シャドーAIとは?会社が許可していないAIを使う問題と、IPAが示す対応方針

「仕事で使いたいAIがあるけれど、会社のルールがよくわからない」。そんなとき、つい個人のアカウントで使ってしまうことはありませんか。

組織が利用を許可していないAIシステムを、従業員が使ってしまうことを「シャドーAI」といいます。IPA(情報処理推進機構)が2026年7月に公表した手引書では、この問題への考え方が整理されています。ここでは、その内容をやさしく紹介します。

シャドーAIとは

禁止事項の例として、「組織が未許可のAIシステムの利用(シャドーAI)」が挙げられています。つまり、会社が認めていないAIサービスを、従業員が業務で使うことです。

シャドーAIの発生は、「多くの場合、悪意ではなく業務上のニーズから生じる」とされています。仕事を早く進めたい、という気持ちから起きることが多い、ということです。

また、「業務に使いたいのに公式な手段がない」状況が大きな要因になると考えられる、とも書かれています。

方法	内容(手引書の説明)
(1)組織公認AIの提供	IT部門が安全性を確認したAIを、全社(または情報漏えいのリスクが高い部署から優先して)提供する。現場のニーズを満たせれば、シャドーAIの動機そのものを減らせる
(2)ルールの明文化と教育	承認したAIの一覧と、それ以外の利用禁止をガイドラインに書いて周知する。新しいAIを使いたいときの審査の流れも整える。審査の観点を先に示すと、申請者が自己評価しやすくなる
(3)技術的な検知・遮断	未許可のAIへの通信を検知・遮断する製品を使う方法。ただし、導入には費用や手間がかかるため、まずは明らかに危険なサービスの遮断から始める「スモールスタート」が現実的とされる

すべてのAIを技術的に完全に遮断するのは難しく、(1)と(2)との組み合わせで対応するのが望ましい、とされています。

会社のネットワークを通らない端末からのAI利用は、技術的に制御することが難しいとされています。最終的には、従業員の意識とルールを守ることに頼る部分が残ります。

そのため、シャドーAI対策は一度整えれば終わりではありません。新しいAIの登場や、使われ方の変化に合わせて、公認AIをより便利にしたり、承認するAIを増やしたり、ルールを見直したりし続けることが求められる、と説明されています。