一般ユーザーへのAIサービス普及に伴い、シャドーITならぬ「シャドーAI」という言葉が聞かれるようになりました。シャドーAIを放置しておくと、思わぬトラブルに発展しかねず、情報システム部門として早急な対応が必要です。今回はシャドーAIが抱えるリスクと対策を解説します。

シャドーAIとは

シャドーAIとは、情報システム部門含む企業側が把握していないもしくは許可をしていないAIサービスを従業員が無断で使用している事象を指します。「シャドーIT」は企業側が認めていないサービスやデバイスを従業員が無断で業務利用する事象を意味しますが、シャドーAIはそのうちAIサービスの無断利用にフォーカスした用語と言えるでしょう。

関連記事：シャドーITはどうして生まれてしまうのか？リスク・対策を知ろう

とある調査では、「約半数の人がシャドーAIをしたことがある（無許可の生成AIを利用したことがある）」という結果も明らかになっています。情報システム部門としては「うちの会社も誰かが無断でAIサービスを使っている」という前提で対応すべきでしょう。

参考：【シャドーAIの実態が明らかに】会社が許可していない生成AIを業務で利用したことがある方は半数以上！業務で利用する際のリスクとは？｜PR TIMES

シャドーAIがはらむ3つのリスク

シャドーAIには様々なリスクがはらんでいます。ここでは代表的な3つのリスクを解説します。

情報漏えい

AIサービスの利用にあたって気を付けたいのが、情報漏えいリスクの増加です。例えば、自社従業員が入力した機密情報や個人情報などが反映されたコンテンツが第三者のユーザーに表示されてしまうかもしれません。実際にサムスン電子ではエンジニアが入力した社内機密のソースコードが流出してしまう事故も発生しました。ちなみに先述した調査では「約1割が機密情報だと分かった上で、生成AIへ情報を入力したことがある」というショッキングな結果も明らかになっています。「約半数の人がシャドーAIをしていた」という同調査の結果と掛け合わせると、20人のうち10人はシャドーAIをしていて、その10人のうち1人はAIサービスに機密情報を入力していてもおかしくないことになります。

著作権の侵害

生成AIが生成したコンテンツを公開・販売などを行う場合に著作権侵害になるかどうかは、人が生成AIを利用せず生み出した場合などと同様に判断されます。したがって、類似性や依拠性によっては生成AIで出力されたコンテンツは著作権侵害に該当してしまいます。

ちなみに企業などの法人が著作権侵害を犯した場合、原則3億円以下の罰金が科されます。加えて、企業のブランド毀損にもつながるため、著作権侵害のリスクは可能な限り抑えなければなりません。最近はAdobe Firefly含め商用利用可能な生成AIツールも出てきています。そうしたツールを利用することで著作権侵害のリスクを抑えることができるでしょう。

トラブル対応が後手に回る

情報システム部門が管理・把握していないAIツールが使われると、トラブル発生時の対応が遅くなってしまうリスクがあります。管理者が異常に気付くまでに時間を要したり、利用実態の把握に時間がかかってしまう恐れがあるためです。トラブル対応が遅くなってしまうと、被害の拡大を招きかねません。

シャドーAI対策3選

シャドーAIに対して有効な3つの対策を紹介します。

社内ガイドラインの策定

「何をしてはいけないのか（何はして良いのか）」を明確に示すため、AIサービス利用に関する社内ガイドラインを策定しましょう。ガイドラインではデータ入力時に遵守すべきことや生成物の取り扱い・出力時のルールなどを定めます。なお、策定にあたっては、一般社団法人日本ディープラーニング協会が公開している「生成AIの利用ガイドライン」が参考になるでしょう。

教育や啓発による従業員のAIリテラシー向上

一般ユーザーにもAIが急激に普及し始めたのは、ChatGPTがリリースされた2022年11月以降のこと。その歴史は浅く、まだまだリスクを正確に把握している従業員ばかりではありません。そのため、従業員のAIリテラシー向上を図るための教育や啓発は必須です。「リスクの高いAIサービスを利用すると、どのような事態が起こり得るのか」「どのような情報を入力してはいけないのか」などについて、具体的な事例も交えて説明する場を設けましょう。

社内専用のAIツールを導入する

企業が公式で使用を許可した社内専用のAIツールを導入することで、従業員がリスクの高い外部サービスを利用する機会が少なくなり、シャドーAIを効果的に抑止することができます。例えば三菱UFJフィナンシャル・グループでは、Azure OpenAI Serviceを用いて、MUFG版「ChatGPT」を社内向けに提供しています。同ツールはAzureの基盤上で環境を構築したことにより、入力情報がOpenAI社側の学習に利用されることがありません。そのため、セキュリティ要件が厳しい銀行内でも利用が可能です。同社の例はあくまで一例。セキュアな形で社内専用AIツールを導入している企業・自治体は数多く見受けられます。

参考：ＭＵＦＧ版「ChatGPT」の開発秘話DX化を加速させる新たなオープンイノベーション｜三菱UFJフィナンシャル・グループ

まとめ

シャドーAIとは、企業側が未把握・無許可のAIサービスを従業員が無断利用している事象のこと
シャドーAIには情報漏えいや著作権の侵害、トラブル対応の遅れといったリスクがある
対策として「AIサービス利用に関するガイドライン策定」や「社内専用のAIツールを導入」などが有効

ユーザー数無制限で月4万円！法人向け生成ＡＩ活用 | ナレフルチャット

詳細はこちら：https://hypervoice.jp/knowlefulai