シャドーAI(影のAI）と呼ばれるAIの利用が問題となっている事をご存じでしょうか。
実は、このシャドーAIの利用、「情報漏洩に繋がるリスクが高い」いう事で、今、懸念する会社が増えているのです。
では、シャドーAI（shadow AI）とは何か。
シャドーAIという名前からは、何か特別なAI製品群（ソリューション）を想像されるかもしれません。
しかし、それは違います。
シャドーAIとは、問題のある「AI製品の使い方」を表す用語なのです。
また、基本的にはビジネス上でのAI利用に関する用語です。
出来る限り簡単に説明すると、シャドーAIとは、「本来は企業が適切に用意したAIソリューションを使わなければならないところを、個人が勝手に用意して使ってしまっているAIソリューション」の事なのです。
では、なぜ、シャドーAIは不味いのでしょうか。また、どんなリスクがあるのでしょうか。
実は、特別な設定をしていない生成AIでは、ユーザーが入力したデータはAIの学習に利用されてしまう事があります。
そして、その学習したデータをAIは第三者に提示してしまう事があります。
すなわち、AIによって情報漏洩が引き起こされてしまう危険性があるのです。
もちろん、企業が自社の従業員向けに用意しているAIでは、そのような事は起きないような対策がとられています（適切な設定が行われている場合）。
ですから、従業員が業務に関連してAIを利用する場合には、会社が用意しているAIを利用するべきなのです（または、最低でも、情報漏洩がないように設定がされているAIを利用すべき）。
しかし、現実には、多くの従業員は、自分が作った個人アカウントでAIを使ってしまっています。
そして、その多くでは、情報漏洩を防ぐ為の特殊な設定をしないままに、情報漏洩しては不味い情報を入力してしまっているのです。
では、どのような機密データがAI（シャドーAI）に入力されてしまっているのでしょうか。
セキュリティソリューションを扱うCyberhaven社の調査によると、以下のようなデータが実際にインプットデータとして投入されている、との事です。
・顧客情報（16.3％）
・ソースコード（12.7％）
・研究開発情報（10.8％）
・人事情報（3.9％）
・財務情報（2.3％）
など。
どれも学習したAIが第三者に情報を開示したら、かなり不味い事になりそうなものばかりです。
また、同社によると、2023年3月から2024年3月にかけて、従業員がAIツールに入れる企業データの量は485％と急増しているとの事なのです。
※Cyberhaven社のShadow AIに関するレポートより(The Q2 2024 AI Adoption and Risk Report)。
https://www.cyberhaven.com/blog/shadow-ai-how-employees-are-leading-the-charge-in-ai-adoption-and-putting-company-data-at-risk
しかし、なぜ、従業員はシャドーAIを使ってしまうのでしょうか。
実は、それほど大きな理由がある訳ではなさそうなのです。
現時点で解っている限りだと、従業員がシャドーAIを利用している理由は、
・プライベートでAIを使っているので、深く考えず、同じアカウントで仕事の情報も入力してしまっている。
・会社がAIを導入する前に個人アカウントを作っていたので、それを使い続けている。
など。
もしかすると、今後は、「会社が用意したAIよりも個人的に使っているAIの方が優秀なので、会社が用意したAIは使いたくない」といった理由でのシャドーAI利用が増えるのかもしれませんが、現時点では、そこまでの明確な理由があるケースは少ないようです。
では、このような現状を踏まえ、企業は、このシャドーAIに、どのように対処すべきなのでしょうか。
まずは、規則などでシャドーAIの利用を禁止し、それを従業員に周知すべきでしょう。
もちろん、シャドーAIを使うリスクについての教育も欠かせない事でしょう。
ただし、シャドーAIを使おうとする従業員を止める為には、それだけでは不十分かもしれません。
やはり、シャドーAIの利用に魅力があれば、禁止されていると解っていても、シャドーAIを使おうとする従業員が出てくる可能性はあるからです。
ですから、シャドーAIを従業員に使わせない為には、「個人で使えるAIと最低でも同格、出来れば、より優秀なAIを会社側が用意し、従業員が自由に使えるようにしておく」という事が対策となるでしょう。
また、このシャドーAIの問題が社会問題化する事を防ぐ為には、「AIに不適切な内容を学習させないようにする仕組み」や「不適切な内容をAIが外部に漏らさないようにする仕組み」などの整備も必要になるでしょう。
現在では難しいとされている、「AIが学習してしまった内容を消去させる為の仕組み」の整備も求められるように思います。
これらの仕組みが整備されれば、従業員の故意によるシャドーAI利用への対応はもちろん、ミスによって、「入力すべきでない情報をAIに入力してしまった」といった事故への対応も可能となる事でしょう。
AIは便利なツールですが、これまで必要なかった対応が必要になる事も、また、確かですね。
