シャドーAIとは？未許可の生成AI利用を発見・是正する手順
シャドーAIとは、組織が把握・承認していない生成AIやAI機能を、従業員などが業務で利用している状態です。利用者の処分だけで終わらせず、なぜ正規の手段で仕事を完了できなかったかまで確認して再発を防ぎます。
シャドーITのうちAI利用に固有の問題を含む
未承認のクラウドや端末を使うシャドーITに対し、シャドーAIは外部AIサービス、ブラウザー拡張、会議要約、文書作成機能、API、個人アカウントなどのAI利用に焦点を当てた言葉です。会社契約のツールでも、承認されていない機能や用途で使えば管理外になることがあります。
| 例 | 見落としやすい点 |
|---|---|
| 個人アカウントへ顧客メールを貼る | 入力の学習利用、保存、国外移転、削除条件 |
| 会議ボットを無断参加させる | 参加者の認識、録音、外部共有、保持期間 |
| ブラウザー拡張で全文を要約する | 閲覧ページや入力欄が外部送信される範囲 |
| AI生成コードを製品へ組み込む | 脆弱性、ライセンス、レビュー、秘密情報 |
| 承認済みAIを採用判断へ使う | 用途の追加承認、公平性、説明、異議申立て |
サービス名だけでなく用途・データ・権限を見る
無料か有料か、知名度があるかだけでは安全性を判断できません。契約主体、データ処理条件、管理者機能、ログ、権限、用途の影響を組み合わせて確認します。
発見後の5段階
- 必要に応じて停止追加送信や自動処理を止め、業務影響と安全を確保する
- 事実を保全誰が、いつ、何を、どのアカウント・機能で扱ったかを記録する
- 影響を確認入力・出力・共有先・保存・権利・顧客約束を確認する
- 報告・是正情報管理、法務、業務責任者の手順に従い、必要な通知や削除を判断する
- 正規化承認済み手段、代替手順、教育、申請経路を整える
調査前に履歴を消させたり、利用者へ口頭で注意するだけにしたりすると、影響範囲も原因も分からなくなります。事故報告と懲戒判断を同じ担当者の即断にせず、組織のインシデント手順で扱います。
禁止だけではなく仕事の詰まりを解消する
- 安全に使えるサービスと許可用途を一覧にする
- 入力禁止情報と、匿名化・要約して使える条件を例示する
- 新しいAI機能を短期間で審査できる申請窓口を用意する
- 必要な速度・品質を承認済み手段で満たせるか現場と確認する
- 利用ログ、SSO、アプリ連携、費用明細など複数の兆候を監視する
- ヒヤリハットを報告しても不利益を受けない改善経路を作る
利用ルールの下書きは生成AI利用ルールの社内通知文例、全体の責任分担はAIガバナンスで確認できます。
参考情報
最終確認日: 2026年8月27日。利用サービスの契約・データ処理条件と自社の事故対応手順を確認してください。
スポンサーリンク