シャドーIT化する生成AI、適切な管理でイノベーションの力に
はじめに
生成AIの活用が急速に広がっています。ただ、生成AIは企業側でのルール策定が間に合っていない、難しいといった事情もあり、いわゆるシャドーITとなってしまっていることが少なくありません。第4回の記事では、生成AIのシャドーIT化について、企業はどのように考え、対処すべきか検討してみます。
まず、シャドーITとは「企業のIT管理を統括する情報システム部門が許可していない、または把握していないままに、各部門や従業員個人が独自に導入して業務に利用されているIT機器、インターネットサービス、ソフトウエア」を指します。
シャドーITは、利用実態が把握されにくいため、リスク管理が不十分になりがちです。さらに、「シャドー（shadow）」という言葉には「影」「闇」という意味があるため、マイナスのイメージが付きがちです。
一方、シャドーITはイノベーションの源泉となるという側面も見逃せません。今回取り上げる生成AIは、今、最も話題となり注目されている技術の一つです。上手に活用すれば、業務を大幅に効率化したり、新しいアイディアが作り出されることもあります。
ただ、日進月歩でアップデートされる生成AIについて、リスク評価が難しく、明確なルールがないという企業も少なくありません。こうした事情から、未公認のまま、生成AIの利用が事実上進んでしまい、シャドー化してしまいます。「シャドーAI」という呼び方も登場しています。
それでは「シャドーAI」について、企業は、リスクマネジメントをしつつも、イノベーションの芽を摘まないという視点から、どのように捉えていくべきでしょうか。
1．今後も利用拡大が見込まれる生成AI
生成AIは2022年11月末に発表されたChatGPTは、わずか2か月で利用者が1億人を越えるというブームを引き起こしました。ほかにも様々な生成AIが知られるようになり、幅広く利用されるようになりました。企業にとっては、実装の段階へと移っています。
「企業IT利活用動向調査2024」（一般財団法人日本情報経済社会推進協会、株式会社アイ・ティ・アール）によれば、「会社が契約・登録した生成AIを使用している」と「各自で契約・登録した生成AIを使用している」が35.0%と回答し、「会社が生成AIの導入を進めている」が34.5%であり、今後の活用が一段と増えることが見込まれます。
この調査結果を踏まえて分析すると、下図の通り、生成AIがシャドーITとして利用されている可能性も読み取ることができます。
2．「シャドーAI」として広がる利用
2.1 困難なルール作りのなかで事実上の利用がすすむ
生成AIの活用には情報管理や著作権などの課題があり、導入はリスク管理と並行して進めていく必要があります。
ここで重要なことは、企業として生成AIの利用方針を示すことです。曖昧なままにしておけば、「管理無きシャドーIT」として生成AIが利用されてしまうリスクが高まります。
2.2 パフォーマンス向上のために広がる「持ち込みAI（BYOAI）」
「シャドーAI」について、Forrester Research 社のミシェル・ゲッツ主任アナリストは、2023年10月の時点で下記の通り、興味深い指摘をしていました。ゲッツ氏が予測した状況が現実となりつつあります。
従業員の60% が自分の仕事を遂行するために独自にAIを活用しています。従業員は、組織のセキュリティポリシーを回避してしまう行動をとることがあります。それが、必要な作業を実行するために最も効率的な方法だと理解しているからです。AIも例外ではありません。2024 年はシャドーAIが出現します。なぜなら、規制、プライバシー、セキュリティの問題の管理に苦戦している企業・組織が「持ち込みのAI（BYOAI:Bring-Your-Own-AI） に対応できなくなるからです。生成AIだけでなく、従業員は個人所有のAIを組み込んだソフトウェアも仕事に使用するようになり、2024年のBYOAIブームに拍車をかけるでしょう。
BYOAIが発生する背景には、従業員が生成AIを業務に活用して効率化や高付加価値化をしたいという意図も指摘されています。
3.適切な管理でイノベーションの源泉に
3.1 高い生成AIに対する期待
大手コンサルティングファームKPMGが2023年6月に発表した"Generative AI: From buzz to business value" （「生成：大流行からビジネス価値への転換」）というレポートによれば、77％の回答者は「生成AIが今後、ビジネスに最も大きなインパクトをもたらすテクノロジー」と回答しており、73％が「生成AIが生産性を向上させる」と回答しています。
こうした結果を踏まえると、仮に生成AIにはリスクがあるため禁止してしまう、あるいは利用を控えるとすれば、今後、大きなビジネス機会を失う恐れもあります。
今、企業に求められる重要なことは、正式な利用を認めて管理を行うこと、未認証のシャドー化した生成AIの利用状況を把握すること、生成AIの利用ポリシーを策定して社内に浸透させるといった行動です。
急速に開発が進む生成AIの活用について、事前にあらゆるルールを決めてから導入することは現実的ではありません。現在進行形の技術のため、様々な対処方法が考えられますが、例えば、次の点を考慮していくことが考えられるでしょう。
シャドーITとして利用されている生成AIの利用状況を確認する。その際、自己申告では機能しない可能性が高いため、自動検知ツールを活用する
生成AIのアプリケーションの安全性等を考慮しながら、比較検討して正式に導入する
部門別で生成AIを導入する場合は利用状況を可視化し、情報システム部門と連携して一元管理する
個人情報保護や著作権といった重要度の高い事項については利用ポリシーを明確に決めておく
生成AIを利用しつつ、リスクとビジネス機会のバランスをとりながら、ルールを調整・成熟させるサイクルを回し続ける
おわりに
今回は生成AIを中心にシャドーITの扱いについて考えました。シャドーITは、前提としてリスクの適切な管理が必要なものの、元々は業務をより良く進めたいという考えの表れであり、イノベーションを引き起こす源泉ともなります。
近く、生成AIに限らずに幅広く、シャドーITがイノベーションの源泉となっているという見方について、特にグローバルでの論調ついて整理して紹介する予定です。
ジョーシスは、SaaS管理プラットフォーム（SMP:Saas Management Platform）であり、SaaS等クラウドサービスの一元管理やシャドーITの検知のほか、ITデバイスのアウトソース・管理といった統合管理プロダクトを提供しています。また、SaaS審査やコスト最適化のご相談にも対応しています。少しでも気になることがあれば、気軽にお問い合わせください。
記事で取り上げて欲しいテーマやご意見・ご感想等も歓迎です。
執筆：川端隆史 ジョーシス株式会社シニアエコノミスト
この記事が気に入ったらサポートをしてみませんか？