シャドーAIとは？社員の「隠れAI利用」に禁止より先に会社がすべきこと

会社が導入していないAIサービスを、社員が個人の判断で業務に使っている。こうした状態は「シャドーAI」と呼ばれます。社員本人は、仕事を早く進めたいという前向きな理由で使っていることもあるでしょう。

一方で、会社が把握していないところで社内の情報がAIに入力されると、情報管理の面で問題が起きるおそれがあります。だからといって一律に禁止すると、利用が見えにくくなるだけかもしれません。この記事では、シャドーAIが生まれる理由と放置したときの影響、会社としての向き合い方を順に説明します。

シャドーAIとは何か

シャドーAIとは、会社の承認や管理を受けずに、社員が業務でAIを使うことを指します。個人で契約したAIサービスや、無料で使えるサービスに業務の文章を入力するのが典型的な例です。会社が認めていないアプリやブラウザの拡張機能に、AIの機能が含まれている場合もあります。

もともと、会社が把握していないITツールの利用は「シャドーIT」と呼ばれてきました。シャドーAIはその一種ですが、入力した文章がそのまま外部のサービスに送られる点に特徴があります。何気なく貼り付けた文章に、顧客の情報や社内の数値が含まれていることもあるため、注意が必要です。

なぜ隠れて使われるのか

シャドーAIは、社員が会社に隠そうとして始まるとは限りません。目の前の仕事を早く片付けたいという理由から始まることもあります。会社が使ってよいAIを用意していない場合や、ルールがはっきりしない場合に起こりやすいと考えられます。

たとえば、使ってよいかを聞く相手が分からない、申請の手続きに時間がかかるといった状況です。会社の用意したツールが使いにくい場合も、社員が慣れた個人のサービスを使い続ける理由になります。こうした背景を考えると、社員を責めるだけでは問題は解決しないでしょう。

放置した場合に起こりうること

シャドーAIを放置すると、いくつかの問題が起こりえます。まず心配されるのが情報の漏えいです。サービスによっては、入力した内容をAIの学習に使う場合があります。利用規約やデータの取り扱いの条件は、サービスや契約の種類によって異なります。

顧客の個人情報や取引先から預かった資料を入力した場合は、法令や契約に反するおそれも否定できません。具体的な扱いは状況によって変わるため、最新の情報は公的機関や専門家に確認してください。

情報の問題だけではありません。AIが作った文章には誤りが含まれることがあり、確認しないまま社外に出ると信用に関わります。誰がどの業務でAIを使ったか分からないため、問題が起きたときに原因を調べにくい点も課題です。費用の面でも、個人や部署ごとの契約が増えると、会社全体でいくら使っているかが見えなくなります。

まず実態を把握する

対策を考える前に、社内でAIがどのように使われているかを把握しましょう。無記名のアンケートで、使っているサービスと用途、困っていることを聞く方法があります。責めないことを最初に伝えておけば、正直な回答を集めやすいでしょう。

アンケートの結果からは、社員がAIに何を期待しているかも見えてきます。議事録の作成や文章の言い換えなど、多くの人が使っている用途は、会社として正式に支援する価値がある業務です。反対に、個人情報を扱う業務で使われている場合は、早めにルールを示す必要があります。

情報システムの担当者がいる会社では、ネットワークの記録から利用状況を確認する方法も考えられます。ただし、記録の確認は社員への説明とセットで行うことが大切です。監視だけを強めると、社員との信頼関係を損ねるおそれがあります。

使ってよい環境とルールを用意する

シャドーAIへの対策として効果が期待できるのは、会社が認めたAIの環境を用意することです。社員が安心して使える選択肢があれば、個人のサービスを使う理由は減ります。社員全員がブラウザから使えるAIワークスペースのような環境を用意し、利用者や費用を会社として管理するのも一つの方法です。詳しくは社員全員が使えるAIワークスペースとはで説明しています。

環境と合わせて、利用のルールも決めます。ルールに入れたい主な項目を表にまとめました。

ルールは、長く細かいものより、社員が覚えられる短いものから始めるとよいでしょう。新しいサービスを使いたい社員が申請しやすい仕組みも用意しておきます。ルールづくりの進め方はAI利用ルールの作り方で詳しく扱っています。

ルールを決めたら、社員への説明の場を設けることも大切です。なぜそのルールが必要なのかを伝えると、社員が自分で判断しやすくなります。すでに個人のサービスで作った資料がある場合の扱いも、あわせて示しておくと混乱を防げるはずです。

文章作成の利用を正式な環境へ移す例

架空の営業部で、社員がメールを整えるために個人契約のAIを使っていると分かったとします。最初に確認するのは、サービス名、利用する業務、入力している情報の種類です。顧客のメール本文を調査用の表へそのまま貼ってもらう必要はありません。

たとえば「顧客名を除いて文面だけを整える」「打ち合わせ記録を要約する」「見積もり条件を比較する」では、必要な管理が異なります。使ったかどうかの二択だけでは、会社が何を用意すればよいか分かりません。

調査の前には、回答を何に使い、誰が見るかを説明します。利用状況の把握と、問題が起きた際の個別調査は目的が異なります。曖昧な説明のまま詳細情報を集めると、社員が回答を避け、実態をつかみにくくなります。

代替環境を示して移行する手順

会社が認める環境を決めたら、まず従来の作業ができるかを利用者と確認します。文章を短くする程度の用途なら、簡単な指示のひな形があれば移行しやすくなります。特定のファイル形式に対応できない場合は、その不足を把握したうえで利用方法を決めます。

次に、利用申請、入力可能な情報、問い合わせ先を一か所へまとめます。「不明な場合は使わない」とだけ書くより、誰へ相談するといつ判断してもらえるかを示すほうが、正式な手続きで相談しやすくなります。

最後に、個人契約に残る業務上のデータや共有リンクをどう扱うかを確認します。必要な業務成果物を会社の保存先へ移し、アカウントや履歴の整理は管理担当者の判断と各サービスの手順に沿って進めます。調査が必要な事案では、記録を確認する前に一律削除しないようにします。

誤って情報を入力したと申告された場合

まず同じ情報の追加送信を止め、入力した情報の種類、使用したサービス、日時、共有設定を窓口へ連絡してもらいます。秘密情報の本文を社内チャットで広く再送する必要はありません。調査に必要な範囲で、管理担当者が確認します。

外部サービス側でどのように保存・利用されるかは、契約と設定によって異なります。報告だけで漏えいした、あるいは問題がないと断定せず、条件と操作履歴を確かめます。その後の対応は、会社の情報管理の手順に沿って担当者が判断します。

社員には、迷った段階で連絡してよいことを知らせます。報告が遅れると、使った環境や送信範囲の確認も難しくなります。相談を受け付ける仕組みは、利用ルールと同時に整えておきましょう。

対策後に確認すること

未承認ツールの利用が減ったかに加え、正式な環境で業務ができているかを確認します。利用申請が長く止まっている、許可された機能が足りないといった状態なら、同じ問題が再び起きる可能性があります。

申請の内容を定期的に見て、よくある用途を標準の利用方法へ追加します。ルールを見直したときは、変更した理由と実際の使い方を一緒に示します。社員が個別に判断する場面を減らし、会社が管理できる範囲で作業を続けられる状態にします。

まとめ

シャドーAIは、社員が会社の管理を受けずに業務でAIを使う状態です。仕事を早く進めたいという理由から生まれることもあるため、禁止するだけでは解決しにくいと考えられます。まずは責めずに実態を把握し、会社が認めたAIの環境とルールを用意しましょう。社員が安心して使える状態をつくることが、情報管理と業務の効率化の両方につながります。

e-Grantsでは、社員がブラウザで使えるAIワークスペースの構築を、権限や費用の管理を含めて支援しています。社内のAI利用を整理したい場合は、AIを使える社内インフラの構築をご覧ください。