シャドーAIは「禁止」ではなく運用設計で向き合う - Qiita

生成AIの利用が広がるほど、情報システム部門やセキュリティ部門が承認していないAIを、従業員が業務で使う「シャドーAI」は増えます。 個人アカウントの生成AIへ会議録を貼る。部門が独自にAIエージェントを作る。開発者が個人契約のコーディングAIに業務コードを読ませる。私物端末でローカルLLMを試す。いずれも現実に起こり得る利用です。 この問題を「未承認サービスを見つけて遮断すること」だけで扱うと、AI利用は見えない場所へ移るだけです。IT技術者が作るべきなのは、禁止リストではなく、誰が、どの機能を、どのデータに対し、どの責任で使えるかという運用の仕組みです。 シャドーAIは、責任分担が未設計であることの表れ 現場が未承認AIを使う理由は、必ずしもルール違反をしたいからではありません。公式環境では必要な機能が使えない、申請が遅い、相談先が不明、業務改善を求められている、といった事情があります