会社で個人AIを使っていませんか？「シャドーAI」の意味と確認したいこと

会議資料を少し要約したい。メールの文章を整えたい。そんなとき、普段使っている個人アカウントの生成AIを開きたくなることはありませんか？

便利な使い方に見えても、そのAIが会社で許可されていなければ「シャドーAI」に当たる可能性があります。大切なのは、AIを怖がることではなく、仕事で使ってよい入口を確認することです。

シャドーAIとは？

シャドーAIとは、従業員が会社や組織の承認を得ていないAIサービスを業務で使うことです。

たとえば、次のような場面が考えられます。

IPAも、従業員が未承認のAIを業務で使う「シャドーAI」について、情報漏えいなどのリスクがあると説明しています。IPA「セキュリティ担当者のための生成AIセキュリティ」

サービスが有名であることと、会社が業務利用を認めていることは別です。

生成AIへ入力した情報の保存期間、学習への利用、管理方法などは、サービスだけでなく契約プランや設定によっても変わります。そのため、「有名だから大丈夫」「少し要約するだけだから問題ない」とは一律に判断できません。

個人情報保護委員会も、生成AIへ個人情報を入力する場合には、利用目的の範囲内であるかを確認することや、入力した個人データが機械学習に利用されないことなどを十分に確認するよう注意を促しています。個人情報保護委員会「生成AIサービスの利用に関する注意喚起」

シャドーAIは、「便利そうな私物の道具を、会社へ申請せず持ち込んで使う状態」に例えると分かりやすくなります。

道具自体が悪いとは限りません。しかし、会社側がその存在を把握していなければ、何に使われ、どの情報を扱っているのかを管理できません。

AIでも同じです。問題はAIを使ったことだけではなく、会社が認めていない場所へ、管理すべき情報を入力してしまうことにあります。

個人のAIへ会社資料を貼り付ける前に、まず次の2点を確認しましょう。

指定外のAIだった場合は、すぐに入力せず、社内のAI利用ルールや情報セキュリティ規程を確認します。判断に迷う場合は、上司や情報システム、セキュリティ担当者へ相談するのが安全です。

なお、顧客情報が含まれていなくても、未公開の業務情報や営業秘密など、社外サービスへ入力してはいけない情報が含まれる可能性があります。実際の判断では、勤務先のルールを最優先にしてください。

シャドーAI対策というと、「仕事でAIを使ってはいけない」と感じるかもしれません。しかし、目的は便利なAIを一律に遠ざけることではありません。

会社が認めた環境とルールの中で使えば、文章の下書き、要約、アイデア整理などにAIを活用できる場合があります。

確認するべきなのは、「AIを使うか、使わないか」だけではありません。「どのAIに、どの情報まで入力してよいか」を把握することが重要です。

シャドーAIとは、会社が把握・承認していないAIを業務で使うことです。

仕事の資料をAIへ入力する前に、まず次の2点を確認しましょう。

指定外だったり、入力してよい情報か分からなかったりする場合は、その場で止めて社内ルールを確認します。

AIを安全に活用する第一歩は、難しい設定を覚えることではありません。まず「このAIは会社で使ってよいものか」と確認することから始めてみてください。