シャドーAIとは、会社の承認を得ることなく、従業員が個人の判断でAIツールを無断使用すること。例えば、会社では業務利用を承認していないChatGPTやGeminiなどのAIツールに業務情報を入力して、タスクを処理することが挙げられる。

シャドーAIが急増している背景

シャドーAIが急増している最大の背景には、誰でも無料でAIツールを使える環境が整ったことが挙げられる。例えば、ChatGPTやGeminiはアカウントがなくともブラウザから手軽に利用することが可能。手軽かつ便利となれば、業務で使いたくなるのも無理はない。

一方、企業側の対応の遅れも要因として挙げられる。具体的には、AIツールの業務利用に関するルール作りが不十分であるために、従業員が駄目なことだと分かっていながらも、業務効率化のために会社未承認のAIツール利用に踏み切ってしまうのだ。

シャドーITとの違い

シャドーAIとよく似た言葉に「シャドーIT」がある。シャドーITとは、従業員が会社未承認のデバイスやアプリ・クラウドサービスなどのITツールを使用すること。AIツールもITツールの一種であると考えると、シャドーAIはシャドーITに含まれる概念だといえる。ただし、後述するとおり、シャドーAIには「AIツールに入力した情報が学習され、第三者に漏洩するリスクがある」という、他のITツールには見られないリスクがある点が特徴だ。

では、シャドーAIの何が問題なのだろうか。業務の効率化を図れるため、従業員個人としては良い事のように思える。しかし、企業にとっては無視できないリスクが存在する。ここでは2大リスクを解説する。

企業リスク①：機密情報の漏洩

シャドーAIの大きなリスクの一つが「機密情報漏洩リスク」である。先述したとおり、多くの（生成）AIツールでは、入力された情報が学習データとして活用されている。そのため、もし機密情報を入力してしまうと、その情報が第三者に回答として出力され、情報漏洩を起こしてしまう危険性があるのだ。実際に2023年には、大手IT企業・サムスン（韓国）において、ChatGPTを利用したことが原因で機密情報が漏洩する事件が起きた。機密情報の漏洩は、企業の信用失墜や損害賠償請求など多大なる影響を及ぼす可能性がある。

企業リスク②：セキュリティリスクの増大

企業未承認のシャドーAIは、当然ながら企業が管理することはできない。企業はアクセスログも利用状況も把握できないため、インシデント発生時には原因の特定が遅れ、大きな被害をもたらす可能性がある。従業員の「未承認だけど、少しくらい使ってもよいだろう」という安易な判断が、企業に大きな損害をもたらす可能性も否定できないのだ。

では、シャドーAIに対して企業はどのような対策を講じるべきだろうか。ここでは三つの対策を解説する。

対策①：AIツールの業務利用に関するガイドラインの整備

AIツールの利用を全面的に禁止する、あるいはルール自体を作らないでいると、かえって従業員は隠れてAIツールを利用するかもしれない。だからこそ「AIツールの業務利用に関するガイドライン（ルール）を整備すること」が大切だ。

具体的には「（業務別に）承認済みのAIツールを指定する」や「（個人名や顧客情報など）入力してはいけない情報を明示する」などを明文化しよう。ガイドラインを整備することで、従業員に適切な業務利用を促し、結果的にシャドーAIの発生や情報漏洩などのリスクを抑えることができる。

なお、ガイドラインは定期的に更新し、実態に即した内容にすることが望ましい。

対策②：セキュリティ性の高いAIツールを導入する

不正アクセスや情報漏洩リスクの低減のために、セキュリティ性の高いAIツールを導入することもポイント。具体的には導入実績が豊富で信頼性の高いツールや各種セキュリティ要件を満たしたツールを選定しよう。

対策③：従業員教育の実施

たとえガイドラインの整備や、セキュリティ性の高いAIツールの導入を行ったとしても、扱う従業員本人がシャドーAIの危険性を理解していなければ、十分な効果は期待できない。だからこそ、シャドーAI対策の土台として、従業員教育を実施することが大切だ。具体的には、研修や勉強会などを通して、シャドーAIの危険性に対する理解やガイドライン遵守の啓発、実際に起きた事件を元にしたシナリオ訓練などを定期的に実施しよう。

いまや業務にAIツールはなくてはならない存在といえる。だからこそ禁止するのではなく、ツールをより安全に使える環境づくりが大切になる。