シャドーAIとは？社内の利用実態を調べ、管理できる環境へ移す手順

シャドーAIは、会社の管理や確認が行き届かない状態で使われるAIを指す言葉です。例えば、社員が個人向けのAIサービスへ業務資料を入力しているものの、会社が用途や情報の扱いを把握していない状況があります。Microsoftも、管理部門の監督を経ずに導入された消費者向けAIなどを課題として挙げています。MicrosoftのAIセキュリティガイド

会社が把握・管理していないIT機器やサービスの利用は、シャドーITと呼ばれます。シャドーAIは、その問題をAIの利用について考える言葉です。導入したサービスだけでなく、既存のブラウザーや業務ツールに加わったAI機能も調査に含めます。Microsoftの未承認AI利用の検出に関する説明

対策では、ツールの名前だけでなく、そのツールを使う仕事を調べます。社員が困っている作業が残ったままでは、利用を止める通知だけで運用が定着するとは限りません。

最初に確認するのは、何の情報がどこへ渡るか

個人契約だから必ず情報漏えいが起きる、会社契約だからすべて安全、という判断はできません。利用する機能、設定、入力する資料、共有先まで確認します。

調査のために、顧客名入りの会話全文を一か所へ集める必要はありません。まず用途と情報区分を聞き、具体的なデータの確認は必要な担当者に限ります。

申告を集めるときの質問例

「禁止されたAIを使っていませんか」という質問だけでは、利用者がどの機能を報告すればよいか分からない場合があります。次のように仕事から聞く方法があります。

どの仕事でAIを使っていますか。
使うサービスと機能は何ですか。
入力する情報の種類を教えてください。実データの貼り付けは不要です。
会社が用意した方法で困っていることはありますか。
仕事を続けるために必要な条件は何ですか。

調査の目的、回答を見る担当者、既存の社内規程との関係を明示します。AIに従業員の意図や違反を推定させ、評価を自動的に決める用途には使いません。

用途ごとに、次の扱いを決める

次は架空の例です。

継続、移行、条件確認、停止などを、用途と情報区分で判断します。既に機密を誤入力した疑いがある場合は、通常の移行作業と別に、管理担当が時刻や範囲を確認します。

会社の環境へ移すときに残りやすいもの

新しい会社アカウントを用意しても、以前の履歴や保存ファイルまで整理されたことにはなりません。個人側に残る共有リンク、外部連携、ブラウザ拡張、保存物の扱いを確認します。本人の個人情報や他の利用内容まで無制限に収集せず、業務情報に必要な範囲で進めます。

移行後は、社員に「使える環境」「入力できる情報」「使える仕事」「困ったときの窓口」を伝えます。申請が必要なら、回答までの間に使える代替手段も示してください。

再発を減らすために確認すること

ルールの周知と一緒に、会社の方法で仕事が完了するかを見ます。申請に時間がかかる、必要な資料を参照できない、出力の修正が大変といった理由を集め、環境や手順へ戻します。

生成AIの社内利用ルールと業務定着の進め方をそろえ、用途の一覧から社内のAI利用環境を相談できます。