シャドーAI時代に求められるAIガバナンス体制

「禁止」だけでは防げないシャドーAIのリスク

シャドーAIとは、会社が把握・許可していないまま、従業員が個人の判断で業務に使う生成AIサービスやツールを指します。総務省・経済産業省の「AI事業者ガイドライン」検討会委員も務める柴山弁護士は、リスク評価の観点からは「リスクが把握できていない状態は最悪」だと指摘します。

対策としてまず思いつくのは、「生成AIに個人情報を入力してはいけない」というルールでしょう。ここで柴山弁護士が示すのが、次のような事例です。マーケティング担当者が、顧客の購買データから氏名とメールアドレスを削除して生成AIに入力した。これはルールを守ったことになるのか。答えは「ルール違反になる可能性がある」そうです。個人情報の範囲は、多くの人が考えている以上に広いからです。

一方で、AIを業務に深く組み込むほど、「個人情報は一切入力しない」という原則を守り通すのは難しくなります。では、個人情報は絶対に入力してはいけないのか。柴山弁護士の答えは「必ずしもそうではない」というものです。政府機関でも、個人情報や要機密情報の取り扱い条件を定めた上で、生成AIを業務に使う仕組みが整えられています。問題は、どこで線を引くかです。

著作権も誤解が多い分野です。「他人の著作物をAIに入力するのは危ない」「AIが作ったものなら自由に使える」は、どちらも正確ではありません。柴山弁護士が「一番怖いところ」と話すのは、利用者に侵害の意図が全くなくても、著作権侵害になり得るケースがあることです。

リスクはゼロにできない だから「誰が決めるか」を決める

「AIの挙動は確率的で、同じプロンプト（指示文）を入れても同じ出力が出るとは限りません。コントロールできない出力に対して、リスクをゼロにすることは不可能です」と柴山弁護士は話します。問うべきはリスクの有無ではありません。不利益の大きさと発生の可能性から評価し、許容できるかどうかを見極める。その上で、判断を誰がどのように行うかを決めておく。柴山弁護士は、これこそがAIガバナンス体制だと説明します。

例えば営業部門が、AIエージェントに過去の提案書を参照させて、新しい提案書を自動で作るツールを導入したいと考えたとします。法務からは個人情報保護法や著作権の懸念を示され、上長からはセキュリティや炎上のリスクを問われる。担当者1人ではリスクを切り分けられず、導入は止まってしまいます。誰がリスクを整理し、誰が最終的に判断するかが決まっていれば、「リスクはあるが、対策を講じた上で導入する」という結論を出せます。

AIエージェントやフィジカルAIのように、AIが自ら情報を探し、行動まで担う場面も増えています。個々の従業員のリテラシーに頼るだけでは、対応しきれません。

体制づくりで問われる3つの視点

AIガバナンス体制を築く上で、柴山弁護士は「リスクが宙に浮いていないか」「リスクを把握できているか」「過剰規制になっていないか」という3つの視点を挙げます。

見落とされがちなのが、3つ目の視点です。体制を早い段階で整えた企業ほど、ルールの「軽量化」を模索しているケースが多いといいます。厳しく縛るだけでは、AI活用そのものが進まなくなるためです。

オンラインセミナーを企画した日経BPコンサルティングの大川亮は、「法律やガイドラインというよりどころはあっても、最後の線引きは自社で決めるしかない。その線引きを個人の判断に委ねず、組織の体制として決め切る。それがAI導入にブレーキをかけるどころか、むしろアクセルを踏むことになる」と話します。

セミナーのアーカイブ動画でより詳しい内容を紹介中

オンラインセミナーでは、柴山弁護士に具体的な事例を交えながら、「AIガバナンスの今」を解説していただきました。より詳しい内容は、アーカイブ動画をご覧ください。