角川アスキー総合研究所調査：生成AIの『シャドーAI』実態把握から考えるガバナンス体制の確認点

解説

生成AIの活用が進む中で、「公式な許可を得ていないAIツール」を業務で利用するケースが増えているという実態が明らかになりました。

特に、ルールやガイドラインの整備を進める管理職層において、この「シャドーAI」の実態と、正式な規則との間にギャップがあることが示されています。

ポイント

• , 国内企業は生成AIへの投資拡大が進んでいる一方、その効果測定や定量的把握に苦慮する企業が多い。
• 全社的なガイドライン整備が進む中でも、「シャドーAI」（未許可の外部AIツールの業務利用）が広く行われており、ルールと現場の実態にギャップが存在する。
• 組織として継続的なガバナンス維持のためには、規則を定めた後も、変化に合わせて運用し続けるプロセス管理が求められる。

情シスへの影響

【リスク認知の向上】

全社的にガイドラインやルール整備が進む中で、「公式ではないAIツール」を業務で利用する従業員（シャドーAI）が増加しているという現状認識は、情シス部門にとって極めて重要な課題です。

【管理対象範囲の見直し】

これまで「正規の業務プロセス内で使用されるべきIT資産」として統制してきた領域が、利用者に密かに横展開されている可能性を示唆します。これにより、エンドポイントでのAIアクセス制御、データ流出経路の監視、利用可能な外部ツールの許可リスト（ホワイトリスト）の厳格化といった対策を再検討する必要があります。

【ガバナンスと教育】

単に技術的なセキュリティ設定だけでなく、従業員への「何を」「どのように」使えるかというルールや意識付け（利用規程・ポリシー策定）の側面が重要になっています。これに伴い、EDR/DLPなどのツールの監視対象範囲をAIツール連携にまで広げる検討が必要になる場合があります。

影響範囲

全社的な情報セキュリティおよびコンプライアンス管理領域（特にエンドポイントデバイスやクラウド利用時）。影響を受ける具体的な製品バージョンはありませんが、全ての従業員アカウントを持つユーザーと、企業のデータガバナンスポリシー全体に関わる可能性があります。

重要度

★★★★☆

対象者

• セキュリティ担当者
• M365管理者

優先度

早めに対応

優先度の理由

記事内容は特定脆弱性への対処ではなく、組織の「利用実態」と「ルール上のギャップ」に関する指摘です。悪用が確認されたというわけではありませんが、「シャドーAI」という形で情報漏洩リスクが高い行動が現場で広範囲に起きているため、早急に具体的なポリシー策定や従業員教育、技術的な制御（DLP/アクセス管理）の検討を始めるべきです。ただし、対応の詳細は自社の状況を確認した上で行う必要があります。

確認手順

• 社内でのAIツール利用に関するガイドライン・ルールが最新化されているか、再確認する。
• MDM/EDRやDLPソリューションを利用し、エンドポイントから外部の非承認URL（特に生成AIサービス）へのアクセスログを監視し、利用実態を確認する。
• クラウド認証情報管理システム（ID管理）において、業務目的外のアカウント作成・利用に関する監視設定が適切かチェックする。
• 全従業員向けに「公式な場でのみ利用すべきデータ」と「外部AIツールに渡してはならない情報」についての教育計画を策定し、周知徹底を行う。