シャドーAIを摘発するより「安全に使わせる」ーー本当に必要な対応とは？

AIへの期待が深まる一方、企業の利用ルール整備は追い付いていない。特にシャドーAIのリスクは増加しているものの、ルール整備が追い付いていないのが現状だ。システムの管理担当者は今後のAI活用にどのような懸念を持っているのだろうか。

[後藤大地，キーマンズネット]

　フロンティアAIモデル「Claude Mythos」が登場し、一般企業においても高性能なAIへの期待が深まる一方、企業の利用ルール整備は追い付いておらず、シャドーAIの懸念も増加している。

　ISOプロが企業の経営者・役員・情報システム部門従事者、計1023人を対象に実施した調査で、企業の管理担当者が生成AIのガイドラインをどのように把握しているかが示された。

シャドーAI、把握できても利用規制は困難　AI普及で悩む担当者の心情は

　正式導入済みのAIを尋ねた結果、「GPT-4o」や「Gemini 1.5 Pro」などの汎用（はんよう）的な生成AIは69.4％、「Claude Fable 5」クラスなどの超高性能AIは43.1％、「GitHub Copilot」や「tsuzumi」など特定業務・用途に特化したAIは21.5％だった。標準的なAIは約7割の企業へ浸透し、超高性能AIも約4割に達している。AIの用途が定型作業の効率化から、複雑で高度な業務へ広がる状況が示された。

　標準的なAIや特化型AIを導入した回答者に次世代の超高性能AIの導入方針を聞くと、「大きなビジネスチャンスと捉え、導入を検討または予定している」割合は17.3％だった。「関心はあるもののリスク管理への懸念で足踏みしている」とした回答は42.6％、「リスクや脅威を理由に現時点で導入予定がない」とした回答は13.8％となった。「現状のツールで十分」との回答は6.2％、「方針未定または不明」は20.1％だった。活用意欲は存在するが、セキュリティと統制への不安が導入を阻む構図が表れた。

今後のAI導入方針（出典：ISOプロリリース）

　超高性能AIに期待しているメリットは、「定型業務の自動化による効率化」が44.1％、「複雑な業務プロセスの自律的実行」が43.1％、「社内データの高度な分析・将来予測」が39.8％だった。効率化に加え、AIエージェントによる業務遂行や、専門性と付加価値の高い分野での活用にも関心が集まった。

　一方、想定するリスクは、「誤った判断や誤情報の生成」が35.8％、「機密情報・個人情報の漏えい」が34.2％、「自律的な誤動作・制御不能」が30.9％だった。実務上の損害に直結する危険に加え、自律性の高い機能に固有の制御上の懸念も示された。

超高性能AIのメリットとリスク（出典：ISOプロリリース）

リスク想定するもガイドラインは十分とはいえず

　超高性能AIの業務利用を想定したルールについて、「最新AIにも十分対応できるガイドラインを整備している」企業は、23.9％に限られた。「ガイドラインはあるが最新AIには十分対応できていない」が41.9％、「最低限の利用ルールだけを設けている」が18.8％だった。「策定中」は8.2％、「未整備」は7.2％となり、何らかの規則を設ける企業は多いものの、その内容が技術進化に追い付かない課題が浮かんだ。

超高性能AIを想定したルール整備について（出典：ISOプロリリース）

　シャドーAIの発生状況において、「利用を把握・管理し、大きな問題もない」とした企業は25.3％だった。「利用状況を把握しつつ一部で無断利用が発生した企業」は44.5％、「十分に把握できず発生の可能性を抱える企業」は20.6％、「不明」は9.6％だった。「利用状況を把握しつつ一部で無断利用が発生した企業」と「十分に把握できず発生の可能性を抱える企業」を合わせると65.1％に達し、利用状況の把握が無断利用の防止に直結しない管理上の限界が示された。

　従業員が無断で個人のAIを使う理由について考えを尋ねた設問では、「業務効率を上げたい」との回答が40.1％、「最新AIをすぐ使いたい」が32.1％、「社内ルールやガイドラインの不十分さ」が28.9％だった。

シャドーAIについて（出典：ISOプロリリース）

　超高性能AIの普及後も未許可利用を十分または一定程度把握・管理できると思うかを尋ねた設問では、「できる」とした回答は計68.5％だった。ただ、現状で問題なく管理できるとした企業は25.3％にとどまったことから、把握できたとしても無断利用そのものを防ぐことは難しい現状がうかがえる。

超高性能AI普及下で未許可AIを把握・管理できるか（出典：ISOプロリリース）

　今後取り組みたい施策は、「既存ガイドラインの定期的な見直し・厳格化」が46.1％、「社内ルール・利用規定の新規策定と整備」が42.9％、「ISO 42001などAIマネジメントシステムに関する国際規格の認証取得」が33.1％だった。

自社のAIガバナンス体制について（出典：ISOプロリリース）

　調査は、禁止や監視、利用状況の把握だけに頼らず、従業員が安全にAIを使える環境、継続的な規則の更新、システムの制御、国際基準に沿う管理体制を組み合わせる必要性を示している。