シャドーAI対策は「禁止」より「何ならいいか」を決める|現場で守られるルールの作り方

「使うな」だけでは、止まらない

生成AIのルールとして、「業務でのAIの利用は禁止」とだけ決めている組織があります。しかし、現場では、個人のスマホやパソコンで、AIを使い続けている人が少なくありません。

なぜなら、AIは、使えば明らかに便利だからです。メールの下書き、文章の要約、資料の構成案。便利さを知った人にとって、「禁止」の一言だけでは、使うのをやめる理由になりません。

その結果、起きるのがシャドーAI、つまり、会社が把握していないAIの利用です。業務の文章を、そのまま個人のAIチャットに貼り、自覚のないまま、情報を社外に渡してしまう。このケースを、実際に多く見てきました。シャドーAIの意味は、シャドーAIとはで解説しています。

問題は、「何ならいいか」が決まっていないこと

AIガバナンスの相談を受けていて感じるのは、「使うな」というルールはあっても、「何ならいいか」が決まっていない組織が多いということです。

使っていい場面も、入力していい情報も、迷った時に誰に聞けばいいかも分からない。そうなると、現場は、自分の判断で使うか、隠れて使うか、どちらかになります。

ですから、最初に取り組むべきなのは、細かい規程を作ることではなく、次の2つの線引きです。

1. 入力してはいけない情報は、何か
2. AIの回答を、そのまま使ってはいけない業務は、何か

この2つが決まれば、現場は動き出せます。AIガバナンスとはの考え方も、同じです。

対策の4ステップ

ステップ① 責めずに、実態を聞く

まず、今、どんなAIを、どんな場面で使っているかを、聞き取ります。ここで大切なのは、責めないことです。「使っている人を、見つけて罰する」姿勢だと、本当のことを話してくれなくなります。

聞くことは、次の3つで十分です。

• どのAIサービスを使っているか
• どんな業務で、どんな内容を入力しているか
• 使ってみて、便利だったこと・困ったこと

実態が分かれば、「どこに、リスクがあるか」と「何が、現場のニーズか」の、両方が見えてきます。

ステップ② 入力の線引きを、3区分で決める

次の3つに分けて、具体的に決めます。

具体例を添えると、現場が、判断しやすくなります。この3区分を、そのまま使える形にしたものが、生成AI利用ルールのひな形です。

ステップ③ 使ってよい道具と、相談窓口を用意する

「禁止」だけでなく、代わりに使える道具を示すことが、守られるルールにするための鍵です。

• 組織として使ってよいAIサービスを、決める(法人向けの契約など)
• 迷った時の相談窓口(担当者・連絡先)を、明確にする
• 新しいサービスを使いたい時の、申請の手順を決める

「使いたいのに、使える道具がない」状況が、シャドーAIを生みます。使える道具があり、相談しやすければ、隠れて使う理由が減ります。

ステップ④ 誤入力した時の手順と、見直しの時期を決める

どんなに気をつけても、間違って入力してしまうことはあります。その時に、隠さず、すぐ報告できる手順を、用意しておきます。

• 入力した内容と日時を、記録する
• すぐに、担当者へ報告する(自分で判断して、隠さない)
• サービス側の履歴の削除や、設定を確認する

また、AIサービスの機能や規約は、頻繁に変わります。半年に1回程度(目安)、ルールを見直す時期も、決めておきます。

シャドーAIが起きやすい場面

実際に、情報が出やすいのは、次のような場面です。自分の職場に当てはまるものがないか、確認してみてください。

どれも、悪意があるわけではなく、便利に使おうとした結果です。だからこそ、禁止するだけでなく、安全な使い方を示すことが、効果を持ちます。

ルールを、現場に定着させる工夫

ルールは、作っただけでは守られません。定着させるための工夫も、あわせて考えます。

• 1枚にまとめる:長い規程より、「入力禁止」「条件付き」「入力可」を、1枚で見られるほうが、読まれます
• 具体例で伝える:「個人情報は禁止」だけでなく、「Aさんの電話番号が入った文章は、貼らない」と書く
• 失敗事例を共有する:責める目的ではなく、「こうなりやすい」という学びとして共有する
• 相談しやすくする:「聞いたら怒られる」と思われると、隠れて使われる
• 定期的に見直す:AIの機能や規約は変わるため、半年に1回程度(目安)見直す

個人でできること

組織のルールを待たずに、個人でできる対策もあります。

• AIに貼る前に、氏名・社名・連絡先・金額を、仮名や記号に置き換える
• 貼る前の確認には、AIに貼る前チェックを使う
• 迷った時は、貼らない
• 業務の文書を、個人のアカウントに貼らない

管理職・経営層の役割

現場だけに任せず、管理職や経営層が担う役割もあります。

• 方針を、はっきり示す:「使っていい」「ここまでは駄目」を、トップが明言する
• 相談しやすい空気を作る:「聞いたら怒られる」状況を、作らない
• 使える道具に、予算をつける:「禁止するが、代わりは用意しない」状態を、避ける
• 自分も、ルールを守る:上の立場の人が、率先して守ることで、現場に浸透します

ルールを決めるだけでなく、守られる環境を作るところまでが、対策です。

まとめ

• 「使うな」だけでは、便利なAIは、見えないところで使われ続ける
• 必要なのは、「何ならいいか」の線引き。入力禁止・条件付き・入力可の3区分で決める
• 最初は、責めずに、実態を聞く
• 使ってよい道具と、相談窓口を用意すると、守られやすくなる
• 誤入力した時に、隠さず報告できる手順を決めておく

IT部門の把握外で使われるツールという点では、シャドーITとはも、同じ構造です。自組織のルールづくりの相談は、ご相談メニューから承っています。