ガートナージャパンは6月18日、開催中のガートナー アプリケーション・イノベーション＆ビジネス・ソリューション サミットにおいて、国内企業におけるシャドーAIへの対応方針についての見解を発表した。
ガートナーが2月に実施した日本におけるエンドユーザー調査によると、IT部門が選定した以外の生成AIツール／サービスをユーザー部門が利用することについて、「自由に認めている」企業は8％、「審査の上、問題なければ認めている」企業は67％だった。両者を合わせると、75％の企業が何らかの形でユーザー部門が選定した生成AIの利用を認めていることになる。
一方、シャドーAIへの対応状況については、「シャドーAIを把握できていない」企業が43％、「把握しているが、有効な対策を取れていない」企業が30％に上り、合計すると73％の企業がシャドーAIを有効に管理できていない実態が明らかになった。
ユーザー部門の裁量を認める一方、管理は追い付いていない
ディレクター アナリストの林宏典氏は、「AIツールの選択肢が急速に広がる中、ユーザー部門の活用意欲に水を差すことなく、かつ全てのツールをIT部門だけで完全管理することは困難なため、非現実的な『完全な管理』から『責任ある活用』への移行が必要」と述べている。
ガートナーは、シャドーAIの主なリスクとして、知的財産を含む機密情報・個人情報の流出、データ管理などの法令違反、セキュリティ上の脆弱（ぜいじゃく）性の増大、事故発生時のレピュテーション毀損（きそん）の4つを挙げている。
対応の方向性として、ユーザー部門とIT部門が役割・責任を分担する「分業モデル」の確立を推奨。具体的には、全社標準としてIT部門が一貫管理するAI、部門ごとに必要性に応じて審査・運用するAI、研修やテストにより認定されたユーザーのみが認める個人利用のAIの3つに分類・整理し、組織の実情に応じた運用ルールを設けることが重要だとしている。
また、個人利用のAIについては、リテラシーとリスク感覚に優れるユーザーが多い企業のみ、慎重に導入すべきだとの見解を示している。
分業モデルの運用に当たっては、「採用時の審査・許可」「利用中のモニタリング」「定期的な棚卸し」という3つのステップが必要で、クラウド通信監視機能を活用したAIツール利用の可視化や、仕様変更に伴うリスク変動を把握する定期的な棚卸しが重要だと指摘。また、AIのガバナンスについては、IT部門だけではなく、セキュリティ、法務・コンプライアンス、人事、ユーザー部門などが連携して取り組む必要があるとした。
「AIによるトランスフォーメーションを加速する上で、IT部門は主導権をユーザー部門に移譲していく必要がある。『分業モデルの確立』とそれを支える『教育と認定による責任ある実践者の育成』はその必須条件だ」（林氏）とコメントしている。
