最終更新日:
IT部門の承認を得ずに従業員がAIモデル、エージェント、またはツールを非公認で使用すること。これにより、データ漏洩や承認されていない自律的アクションを通じて、潜在的なセキュリティの脆弱性が生じる原因となります。
シャドーAI（Shadow AI）は、「シャドーIT（Shadow IT）」の重大な進化を意味しています。従来のシャドーITが未承認のSaaSアプリケーション（データサイロの発生）を伴うものであったのに対し、シャドーAIは、独自データがパブリックモデルのトレーニングセットへと漏洩することや、企業のガバナンス外でアクションを実行する自律型エージェントの展開など、能動的なリスクをもたらします。効果的な管理には、網羅的な遮断ではなく、ネットワークレベルの検知（既知のAIプロバイダーへのAPIトラフィックの監視）、従業員への教育、そして承認された安全な代替手段の提供が必要です。
実際の導入事例：
あるソフトウェア開発チームが、独自のアルゴリズムをデバッグするために、無料の公開コーディングアシスタントを使用しています。彼らは機密性の高いソースコードをプロンプトウィンドウに貼り付けますが、そのツールの利用規約によってプロバイダーが入力内容をモデルのトレーニングに使用できることになっていることに気づいていません。この独自コードが公開モデルに吸収されることで、競合他社にアルゴリズムを再現される可能性が生じたり、脆弱性が広く一般にさらされたりするリスクが発生します。
