今回は、AIの普及とセキュリティの問題についてお話ししていきたいと思います。近年、生成AIを導入する企業が増加していますが、その陰で新たなセキュリティ上の課題が浮上してきていることをご存じでしょうか。それが、会社が許可をしていないAIを従業員が勝手に利用してしまう「シャドーAI」の問題です。特に最近では、若手社員を中心に、上司に提出する企画書やメール文面などを事前に生成AIで添削する「AIチェック」が日常的に行われるようになっており、これに伴う社内情報の漏洩リスクがかつてないほど高まっています。
LINEヤフーコミュニケーションズの調査によれば、生成AIを導入している職場で働くくZ世代の社員のうち、実に約7割が上司へ成果物を提出する前に日常的にAIチェックを実施していることが明らかになりました。ここで経営者が注目すべきなのは、彼らがAIを利用する目的です。作業時間の短縮を第一の目的とする割合は約2割にとどまり、「評価・信頼の維持」「指摘によるストレスの軽減」という回答が４割以上を占めていたのです。彼らにとってAIは、上司の叱責や評価の低下から身を守るための安全網として活用されていました。
この評価を落としたくないという心理が、組織に重大なセキュリティホールを生み出します。会社側が公式に安全な生成AI環境を用意していない場合、上司に見せる前に完成度を高めたいと焦る社員は、個人用のAIアカウントを業務に使わざるを得なくなります。実際の調査でも、業務で生成AIにデータをコピー＆ペーストして利用しているユーザーの約8割が、管理されていない個人アカウントを利用していると報告されています。さらに「失敗したくない」一心から、社外持ち出し禁止の機密情報や顧客の個人情報までもが入力されているケースが少なくないそうです。個人向けクラウド型AIの多くは、入力データを学習用として二次利用する規約になっているため、自身の評価を守りたい社員の行動が、結果として自社の重要データを第三者に流出させる事態を引き起こしかねないのです。
こうした事態を防ぐために経営者が講じるべき対策が、入力データをAIの学習に利用させない「オプトアウト設定」の徹底です。単に個人の利用を禁止するだけでは、リスクが潜伏化するだけで根本的な解決にはなりません。具体的には、“ChatGPT Enterprise”をはじめとするオプトアウト設定などのセキュリティ機能を有する法人向けエンタープライズ版サービスの優先導入を検討します。また、一般的なクラウド型サービスを利用する際には、利用規約や設定画面でオプトアウト設定を組織として厳格に運用することが重要です。あわせて、機密情報は入力しないというガイドラインを定め、AIの出力には誤り（ハルシネーション）が含まれるリスクを教育し、最終確認は必ず人間が行う意識を定着させます。若手社員が抱く「間違えたくない」という心理自体は、業務に対する責任感の現れでもあります。経営者が行うべきは、その不安を放置してシャドーAIを使わせるのではなく、正々堂々とAIを使える環境を用意することです。公認の安全なAI環境とルールを整えることが、情報漏洩を防ぎつつ生産性を向上させる不可欠な戦略となります。
また最近はClaude Codeのように、スケジュールにアクセスして日程調整をしてくれたり、会議の議事録を読み込むことで資料を作ってくれたりするAIも登場しています。中小企業は人手不足や業務の属人化によって特定の人物に仕事が集中しやすいという問題もありますので、余裕を失った社員が必要に駆られて「シャドーAI」に手を出さないよう配慮していくことも重要です。