シャドーAIとは——会社が把握していないAI利用が生まれる理由
会社が把握していないところで、社員が個人の判断でAIを使っている状態。禁止を強めるほど見えにくくなり、契約条件の確認も効かなくなります。
会社としてはAIを禁止している。それでも、現場では使われている——この状態を、シャドーAIと呼びます。
かつて、会社が把握しないクラウドサービスが業務に入り込んだのと同じ構図です。違うのは、入り口がブラウザ一つで済むぶん、広がりが速いことです。
禁止すると、見えなくなる
多くの会社は、情報の扱いが分からないうちは全面禁止という判断をします。慎重な判断であって、それ自体はおかしくありません。
ただ、この状態を長く置くと、次のことが起きます。
仕事が速くなる道具を、人は結局使います。会社の端末で使えなければ、個人のスマートフォンで使います。会社が契約していないサービスなので、入力データの扱いも確認されていません。何を入力したかの記録も残りません。
禁止しているから安全ではなく、禁止しているから見えないという状態です。禁止する前より、把握できる情報は減っています。
子育ての現場でいうと
取り上げたゲーム機ほど、隠れてやられます。
布団の中で、こちらが寝たあとに。時間も分からず、何をやっているかも分かりません。取り上げたことで、把握できない時間が生まれたという状態です。
うちで効いたのは、居間に置いて時間を決めることでした。目の届く場所でやるなら、様子が見える。長くなれば声をかけられる。何をやっているかも分かります。
AIも同じで、会社が用意しないと個人の端末で使われます。契約条件も確認されず、何を入力したかの記録も残らない。禁止は、危険を消すのではなく見えなくします。
まず使える一つを出して、目の届く場所に置く。線を引くのは、その次です。
どこに現れるか
現場で聞いていると、だいたいこのあたりから始まります。
- メールの返信文を、個人の端末で下書きしてから会社の端末で打ち直す
- 提案書のたたき台を作るために、過去の資料を貼りつける
- 議事録の録音を、個人契約の書き起こしサービスに上げる
- プログラムのエラーを解決するために、社内のコードを貼る
- 翻訳のために、契約書の一部を入れる
どれも、悪意はありません。むしろ、仕事を速く終わらせようとする姿勢から出ています。ここを処分の対象として扱うと、次からは隠れるだけで、行動そのものは変わりません。
責めずに、表に出す
現実的な進め方は、この順です。
① 使っている前提で聞く。「使っている人はいますか」ではなく「何に使えると助かりますか」。犯人探しの形にすると、答えは返りません。用途が集まれば、公式に用意すべき環境も見えてきます。
② 使える環境を先に出す。ルールだけ配って環境を出さないと、状況は変わりません。会社として契約したサービスを、まず一つ用意します。速く安全な道が用意されれば、わざわざ遠回りする理由が消えます。
③ 線を書く。入れてよい情報、入れない情報、迷ったときの窓口。ここは社内AI利用ルールの話になります。
④ 出てきたものを責めない。表に出したほうが得だ、という扱いを最初に作れるかどうかで、その後の把握しやすさが変わります。
「使わせない」が守っていないもの
禁止の期間が長引くと、もう一つ静かに進むことがあります。
社内に経験が溜まりません。どの業務に効くのか、どこで外すのか、何を渡せば精度が上がるのか。使っている会社は、この判断ができる人が育っています。禁止している会社では、解禁した日から手探りが始まります。
情報を守ることと、判断できる人を育てること。両方を同時に進める形が、全面禁止でも全面自由でもない置き方です。使ってよい範囲を狭く始めて、確認しながら広げる。この進め方なら、どちらも取れます。
顧問先によく聞かれること
- 実際に使われているか、どう確かめますか。
- 犯人探しにすると出てきません。「使っている人がいる前提で、何に使えると助かるか」を聞く形にしてください。責める形で聞けば、答えは返らず、把握できないまま続きます。
- 見つかったら、どう対応すべきですか。
- 処分から入ると、次から隠れます。まず、その用途が会社として許せる範囲かを見て、許せるなら公式の環境へ移してもらう。許せないなら、代わりにどうするかを一緒に決める。表に出したほうが得だと分かる扱いにしてください。
出典（一次情報）
- 生成AIサービスの利用に関する注意喚起等について（令和5年6月2日） 個人情報保護委員会
解釈を挟まない一次情報だけを挙げています。仕様・条件・制度は改定されるため、 判断に使う際は必ずリンク先の最新版をご確認ください。