「シャドーAI」7割超の企業が対策追い付かず　“会社が選んだAIだけ利用”はもう限界？　ガートナー

　会社が認めていないAIツール・サービスを従業員が業務で使う「シャドーAI」について、日本企業の73％が対策できていない――調査会社の米Gartnerは6月18日、このような調査結果を発表した。「IT部門が選定したAIのみ利用を認める」という従来の方針を見直す必要があるとして、今後の対応を提言した。

　Gartnerによると、43％の企業が「シャドーAIを把握できていない」、30％の企業が「把握しているが、有効な対策を取れていない」と答えた。「把握し、有効な対策を取れている」と回答した企業は24％にとどまったという。

　一方、IT部門が選定した以外のAIツール・サービスを従業員が利用することに対しては、「自由に認めている」企業が8％、「審査の上、問題なければ認めている」企業は67％を占めたとしている。

業務で使うAI、どう管理？　ガートナーの提言

　この調査結果に対し、Gartnerの林宏典氏（ディレクター アナリスト）は「企業は従来の『IT部門が選定したAIのみ利用を認める』方針を見直す段階に来ている」と指摘する。

　「AIツールの選択肢が急速に広がる中、ユーザー部門の活用意欲に水を差すことなく、かつ全てのツールをIT部門だけで完全管理することは困難なため、非現実的な『完全な管理』から『責任ある活用』への移行が必要だ」（林氏）

　シャドーAIには、機密情報・個人情報の流出やセキュリティ上の脆弱（ぜいじゃく）性の増大などのリスクが伴う。そこでGartnerが推奨するのが、IT部門とAIを利用する部門で役割と責任を分担する「分業モデル」だ。

　AIツール・サービスを「全社標準としてIT部門が一貫管理するAI」「部門ごとに必要性に応じて審査・運用するAI」「研修やテストにより認定されたユーザーのみ認める個人利用のAI」に整理する。実態に応じた運用ルールを設け、「（AIの）採用時の審査・許可」「利用中のモニタリング」「定期的な棚卸し」の3ステップで実行する必要があるとした。

　ただし、個人利用のAIについては「リテラシーとリスク感覚に優れるユーザーが多い企業のみ、慎重に導入すべき」と補足している。

　今回の調査は、Gartnerが2月に同社のエンドユーザーに対して実施した。シャドーAIに関する質問は414社に、IT部門が選定した以外のAIツール・サービスの利用状況に関する質問は449社に聞いた。

関連記事

• 

  データセンター建設に足りないのは「発電」ではなく「送電」　AI需要で電力消費26％増、Gartner予想

• 

  「AIエージェント」と「エージェント型AI」、何が違う？　調査会社・ガートナーの見解は

• 

  28年までに生成AIアプリの4分の1にセキュリティ事故、MCP普及でリスク拡大――Gartner予測

• 

  「AIの出力をそのまま使う」「エージェントが勝手に動く」と何がマズいのか？　陥りがちな7つのリスク

• 

  OpenAI、日本政府と一部企業にセキュリティ特化AI「GPT-5.5-Cyber」提供へ