なぜAIの影のリスクは「恐怖」から始まるのか（そして禁止は事態を悪化させる）

ブログ

ニュース

「シャドウAI」は恐怖反応であり、それを禁止すれば事態はさらに悪化する

執筆者

ニコラス・トムソン

公開日：

2026年5月12日

この記事は マッケンジーとの との対談を基にしています ヌーラ・アーメド＝モシェ との 『The Secure Disclosure』ポッドキャスト。全編をお聴きください。

ある企業は、訴訟に関する電話会議中に誰かがAIによる議事録作成ツールを使用したため、100万ドルの損失を被った。行動科学者のヌーラ・アーメド＝モシェがポッドキャストで説明しているように、このツールは機密の会話内容を要約し、それを相手方に送信してしまった。相手方はその内容を利用して、自分たちの条件での和解を強要した。法律の専門家たちは、AIが生成した議事録が、現在では訴訟における証拠開示の対象として日常的に扱われるようになっていると警告している。

メモを取る人はその一例に過ぎない。従業員は、会社が把握している以上に多様な形でAIを活用しており、実のところ、彼らはそうせざるを得ない状況に追い込まれているのです。アーメド＝モシェ氏によれば、これは恐怖による反応だといいます。「AIがやってきて自分の仕事を奪ってしまうのではないかという、一般的なパニック感があるのです」。現在、95％以上の雇用主がAIスキルを持つ人材の採用を希望しています。従業員たちは、雇用市場の動向を正しく読み取っているからこそ、ツールの活用において取り残されることを恐れているのです。

その不安こそが、「シャドウAI」を後押ししている要因です。技術の進化が承認プロセスのスピードをはるかに上回っているため、従業員は承認されていないツールに頼らざるを得なくなっています。IT部門がPoCを実施し、アクセス権限を付与する頃には、従業員はすでに友人から「もっと優れたツール」の存在を耳にしているのです。ワークフローに合わない承認済みツールを提供し、それ以外のすべてをブロックしてしまうと、従業員は実際に使用しているツールを隠すようになってしまうのです。

そして、隠れることこそが、破綻の始まりなのだ。

今や、パニックこそがあなたの攻撃対象領域となっている

調査によると、現在、従業員の半数以上が職場で承認されていないAIツールを使用していることが明らかになっています。そのうち半数以上は、会社が管理・監視しておらず、存在すら把握していないツールに、機密性の高い社内データを入力しています。つまり、法的文書、顧客データ、社内戦略といった機密情報が、すべて審査されていないモデルへと流入していることになります

無料プランの信頼できるツールでさえ、そのデータをモデルの学習に利用している可能性があります。信頼性の低いツールであれば、完全にセキュリティ侵害を受ける恐れもあります。そして、アーメド＝モシェ氏が指摘したように、「まだ歴史が浅いため、リスクが実際に顕在化した例は今のところ見当たらないと思います」。影響の範囲は依然として拡大しており、我々が目撃しているのはまだ初期段階に過ぎません。

禁止しても効果はない

承認されていないAIの利用をすべて禁止したいという衝動は理解できる。サムスンもChatGPTに対してそうした措置を講じた。あるセキュリティコンサルタントがRedditに、クライアントから同様の要求を受けたものの、その後、その企業のCEOが6か月間にわたり個人アカウントでChatGPTを利用して取締役会向け資料を作成していたことが判明したと投稿した。

従業員が頼りにしているツールを禁止したところで、彼らがその使用をやめることはないだろう。アーメド＝モシェ氏が言うように、「組織内でAIツールの使用を禁止しようとしても、もはや企業として成功することは不可能だと思います」。AIツールには確かにセキュリティ上のリスクがありますが、それは私たちの業務遂行に欠かせない要素でもあります。AIツールを禁止するのは、10代の若者に携帯電話を使わないように言うようなものです。彼らはただ、あなたの目につかない場所で使うようになるだけです。

これは以前にもあった話です。シャドウITは長年にわたり存在しており、企業が個人用デバイスの利用をブロックすることがかえって生産性を低下させることに気づいたことで、BYODが生まれました。企業には、それらを安全に管理する方法が必要だったのです。シャドウAIも同様の問題ですが、その影響はさらに深刻です。

シャドウAIに対応するためのセキュリティ体制の整備方法

このギャップを埋めている組織は、そもそも従業員がツールの使用状況を隠したくなるような状況を解消している。

実際にできること：

まずは状況を把握しましょう：何かをブロックする前に、現在どのようなツールが使用されているかを調査してください。Aikido 、通常のアタックサーフェス外にある脅威について、すべての開発者用デバイスを監視します。
ワークフローの課題を把握する：従業員が社外ツールを使用しているのには、それなりの理由があります。その原因を突き止め、実際に機能する解決策で課題を解消しましょう。
心理的安全性を醸成する： 行動変容を図る上で、懲罰よりも率直な 対話が効果的だ。親しみやすいセキュリティチームは、閉鎖的な組織風土では決して得られないような可視性を確保できる。
承認プロセスよりも迅速に動くこと。エンタープライズソフトウェアでは有効だった「概念実証（POC）から本番導入まで3ヶ月」というプロセスは、脅威の状況とツール環境が月ごとに変化している状況では通用しません。

「シャドウAI」は新たなフィッシングの手口であり、技術的な対策で軽減はできても、決して根絶できない人間の行動に起因する問題です。パニックこそが脆弱性なのです。まずはそこに対処すべきです。

最終更新日:

2026年5月12日

共有: