KPMGがAIハルシネーションで報告書撤回｜45件中40件が偽引用・vibe citing問題とAI活用リスク【2026年6月】

KPMGは2026年6月、エージェントAIをテーマにした自社の報告書を取り下げました。GPTZeroの調査で、引用45件のうち40件のタイトルが偽物で、実在する企業のAI活用事例にも事実と違う記述が多いと指摘されたためです。AIの活用を勧める報告書が、AIハルシネーション（AIが事実でない内容をもっともらしく作る現象）の実例になってしまいました。

想定読者は、生成AIで資料や調査レポートを作る実務担当者、コンサル・監査・士業などの専門サービスで働く方、社内のAIガバナンスを担当する方です。

なお、2026年10月時点で、KPMGは社内調査の結果を公表していません。この記事では、確かめられた事実と、まだわかっていないことを分けて書きます。

AI活用の旗振り役が、確認を省いてハルシネーションを公開した

• KPMG Internationalが2025年10月に公開した報告書「Total Experience: Redefining Excellence in the Age of Agentic AI（エージェントAI時代における卓越性の再定義）」に、AIで作られたとみられる偽の引用や、事実と違う事例が多く含まれていた
• AI文章検出ツールの会社GPTZeroが引用を1件ずつ調べ、45件中40件はタイトルが偽物、少なくとも16件はまるごと架空の文献（ハルシネーション）と判定した
• 英Financial Times（FT）が、報告書に名前を出された企業や組織に取材した。UBSやロンドン交通局などは、記述が「事実ではない」「誤解を招く」と答えた
• KPMGは2026年6月11日ごろに報告書を一部の自社サイトから取り下げ、公開の経緯を調べていると表明した。報道が出たのは6月12〜13日
• KPMGだけで起きたことではない。Deloitte・EY・米大手法律事務所でも、同じ種類の事例が2025年から続いている

教訓ははっきりしています。生成AIで作った文章は、引用と事実を人が確かめない限り、もっともらしい誤りがそのまま世に出ます。生成AIの基本は生成AIとは何かの解説、リスク全般は生成AIのセキュリティリスクと対策で扱っています。

何が起きたのか：AI報告書が「AIハルシネーションのデモ」になった

出典: KPMG 公式サイト

今回の件の核心は、エージェントAIの価値を説くはずだった報告書が、AIの弱点を示す結果になったことです。

報告書は、KPMGの「Global Customer Experience Excellence（CEE）」調査をまとめたものです。エージェントAI（自分で判断して作業を進めるAI）が顧客体験や業務をどう変えるかを、実在する企業の事例を挙げながら説明していました。FTによると、複数の国のKPMGのコンサル部門が、この報告書を営業資料として配っていました。

ところが、事例の裏付けとして載せていた引用の多くが、実在しない文献だったり、タイトルや著者が違っていたりしました。英国のIT系メディアThe Registerは「KPMGのAIレポートが、AIハルシネーションのデモになった」と報じています。

もう一つ注目されたのは、KPMGが「KPMG Trusted AI」というAIガバナンスの枠組みを、顧客向けのサービスとして提供している点です。2026年版の資料では、AIのライフサイクル全体を適切な人の監督のもとで管理するとうたっています。AIの信頼性を売る会社の報告書でハルシネーションが起きたことが、皮肉として広く報じられました。

報告書のテーマであるエージェントAIの意味は、AIエージェントとは何かの解説で基礎から整理しています。

時系列で見る経緯

報道によって日付の書き方に幅があります。取り下げは6月11日ごろ、報道は6月12〜13日と分けて理解しておくと正確です。

GPTZero調査の核心：「45件中40件」の引用内訳

出典: GPTZero 公式サイト

「45件中40件」は、引用45件のうち40件のタイトルが偽物だったという意味です。40件すべてがまるごと架空の文献だったわけではありません。GPTZeroは自社の「Hallucination Check」ツールで引用を洗い出し、1件ずつ調べました。

一部の海外メディアは見出しで「40 fake citations（40件の偽引用）」とまとめていますが、正確には「40件はタイトルが偽物、うち少なくとも16件は架空の文献」です。GPTZeroは、この報告書には学術論文の調査より厳しい基準を使ったと説明しています。引用の質が低すぎたため、報告書のすべての主張を確かめたわけではない、とも書いています。

さらにGPTZeroは、引用で裏付けられていた事実の主張の約半数が、偽物か出典の取り違えとみられると指摘しました。

わかりやすいのが、KPMG自身のデータとの食い違いです。報告書は「KPMGの調査ではCEOの55%がAIを最優先の投資先に挙げた」と書いていました。しかし、KPMGが出した「2025 CEO Outlook」ではこの数字は71%（2024年は64%）です。外部の文献を調べなくても、自社の発表と見比べれば見つかった誤りでした。

GPTZeroは報告の中で「公開前に、KPMGの誰も引用・主張・出典を確認しなかったのではないか」と書いています。ただし、これはGPTZeroの見立てです。KPMGはAIを使って報告書を作ったとは認めておらず、米Inc.誌も、AIが誤りを生んだとはまだ証明されていないと指摘しています。また、GPTZeroはAI検出ツールを販売する会社でもあります。事例の誤りの多くはFTの取材で裏付けられていますが、件数そのものはGPTZeroの分析だという点は押さえておく必要があります。

「vibe citing（バイブ・サイティング）」とは

vibe citingは、GPTZeroが使っている言葉で、「生成AIを使ったために生じたとみられる引用」を指します。実在する文献を組み合わせたり言い換えたりしたもの、架空の要素を足したもの、著者名やタイトルを書き換えたものが含まれます。

語源は「vibe coding（バイブ・コーディング）」です。コードの中身を細かく確かめずに、AIへの指示だけでプログラムを作るやり方を指す言葉で、The Registerはvibe citingを「vibe codingの引用版」と説明しています。vibe codingの意味はバイブコーディングとは何かの解説やバイブコーディングの実践ガイドで扱っています。

vibe citingに入るもの・入らないものは次のとおりです。

日本語ではまだ定着していない言葉です。ただ、AIで文章を書く場面が増えるほど、引用の誤りは人のうっかりミスとは別の種類のリスクとして扱う必要があります。

捏造・誤りが指摘された具体事例

FTの取材とGPTZeroの調査で、報告書に載っていた複数の「AI活用事例」が事実と違うことがわかりました。日本企業ではJR東日本も例に挙げられていました。

どの例も、実在する組織の名前を使いながら、その組織がしていないAI活用を実例のように書いていました。名前が本物なので読み手は信じやすく、誤りに気づきにくくなります。JR東日本の例のように、日本企業の名前が海外の報告書で誤った形で使われることもあります。自社の名前が出る資料については、先方の一次発表で確かめるのが基本です。

KPMGの対応・声明

KPMGは報告書を取り下げ、公開の経緯を調べていると表明しました。The RegisterやTechCrunchが伝えたKPMG Internationalの声明の要点は次のとおりです。

• 「KPMG Internationalは、公開するコンテンツの正確さと誠実さを重く受け止めている」
• 「報告書は削除した。公開に至った経緯を調べている」
• 「AIの責任ある利用に関するガイドラインを全員が守ることを求めている。これには、内容を確かめ、独立した情報源を確認するための人による監督が含まれる」

2026年10月時点で、次のことは公表されていません。

• 社内調査の結果と、その時期
• どの生成AIツールを使ったか（そもそもAIを使ったと認めるか）
• 報告書を作ったのがどの国のKPMGか（発行はKPMG International名義）
• 修正版を出すかどうか、再発防止策

同じ種類の事例で、Deloitteオーストラリアは修正版でAzure OpenAI GPT-4oを使ったことを明かしました。KPMGは使ったツールを明かしておらず、「AIで作られたとみられる」という段階にとどまっています。

KPMGだけではない：Deloitte・EYと続く業界の構造リスク

出典: Deloitte 公式サイト

今回の件は単発の出来事ではありません。コンサル・監査・法律事務所で、AIで作ったとみられる文書の誤った引用が、2025年から続けて見つかっています。金額や件数は報道によって幅があるため、表では概数で示しています。

並べてみると、共通点が4つあります。

1. 見つけたのは社外の人：研究者、検出ツールの会社、相手方の弁護士など。社内のレビューでは止まっていない
2. 顧客への納品物以外から先に出ている：EYとKPMGは、マーケティングや調査レポートで起きた。社内の確認が甘くなりやすい種類の文書
3. 社内規程があっても守られない：Sullivan & Cromwellは規程があったのに守られなかったと認めた。KPMGも「人による監督」を求めるガイドラインを持っていた
4. 会社は詳しい原因を明かさない：「結論は変わらない」「調査中」とだけ言い、AIツールの名前や作業の流れは出てこないことが多い

GPTZeroのCEO、Edward Tian氏はFTに対し、こうした誤りは「情報の井戸に毒を入れる（poison the well of information）」ものだと述べています。大手の報告書は他の記事や資料に引用されるので、誤りがさらに広がりやすいという意味です。

監査法人のAI活用全体の流れは監査法人のAI活用事例（BIG4）で整理しています。AIエージェントがもっともらしく誤った情報を出す問題は、引用に限りません。研究の例はAIエージェントの欺瞞的な振る舞いに関する記事、業務に組み込むときの安全管理はAIエージェントのセキュリティ対策ガイドで扱っています。

なぜ起きたのか：ハルシネーションと検証プロセスの欠如

原因は2つに分けられます。生成AIの仕組みからくる限界と、それを使う側で確認の工程が働かなかったことです。

生成AIは、次に来そうな言葉を予測して文章を組み立てます。事実かどうかより「それらしいかどうか」で出力が決まるので、存在しない論文のタイトルや著者名でも、自然な文章として出てきます。特に、文献のタイトル・著者・年・URLのように、形式が決まっていて中身を確かめにくい情報は誤りが紛れ込みやすい部分です。

ただ、今回もっと大きかったのは運用の問題です。引用を原典で確かめる、数字を自社の調査と見比べる、名前を出す企業の発表を確かめる。どれも特別な技術は要りません。55%と71%の食い違いは、自社の資料を開けば見つかりました。

KPMGとメルボルン大学が2025年に47か国・約4万8千人を対象に行った調査「Trust, attitudes and use of AI」では、AIを定期的に使う人は66%いる一方、AIを信頼してよいと答えた人は46%でした。使う人は多いのに、出力をどこまで信じてよいかは定まっていません。社員が会社の決めたルールの外でAIを使う問題は、シャドーAIとは何かの解説でも扱っています。

日本では、総務省と経済産業省の「AI事業者ガイドライン」が2026年3月に第1.2版へ改訂され、AIエージェントについての記述が加わりました。罰則のないガイドラインですが、AIを業務で使う企業が人による確認をどう組み込むかを考えるときの参考になります。

実務チェックリスト：AIで資料・レポートを作るときに今日からできること

生成AIで資料を作る人や企業が、同じ失敗を避けるための確認項目です。規程を作るだけでは止まらないことは、Sullivan & CromwellやKPMGの例が示しています。公開前の工程として組み込むことが大切です。

引用・出典の確認

• AIが出した引用は、DOIやURLを実際に開いて、文献が存在するか確かめる
• タイトル・著者名・発行年が原典と一致しているか照らし合わせる
• 原典を読み、本文の主張が本当に書かれているか確かめる（文献があっても内容が違うことがある）
• 見覚えのない文献は、まず検索して存在を確かめる

事実・数字の確認

• 統計や数字は、公式の調査や公的統計など一次情報で確かめる
• 自社が過去に出した数字と食い違っていないか見比べる（KPMGの55%と71%の例）
• 企業や組織の名前を出す事例は、その組織の一次発表で確かめる。確かめられなければ載せない
• 日付と時代が合っているかを見る（JR東日本の例のように、2019年の資料をエージェントAIの根拠にしていないか）

運用・ガバナンス

• AIが作った文章は下書きとして扱い、人による最終確認を公開前の必須工程にする
• 確認する人と責任者を名前で決め、「誰も見ていない」状態を作らない
• AIがテーマの報告書ほど厳しく確かめる（読み手の目も厳しい）
• 社外に出す文書は、AIを使ったかどうかと確認の手順を説明できるようにしておく
• 社内資料を根拠にして答えを作らせる仕組み（RAG）を使い、出典を必ず表示させる

AIに任せてよい工程と、人が持つべき工程の分け方の目安は次のとおりです。

社内で生成AIを使ったレポート作成ツールを作り、社内の実データや既存の文書管理システムにつないで業務で使う段階になると、出典を表示させる設計や、確認の記録を残す仕組みが必要になります。試作から業務での利用へ進めるときの考え方は、AIで作ったアプリを開発会社へ引き継ぐにはで整理しています。業務での使い方の例は生成AIのビジネス活用事例も参考になります。

こんな使い方・組織は特に注意

生成AIは便利ですが、次のような使い方や組織では、ハルシネーションが外に出るリスクが高くなります。

• 確認の工程を省いて公開している：AIの出力をそのまま社外向けの資料や報告書に使っている
• 引用や統計が多い文書をAIに任せている：調査レポート、ホワイトペーパー、提案書など、正確さがそのまま信用になる文書
• 実在する企業の事例を載せている：本物の名前が付いているので、誤りが見抜きにくい
• 専門外のテーマを扱っている：書かれた内容が正しいかを自分で判断できない
• 確認担当・責任者がいない：「誰かが見ているだろう」で公開が進んでいる
• マーケティング資料を軽く見ている：EYとKPMGは、顧客への納品物ではない資料で問題が出た

一方、次のような使い方では生成AIは役に立ちます。

• 社内のブレインストーミングや論点出し
• 下書きのたたき台、文章のトーン調整
• 自分で用意した資料の要約や翻訳の初稿
• 出典を表示する仕組みと、人による確認がセットになった業務

分かれ目は、AIに任せる工程と人が持つ工程を分けられているかどうかです。

よくある質問（FAQ）

Q. KPMGの報告書は、引用がすべて捏造だったのですか？

A. いいえ。GPTZeroの調査では、45件のうち5件は実在する文献を正しく指していました。残る40件はタイトルが偽物で、そのうちまるごと架空と判定されたのは少なくとも16件です。ほかは、文献は実在するもののタイトルや内容が違う、または曖昧すぎて特定できないものでした。

Q. KPMGはAIを使って報告書を作ったと認めたのですか？

A. 2026年10月時点で認めていません。KPMGの声明は「報告書を削除し、経緯を調べている」「人による監督を含むガイドラインを守るよう求めている」というものです。AIハルシネーションが原因だと分析しているのはGPTZeroです。

Q. KPMGの社内調査の結果は出ましたか？

A. 2026年10月時点で、調査結果や追加の声明は確認できません。使ったAIツール、作成した部門、修正版の有無もわかっていません。

Q. vibe citingとハルシネーションは何が違うのですか？

A. ハルシネーションは、AIが事実でない内容をもっともらしく作る現象全体を指します。vibe citingはGPTZeroが使う言葉で、そのうち生成AIを使ったために生じたとみられる引用の誤りを指します。綴りの誤りやリンク切れなど、人がやりがちなミスは含みません。

Q. 日本企業にも関係がありますか？

A. あります。報告書ではJR東日本の名前が、AIの記述のない2019年のプレスリリースを根拠に使われていました。また、日本でも生成AIで提案書や調査資料を作る会社は増えています。自社が誤りを出す側にも、誤った形で名前を使われる側にもなりえます。

Q. 仕事でAIを使うとき、まず何をすればよいですか？

A. AIが出した引用・数字・企業の事例を、すべて原典で確かめることです。社外に出す文書では、AIの出力を下書きとして扱い、確認する人を決めたうえで公開する流れにしてください。

まとめ

KPMGの報告書の取り下げは、AIの活用を勧める会社が、AIの弱点で足をすくわれた例です。要点は次のとおりです。

• 引用45件のうち40件はタイトルが偽物で、少なくとも16件はまるごと架空と判定された（GPTZeroの分析）
• JR東日本、UBS、ロンドン交通局など、実在する組織の事例にも事実と違う記述があった
• KPMGは2026年6月11日ごろに報告書を取り下げたが、2026年10月時点で調査結果は公表していない
• Deloitte、EY、米大手法律事務所でも同じ種類の事例が続き、社内規程があっても守られないことが繰り返し示されている
• 対策は、引用・数字・事例を人が確かめる工程を公開前に組み込み、確認する人を決めること

生成AIを安全に使うための前提知識として、生成AIのセキュリティリスクと対策やAIエージェントとは何かの解説もあわせて読んでみてください。