シャドーAIは「禁止でも放置でもなく」— 使ってよい範囲を設計する

「生成AIは、一応禁止にしています」——そう聞くと安心しそうになりますが、その一文でリスクは本当に消えているのでしょうか。禁止したはずの現場で、誰かが個人のアカウントで使い続けていないか。必要なのは、禁止でも放置でもなく、「使ってよい範囲」を設計することです。

Ajmokhは、企業の生成AIガバナンスとルール設計を、経営と現場の両面から支援します。

「一応禁止」で、リスクは消えていない

ガートナージャパンが2026年6月に発表した調査では、社内のシャドーAI——IT部門が把握・管理していない生成AIの利用——を「把握し、有効な対策を取れている」と答えた企業は24%にとどまりました。残りは「把握できていない」が43%、「把握しているが対策できていない」が30%。合わせて7割超が、実質的に手を打てていないことになります。禁止と書いた紙があることと、リスクが管理されていることは、同じではありません。

禁止も放置も、先送りである

経営が取りがちな対応は、両極に振れます。ひとつは全面禁止、もうひとつは様子見の放置です。けれど禁止は、便利なものを取り上げられた現場に隠れAIを生み、かえって把握を難しくします。放置は、情報漏洩や品質のばらつきをそのままにします。どちらも、経営と現場のギャップを埋めないまま判断を先送りしている点で同じです。ガートナーも、IT部門が土台と線引きを整え、利用部門がその範囲で使う「分業モデル」を提言しています。

ルールを作る前に決める3つのこと

おすすめは、禁止リストから作らないことです。「何を止めるか」ではなく「何をどこまで使わせたいか」から入ります。第一に、どの業務で使わせるか。全社一律ではなく、成果が見えやすい業務を名指しします。第二に、入れてよい情報の線引き。何なら入力してよく、何は絶対に入れないかを、現場が迷わない粒度で示します。第三に、誰が判断し、誰が使うか。IT部門と利用部門の役割を分け、判断の窓口を決めておきます。

この3つが決まれば、ルールは「禁止の一覧」ではなく「使ってよい範囲の地図」になります。最初から完璧な規程を作る必要はありません。まずは一つの業務で「ここまでは使ってよい」を明文化する。その1点から始めるほうが、7割の“実質未対策”から抜け出す近道です。