Cranium、EU AI ActがAIの安全性を必須にする賭け

大企業向けにAIセキュリティとガバナンスのSaaSを提供する。組織内のすべてのAIモデル、エージェント、第三者AIサプライヤーを自動的に発見・棚卸しし、レッドチームによるセキュリティテストを実施し、AIカードなどのコンプライアンス証明を生成する。

企業によるAI導入が爆発的に拡大し、EU AI Actのような規制によってAIの安全性の証明が調達条件になると賭けている。

累計3,200万ドル。2023年のシードラウンド（KPMGとSYN Venturesが出資）、2023年10月のシリーズA 2,500万ドル（Telstra Venturesが主導、KPMG LLPとSYN Venturesが参加）。

2022年にKPMGのスタートアップインキュベーターKPMG Studio内で設立され、KPMGがインキュベートした最初のスピンアウト企業となった。4人の創業者は全員KPMGのサイバーセキュリティおよびAI事業の出身である。2023年4月にステルス状態から脱して独立運営を開始し、KPMGとSYN Venturesからシード資金を得た。創業者のJonathan Dambrotは、ChatGPTのリリース後、あらゆる企業がAIを導入していたが、これらのモデルがどのデータを使っているのか、攻撃され得るのか、コンプライアンスを満たしているのかを明確に言える者は誰もいなかった、と見ていた。

2023年10月に2,500万ドルのシリーズAを完了し（Telstra Venturesが主導）、累計調達額は3,200万ドルに達した。AIカード（AIアプリケーションの安全性、用途、データ、ガバナンスを共有可能なコンプライアンスプロファイルにまとめたもの）とAI成熟度スコアを立ち上げた。2025年5月にはArenaレッドチームプラットフォームをリリースし、LLMのプロンプトインジェクションテストとEU AI Act/NIST RMFの監査準備に焦点を当てた。その後、製品ラインはエージェント監視（AgentSensor）、クラウドおよびコンプライアンスモジュールへと拡大し、公式サイトはGovernモジュールがEU AI Actに直接対応していると述べている。

現在も運営を続けており、規制による恩恵が現実のものになりつつある。EU AI Actは2026年8月2日に完全適用となる（高リスク規定はAI Omnibusにより2027年12月/2028年8月に延長された）。これにより「AIの安全性を証明できること」はスローガンから法的義務へと変わる。第三者のプロファイルによれば、2025年9月の年間経常収益は約730万ドルで、2026年5月にエージェントAIセキュリティ企業Aicebergを買収した。公式サイトはGartner Cool Vendor 2025やFortune Top 50 Cybersecurity Companies 2025などの評価を主張している。

EU AI ActはAIガバナンスを任意の項目から法的義務へと変え、段階的な発効日のスケジュールを提供することで、企業が待つのではなく今すぐツールを購入するよう迫る。

KPMGのインキュベーションから始まることは、初日から企業顧客へのチャネルを持つことを意味し、「コンプライアンス需要」をゼロからの市場教育ではなく直接的な初期収益へと変える。

製品はまず「棚卸し＋AIカード証明」のような軽量な項目を提供し、その後レッドチームテストやエージェント監視へと拡大し、企業の需要に沿って徐々にカテゴリーを広げていく。

規制による恩恵は複数の波で訪れる。2024年の発効、2025年の禁止規定、2026年の適用、2027年の高リスク規則であり、それぞれの期限が調達の緊急性を再び生み出す。

コンプライアンスを早期に製品化してニッチを確保する。CraniumはKPMGのチャネルと規制前の時間を活用した。

2026年9月時点で、Craniumは独立して運営している。EU AI Actは2026年8月2日から完全適用されている。第三者データ：2025年9月のARRは約730万ドル、従業員数は約62人、2026年5月にAicebergを買収。GartnerやFortune 2025 Cybersecurity 50に評価されている。リスク：競争と顧客集中。