI報告書が「AIハルシネーションのデモ」になった

出典：KPMG公式サイト（kpmg.com）

KPMGが「AI活用の素晴らしさ」を訴えるはずだった報告書が、AIの弱点を露呈する結果になった、というのが事案の核心です。

問題となった報告書のテーマは、エージェントAI（自律的にタスクを実行するAI）が顧客体験や業務をどう変えるか、という前向きな内容でした。ところが報告書中で「実例」として挙げられた企業のAI活用事例や、主張を裏付ける引用文献の多くが、実在しなかったり、事実と食い違っていたのです。

英国の技術メディアThe Registerは、この状況を「KPMGのAIレポートが、はからずもAIハルシネーションのデモになった」と報じました。AI活用を推進する立場の世界的なプロフェッショナルサービス企業が、AIの最大の弱点である「もっともらしい捏造」を自社の看板コンテンツでやってしまった、という構図が大きな話題を呼びました。

ちなみに、報告書のテーマである「エージェントAI」が具体的に何を指すのかは、AIエージェントとは何かを解説した記事で基礎から整理しています。

時系列で見る経緯

撤回の正確な日付は報道によりばらつきがあり、「2026年6月中旬」「6月13日ごろ」と幅を持たせて理解するのが正確です。

GPTZero調査の核心：「45件中40件」の引用内訳

出典：GPTZero公式サイト（gptzero.me）

発覚のきっかけは、AI検出企業GPTZeroによるフォレンジック調査でした。報告書中の引用（citation）を1件ずつ検証した結果、引用45件のうち40件に何らかの問題があると指摘しました。

ここで重要なのは、「40件すべてが完全な捏造」ではない、という点です。一部メディアの見出しは「40 fake citations（40件の偽引用）」と単純化していますが、GPTZeroの調査では内訳が分かれています。

さらにGPTZeroは、引用が裏付けるはずだった事実主張（factual claims）の約半数が、虚偽・裏付けなし・誤った帰属（misattribution）だったと指摘しています。

象徴的なのが、KPMG自身のデータとの矛盾です。問題の報告書は「CEOの55%がAIを最優先の投資先と回答」と記載していましたが、同じ時期に出たKPMG自身の 2025 CEO Outlook ではこの数値は 71% とされていました。自社の正式調査ともデータが食い違っていたわけです。

GPTZeroの調査を担当したPaul Esau氏は、「KPMGの誰も、公開前に引用・主張・ソースをダブルチェックしなかったと我々は見ている」とコメントしています。問題はAIの能力そのものより、人間による検証プロセスが丸ごと欠落していたことにあります。

「vibe citing（バイブ・サイティング）」とは

vibe citingとは、生成AIが実在ソースの断片をつなぎ合わせ、タイトルや著者を捏造して、もっともらしく見える参考文献を作り出してしまう行為を指す造語です。GPTZeroが今回の調査で提示しました。

語源は「vibe coding（バイブ・コーディング）」です。これは、コードの中身を厳密に理解しないまま、AIに「雰囲気」で指示してコードを書かせる開発スタイルを指す言葉で、その引用版という位置づけになります。vibe coding自体の意味はvibe codingとは何かを解説した記事やvibe codingの実践ガイドで詳しく扱っています。

vibe citingの特徴を整理すると、次のようになります。

• 実在する論文・記事のタイトルを微妙に言い換える
• 実在しない著者名や、別人の名前を著者として付ける
• 複数のソースの断片を混ぜて、一見それらしい「新しい出典」を作る
• リンク先が存在しない、または内容が記載と一致しない

GPTZeroの定義では、こうした「生成AI利用に起因する引用」を指し、単なる人為的なタイプミスやリンク切れは除外されます。日本語ではまだ定着していない用語ですが、AIで文章を書く時代の新しいリスク概念として、覚えておく価値があります。

捏造・誤りが指摘された具体事例

FTの取材とGPTZeroの調査により、報告書中の複数の「AI活用事例」が事実と異なることが判明しました。主なものを挙げます。

• エミレーツ航空（Emirates）：報告書は「Sara」というモバイルチャットボットがフライト変更をこなせると記載。しかし実際のSaraは2023年のロボットアシスタントで、フライト予約機能はないとされる（捏造の疑い）。
• JR東日本（JR East）：商用エージェントAIが利用可能になる前の、2019年のプレスリリースを根拠に引用していた。
• Verbund（オーストリアの電力企業）：スタートアップQurrentと混同され、家庭レベルのAIエージェントに関する詳細が捏造されていた。
• UBS／英国NHS／スイス連邦鉄道（SBB）／ロンドン交通局（TfL）：いずれもFTの取材に対し、自社のAI利用に関する報告書の記載は「事実でない」または「誤解を招く」と回答した。

共通するのは、実在する組織名を使いながら、その組織が実際には行っていないAI活用を「あたかも実例のように」描いていた点です。固有名詞が本物だからこそ読者は信じやすく、ハルシネーションが見抜きにくくなる——この危うさが今回の事案の本質です。

KPMGの対応・声明

KPMGは報告書を削除し、調査中であることを表明しました。KPMG Internationalの声明の要旨は次の通りです。

• 「KPMGは公開コンテンツの正確性と完全性を真剣に受け止めている」
• 「報告書は削除済みで、公開に至った経緯を調査している」
• 「全スタッフに、AIの責任ある利用に関するガイドラインの遵守を求めている。これには、コンテンツを検証し独立した情報源を確認するための人間による監督（human oversight）が含まれる」

一方で、KPMGがどの生成AIツールを使ったかは公式には開示されていません（未確認）。同種事案のDeloitteはAzure OpenAIの使用を開示しましたが、KPMGは使用ツールを公表しておらず、現時点では「AIで生成されたとみられる」という推定にとどまります。最終的な調査結果、修正版の公開有無、責任の所在も2026年6月時点では未確定です。

KPMGだけではない：Deloitte・EYと続く業界の構造リスク

出典：Deloitte公式サイト（deloitte.com）

今回の件は単発の事故ではなく、コンサル・監査の大手で連続している「AI生成レポートのハルシネーション」問題の一例です。GPTZeroのCEO Edward Tian氏は「今日はKPMG、先月はEYだった」とコメントし、業界で同種事案が続いていることを指摘しました。

これらに共通する教訓は明確です。生成AIを「リサーチや執筆の自動化」に使うとき、引用・事実の人間による検証を省略すると、ブランド毀損・返金・信頼失墜に直結するということ。そしてAI活用の旗振り役であるべき大手ほど、内部統制の欠如が露呈しているという逆説があります。

AIが意図せず（あるいは見かけ上）虚偽の情報を生み出すリスクは、引用の捏造に限りません。AIエージェントが目的達成のために欺くような挙動を見せる研究事例についてはAIエージェントの欺瞞的挙動に関する記事で扱っています。エージェントを業務に組み込む際の安全管理はAIエージェントのセキュリティガイドも参考になります。

なぜ起きたのか：ハルシネーションと検証プロセスの欠如

根本原因は2つあります。生成AIの仕組み上の限界と、それを運用する側の検証プロセスの欠落です。

生成AIは「次に来る確率の高い単語」を予測して文章を作る仕組みのため、事実かどうかではなく「それらしいかどうか」で出力を組み立てます。だから、存在しない論文タイトルや著者名でも、自信たっぷりに、文法的にも完璧な形で生成してしまいます。これがハルシネーションの正体です。生成AIの基本的な仕組みやリスクは生成AIのセキュリティ・ガバナンス解説で詳しく整理しています。

しかし今回の事案で本当に問題だったのは、AIの限界そのものよりも、出力をそのまま信じて公開してしまった運用体制です。引用を1件ずつ原典に当たって確認する、数値を自社の正式調査と突き合わせる、事例企業に裏取りする——こうした当たり前のプロセスが機能していれば、45件中40件もの問題は公開前に止められたはずです。AIは「下書きの高速化」には強力ですが、「最終的な事実の保証」はできません。この役割分担を誤ると、今回のような事故が起きます。

実務チェックリスト：AIで資料・レポートを作るときに今日からできること

生成AIで資料を作る人・企業が、同じ失敗を避けるための具体的なチェック項目をまとめます。「教訓」で終わらせず、実務に落とし込めるように整理しました。

引用・出典の検証

• AIが出した引用は、必ず原典のURLや書誌情報に直接アクセスして実在を確認する
• タイトル・著者名・発行年が、原典と一字一句一致しているかを照合する
• リンク先の内容が、文中の主張と本当に一致しているかを読んで確かめる
• 「もっともらしいが見覚えのないソース」は、捏造を疑ってまず検索する

事実・数値の検証

• 統計や数値は、一次ソース（公式調査・公的統計）に当たって裏取りする
• 自社が出している他のデータと矛盾していないか突き合わせる（KPMGの55%対71%の教訓）
• 企業名・組織名を挙げた事例は、当該組織の公式発表で確認する。不明なら記載しない

運用・ガバナンス

• AIが作った文章は「下書き」と位置づけ、人間の最終確認（human-in-the-loop）を必須プロセスにする
• 公開前レビューの担当と責任を明確にし、「誰も確認していない」状態を作らない
• 生成AIを使った場合は、社内ルールとして利用範囲・検証手順を文書化する
• 対外公開物については、AI利用の有無や検証プロセスを開示できる体制を整える

これらは特別なツールがなくても、レビュー工程を1つ足すだけで多くを防げます。AIの生産性メリットを活かしつつ、最後の事実確認だけは人間が握る——これが今回の事案から得られる最も実践的な対策です。生成AIを業務で前向きに活かす具体例は生成AIの活用事例をまとめた記事も参考にしてください。

こんな使い方・組織は特に注意

生成AIは便利ですが、次のような使い方・状況ではハルシネーションのリスクが跳ね上がります。

• 検証工程を省いて公開している：AI出力をそのまま社外向け資料や報告書に使っている
• 引用・統計を多用する文書をAI任せにしている：論文・調査レポート・提案書など、事実の正確性が信用そのものになる文書
• 固有名詞の事例を盛り込む：実在企業のAI活用事例などは、本物の名前ゆえに捏造が見抜きにくい
• 専門外の領域で内容を判断できない：書かれた内容の真偽を自分で評価できないテーマ
• チェック担当・責任者が不在：「誰かが見ているだろう」で公開フローが回っている組織

逆に、社内のブレインストーミング、下書きのたたき台、文章のトーン調整、要約の初稿づくりなど、最終的に人間が必ず手を入れる前提の用途では、生成AIは非常に有効です。要は「AIに任せきりにしてよい工程」と「人間が必ず握るべき工程」を切り分けられるかどうか、が分かれ目になります。

よくある質問（FAQ）

Q. KPMGの報告書は完全な捏造だったのですか？

A. いいえ。GPTZeroの調査では、引用45件のうち5件は実在ソースを正しく指していました。残り40件のうち28件が改変・捏造を含み、12件は検証不能とされています。「すべてが偽物」ではなく「大半に問題があった」というのが正確な理解です。

Q. KPMGはどの生成AIツールを使ったのですか？

A. 2026年6月時点で公式には開示されていません。報道では「AIで生成されたとみられる」と推定表現にとどまっています。同種事案のDeloitteはAzure OpenAIの使用を開示しましたが、KPMGは使用ツールを公表していません。

Q. vibe citingとハルシネーションは何が違うのですか？

A. ハルシネーションはAIが事実でない内容をもっともらしく生成する現象全般を指します。vibe citingはそのうち「引用・参考文献の捏造」に特化した行為を表す造語です。タイトルの言い換え、著者の捏造、存在しないソースの参照などが含まれます。

Q. これはKPMGだけの問題ですか？

A. いいえ。2025年以降、Deloitte（豪州・カナダ）やEY（カナダ）でも、AI生成とみられる虚偽引用を含むレポートが相次いで発覚しています。プロフェッショナルサービス業界全体の、AIガバナンス・検証体制の課題として捉えるべき事案です。

Q. 自分が仕事でAIを使うとき、まず何をすべきですか？

A. AIが出した引用・数値・固有名詞の事例は、すべて原典に当たって裏取りすることです。特に社外公開物では、AI出力を「下書き」と位置づけ、人間による最終確認を必須プロセスにしてください。

まとめ

KPMGのAIハルシネーション報告書撤回は、「AI活用を推進する企業が、AIの弱点で足をすくわれた」象徴的な事案です。本件のポイントは次の通りです。

• 報告書の引用45件中40件に問題（28件が改変・捏造、12件が検証不能）
• 原因はAIの限界そのものより、人間による検証プロセスの欠落
• 「vibe citing」という新語が示す通り、AIは平然と参考文献を捏造する
• KPMG・Deloitte・EYと続く、業界構造的なAIガバナンスの課題
• 対策はシンプルで、引用・事実を人間が必ず検証する工程を組み込むこと

本件は2026年6月時点で調査中であり、最終的な処分や再発防止策、修正版の公開有無は今後の続報を待つ必要があります。生成AIを安全に使いこなすための前提知識として、生成AIのセキュリティ・ガバナンス解説やAIエージェントとは何かの基礎解説もあわせてご覧ください。