社員はもう、こっそり使っています — シャドーAIとの向き合い方

会社がAI導入を悩んでいる間に、 社員たちはもう、それぞれのAIを使っています。

ポリシーより先を行く現実

AI利用ポリシーを作るの回で、私たちは「何を許可し、何を禁止するか」を定める方法をお話ししました。ところが多くの会社では、順序が逆になっています。ポリシーができる前に、利用がすでに広がっているのです。

これを**シャドーAI（shadow AI）**と呼びます。会社の承認や管理なしに、社員が個人アカウントでAIツールを使う現象です。

これは例外ではなく、デフォルトです

ある調査によると、組織の**98%で非承認のAI利用が確認され、社員の最大65%**が会社のIT部門を通さずにAIツールを使っていました。一方、明確なAIガバナンスポリシーを備えた組織は37%にとどまりました。

つまり、ほとんどの会社で起きていることはこうです。社員は使い、会社は知らない。

なぜ禁止しても止まらないのか

経営陣の最初の反応はたいてい「では禁止しよう」です。ところが禁止は、ほぼ必ず失敗します。

理由は単純です。AIツールはあまりに便利で、あまりに簡単にアクセスできます。ブラウザを開けばよいのです。禁止すると利用が消えるのではなく、**見えない場所へ隠れます。**リスクはそのままなのに、会社はそれを管理する窓口さえ失います。

私たちが助言したある中堅サービス会社は、社内通知で外部AIの利用を全面禁止しました。3か月後に確認すると、社員たちは会社のノートPCの代わりに個人のスマートフォンで同じことをしていました。変わったのは、会社が何も見えなくなったことだけでした。

本当のリスクは「漏洩」です

シャドーAIのリスクは抽象的ではありません。最もよくある事故は機微情報の漏洩です。

社員が焦って、顧客名簿を、契約書の草案を、社内の財務資料を、個人のAIツールにそのまま貼り付けます。その瞬間、情報は会社の管理の外へ出ます。ある報告書によれば、こうしてシャドーAIが絡んだ漏洩事故は、**平均被害額が約463万ドル（約6億円）**に達しました。

セキュリティと個人情報の回の原則が、ここでもそのまま当てはまります。問題は技術ではなく、何を入れてはいけないかを誰も伝えなかったことにあります。

禁止ではなく、安全な道を敷く

解決策は統制ではなく、代替と案内です。三つで十分です。

1. 承認済みのツールを先に握らせる 使えるだけの公式ツールがあれば、社員はわざわざ個人ツールへ隠れません。「使うな」より「これを使え」のほうがずっと強力です。

2. 越えてはならない線を明確に 「顧客の個人情報、契約情報、未公開の財務資料は、どんなAIにも入れない。」この程度のレッドラインを数本、長く複雑な規則の代わりに、短く覚えやすく定めます。

3. 禁止ではなく教育で なぜ危険かを一度説明された社員は、規則100行よりよく守ります。教育とオンボーディングの回のアプローチが、そのまま使えます。

まずは、隠れているものを表に出すこと

シャドーAIをなくすことはできません。しかし、日の当たる場所へ引き出すことはできます。

社員がAIを使っている事実を隠さなくてよい会社。どのツールをどこまで使ってよいかを尋ねる窓口がある会社。そんな会社では、シャドーAIはただのAI活用になります。

塞ごうとするほど暗くなり、開くほど明るくなります。これは統制の問題ではなく、信頼の問題です。