「シャドーAI」をどう把握する？サイバーセキュリティクラウドがAIガバナンス診断開始

新サービスは、企業内でどのAIがどの業務に使われているかを調査し、ルールや技術的対策とのギャップを評価するものです。結果を基に改善ロードマップを提示するとしています。AI利用を全面禁止するか現場任せにするかの二択ではなく、実際の利用状況を把握して管理することを狙っています。

会社が正式導入した生成AIだけを台帳に載せても、従業員が個人アカウントで使うAIや、既存SaaSに後から追加されたAI機能が残ることがあります。こうした利用は、機密情報の入力、学習利用設定、保存先、アクセス権限などの確認漏れにつながります。まず「誰が何を使うか」を把握することがガバナンスの出発点になります。

社内で確認するなら、①承認済みAIサービス、②個人アカウント利用の有無、③SaaSに追加されたAI機能、④機密・個人情報を入力してよい範囲、の4点から始めると整理しやすくなります。ログ取得、退職・異動時の権限削除、事故時の連絡先まで決めておくと、ルールを文書化するだけで終わりにくくなります。