シャドーAIとは、組織の了承なしに従業員が無断で業務にAIツールを利用することである。万一、AIツールが原因でトラブルが発生しても、組織がAIツール活用を把握していないため、対応の遅れや被害の拡大が発生しやすい。

▼シャドーAIの例

・AIチャットボットの無断利用
・機械学習モデルで社内データを無断分析
・MA（Marketing Automation）ツールの無断利用
・BI（Business intelligence）ツールの無断利用

シャドーAIと似た言葉に「シャドーIT」がある。これは、組織の了承なしに個人のITツールやクラウドサービスを自社業務に利用することである。一方、シャドーAIはAIツールの利用に絞った概念であり、AIが不正確な情報を出力すること（ハルシネーション）など、AIならではのリスクが存在する。

ここでは、シャドーAIの発生要因について以下の3点を解説する。

AIガバナンスの整理が不十分

急速に普及しているAIツールに対し、利用ポリシーやセキュリティ基準の策定など、企業の対応体制が追いついていない。そのため、従業員の独断でAIツールが利用されてしまうことも多く、シャドーAIが発生する要因となっている。特に、ITに関する専任担当者を確保しづらい中小企業ではその傾向が顕著である。

従業員の認識が不足

いまや多くのAIツールがリリースされており、個人利用と同じ感覚で業務に活用する従業員も少なくない。しかし、中には入力データをモデル学習に活用するAIツールもあり、その結果、顧客情報や社内資料などの機密情報が流出する可能性も否定できない。このように、従業員の認識不足もシャドーAIの要因である。

無料AIツールの普及

高性能なAIツールが無料で使えることも、シャドーAIを引き起こす要因である。無料で簡単に便利なAIツールを使えるため、企業が方針を示す前に従業員が個人アカウントでAIを使い始め、いつの間にかシャドーAIが進んでいるケースが存在する。

ここではシャドーAIがもたらすリスクについて、以下の2点を解説する。

セキュリティインシデント

例えば、入力データをサービス改善や学習に活用しているAIツールに顧客情報や社内の機密資料を入力した場合、情報漏洩につながりかねない。その結果、個人情報保護法などの法律に抵触してコンプライアンス違反となり、企業の信頼が低下することもありえる。

また、AIツールのセキュリティが不十分であれば、AIツール経由で不正アクセスや認証情報の不正取得などが発生する可能性があるため、セキュリティリスクをもたらしかねない。

業務品質の低下

AIツールはハルシネーションを引き起こす。それを理解せずに、AIツールから出力される内容を信じ切って業務を進めた結果、かえって業務効率が低下することもありえる。場合によっては、データ分析の仕方が的確でなかったために顧客対応や経営判断でミスを起こすであろう。

また、シャドーAIがあると、企業が把握していないツールが業務で利用されることとなり、トラブル発生時の原因調査や初動対応に余計な手間がかかることも考えられる。

ここでは、シャドーAIへの対策について、以下の4点を解説する。

AIポリシーの策定・運用

まずは、AI利用ポリシーの策定が欠かせない。

▼AI利用ポリシーで策定すべき内容の一例
・利用可能なAIツール
・AIツールでの禁止事項
・承認プロセス
・AIツールで利用可能なデータ入力
・AIを活用できる業務範囲
・トラブル発生時の報告体制

また、ポリシー制定後にはeラーニングや勉強会を通じて周知徹底することや、AIの進化や運用状況を踏まえて定期的に見直していくことも重要である。

機密情報のアップロード制限

機密情報の入力やファイルのアップロードを制限することも、シャドーAI対策には欠かせない。これにより、情報漏洩のリスクを軽減できる。情報漏洩やデータの紛失を防ぐシステムのDLPなどのセキュリティ技術を活用して、社外のAIサービスに機密データが送信されていることを検知・遮断する仕組みが有効である。また、社内ゲートウェイでAIツールに入力する前に機密情報だけをマスキングすることも情報漏洩のリスクを減らすことにつながる。

従業員教育の徹底

前述のとおりAIポリシーの制定や周知徹底は必須であるが、さらに強固なシャドーAIへの対策を講じるためには、従業員へのAIリテラシー教育も重要である。AIの具体的なリスクや実際の被害事例などを十分に教育することで、リスクを自分事としてとらえやすくなる。また、ファクトチェックの方法やプロンプトの書き方など、実践的な内容を盛り込むことで安全かつ便利にAIツールを使いこなせるであろう。

AIツールの選定・管理

企業が安全性の高いAIツールを採用することも有効である。

▼AIツールの選定ポイント（一例）
・入力データを再学習に使わないように設定できるか
・保存場所を指定できるか
・管理者がデータを削除できるか
・自社のID基盤と連携できるか
・監査ログを取得できるか
・利用状況を可視化できるか
・監査機能を備えているか

このように、安全性が高いAIツールを全社で導入し、それを十分に管理することで、従業員が会社指定のAIツールに不満を持つ場面が減る。その結果、シャドーAIのリスクを軽減できる。

シャドーAIとは、組織の了承なしに、従業員が無断で業務にAIツールを利用することである。AIガバナンスの未整理や従業員の認識不足などが原因で発生する。

シャドーAIは、セキュリティインシデントや業務品質の低下など大きなリスクを引き起こす原因になりかねない。そのため、AIポリシーの策定・運用や従業員教育など十分な対策を講じることが必須である。

自社のクライアントには、シャドーAIへの対策として、AI教育やセキュリティ性の高いAIツールを提案してみるのもよいだろう。