生成AIの専門業務への広がりと「シャドーAI」問題、組織でのガバナンス構築が必要な状況

解説

近年、業務における生成AIの活用は急速に進み、情報検索や文章作成といった範囲を超えて利用されています。

特に若年層を中心に、企画立案やコーディングなど専門的な領域でAIへの依存が進んでいる実態が明らかになりました。また、上司や同僚よりもAIの提案を参考にすることが増えている点も注目されます。

その一方で、企業側が把握できていない従業員による独自ツールの利用、「シャドーAI」という新たなリスクも浮上しています。

ポイント

• 生成AI利用の実態調査から、職場でのAIへの依存度（特に若年層）の上昇傾向が判明しました。
• AIは情報検索や文章作成に留まらず、コーディングや企画立案など専門業務に活用され、影響範囲が拡大しています。
• 企業が把握できていない従業員による独自ツールの利用「シャドーAI」問題の深刻化と、ガバナンス構築の必要性が指摘されています。

情シスへの影響

【ID・アクセス管理】【情報セキュリティ】

• 従業員が勝手に導入・利用する外部生成AIツール（シャドーAI）を経由したデータ漏洩リスクや情報流出リスクが高まっています。

• 利用ルールの明確化と、それに伴う不正なリソースアクセスの監視が必要です。

• AD/EntraなどのID管理基盤において、どのサービスへのアクセスが許可され、どのツール利用が禁止されているかといったポリシーの定義が必要になります。

【デバイス・ネットワークセキュリティ】

• 社外生成AIを利用する際のデータ送信先や通信経路を把握し、情報流出防止（DLP）対策の強化が必要です。

• 業務端末から外部サービスへのアクセスをログで監視するか、プロキシ/ファイアウォールレベルでの制御が求められます。

影響範囲

全従業員、業務利用するあらゆる生成AIツール（社内・社外問わず）、企業ネットワークおよびクラウドID基盤（要確認：具体的な制御策は自社のセキュリティポリシーとインフラに依存）。

重要度

★★★★☆

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• ネットワーク管理者

優先度

早めに対応

優先度の理由

シャドーAIによるデータ漏洩リスクは現在進行形の脅威であり、対策の遅れは実害に直結します。利用ルールの策定と技術的な監視・制御（例：DLP導入やプロキシ設定）を速やかに計画し実行に移す必要があります。

確認手順

• 従業員が業務で利用している生成AIツール（社内/社外）のリストアップを実施する。
• 機密情報を含むデータの外部送信経路、特にAIツールへのAPI連携・データ入力フローを確認する。
• プロキシやファイアウォールログから、不審な外部クラウドサービスへのアクセスパターンを抽出して確認する。
• 社員向けに生成AI利用ガイドラインおよびシャドーIT防止策に関する啓発研修計画を策定する。