シャドーAIとは？
シャドーAIとは、企業の情報システム部門が把握・許可していない生成AIサービスを、従業員が個人の判断で業務に利用している状態のことです。 資料作成や翻訳を早く終わらせたいといった現場の正当な動機から広がることが多く、利用を一律に禁止するだけでは根本的な解決にならない点が特徴です。
シャドーITとの違い
シャドーAIは、会社に無断で外部のクラウドサービスやツールを使う「シャドーIT」の一種と位置づけられますが、リスクの性質が異なります。従来のシャドーITが未承認ツールへの「データの保管」にとどまりがちなのに対し、シャドーAIでは入力した文章や機密情報が、サービス側の学習データとして利用されたり、AIの回答という形で外部に再出力されたりする可能性があり、情報が一度外に出ると取り戻せない点でリスクが大きくなります。個人情報保護委員会も、生成AIサービスに入力された個人情報が機械学習に利用され、他の情報と統計的に結びついた上で出力されるリスクを指摘しています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」、別添1PDF）。
ビジネスでの使いどころ・対策
シャドーAIへの対応としては、利用そのものを禁止するのではなく、業務で使ってよい生成AIサービスやチャットボットを会社として選定・許可し、入力してよい情報の範囲をルール化したうえで、実際の利用状況を可視化する方向が現実的とされています。AIガバナンスの一環として、承認済みツールの周知や利用状況の確認体制を整えることが、情報漏洩などのリスクを抑えながら現場の生産性向上にもつなげる近道になります。国内ではAI事業者ガイドラインが、こうした社内ルール整備の参考として使われています。