入口
仕事用のメールアドレスと無料プランがあれば十分なため、購買部門にもセキュリティレビューにも何も届きません。
作り手
ローコードツールを使えば、どのチームでも、社内システムにつながったエージェントをIT部門へのチケットなしで公開できます。
可視性
ネットワークログはドメインを、ライセンスはシート数を、アンケートは本人が認めた内容を示します。すべてを示すものはありません。
セキュリティ
業務は、ブロックリストにまだ載っておらず、グラフにも表れないツールへと移っていきます。
プライバシー
返信は穏やかになりますが、顧客の情報は、契約のない事業者の手に渡っています。
IT
うまく動くので同僚に共有されますが、人事ファイルを読み取っていることは、どのインベントリにも表れません。
AIガバナンス
回答のために全部門長へメールを送り、できあがったリストは金曜日にはもう古くなっています。
なぜ繰り返されるのか
KPMGとメルボルン大学による世界規模の調査では、職場でAIを使う従業員の70%が無料の公開ツールを、42%が雇用主の提供するツールを利用しています。1 企業情報を公開AIツールにアップロードする割合は、生成AIが禁止されている職場で最も高く67%、ポリシーがない職場では33%でした。1 禁止によって失われるのは可視性であり、リスクではありません。
誰が使っているかではなく、何が使われているかを把握
AI検出は、社内で使われているAIツールを一覧化します。デフォルトでは利用状況を集計して表示し、プロンプトは保存せず、何もブロックしません。
AI検出とインベントリを見る検出結果を、オーナー付きのレコードに
検出結果をAIインベントリに追加してオーナーを設定するか、そこからユースケース申請を起票して、レビュー担当者に判断を委ねます。
AI申請受付とレビューを見る必要なものはブロックし、申請の道は残す
コントロールは、AIインベントリ内のツールに適用されます。コントロールがツールをブロックした場合、従業員は理由を添えてアクセスを申請でき、チームが承認または却下します。
AIエージェントガバナンスを見るシャドーAIとは？
シャドーAIとは、組織が把握も承認もしないまま、従業員が業務に使うAIのことです。無料のチャットボットや、ローコードツールで誰かが作ったエージェントなどが該当します。その多くは、特に承認済みの選択肢がない場合に、役立つものに手を伸ばした結果です。リスクは一緒に渡るデータにあるため、ガバナンスはまず何が使われているかを把握することから始まります。
Enzaiは従業員個人を監視しますか？
デフォルトでは監視しません。AI検出は、認識したAIサービスを集計して報告し、個人名は示しません。管理者は利用者の紐付けを有効にできます。有効にする場合は、事前に従業員代表と合意してください。
従業員が自作したエージェントも見つけられますか？
はい、Microsoft Copilot Studioに対応しています。EnzaiはPower Platform環境内のエージェントを毎日同期し、誰も登録していないエージェントを一覧表示します。エージェントを登録するとAIインベントリに追加され、使用しているコネクタがレビューに回されます。チームは、ユースケース申請やEnzai MCPサーバーからエージェントを登録することもできます。
未承認のAIツールは、すべてブロックすべきですか？
代わりの手段がないままブロックすると、利用は見えない場所へ移るだけです。Enzaiでは、まずコントロールを「Observe」モードで公開できます。何もブロックされず、適用していれば何が起きたかを確認できます。準備ができたら「Enforce」に切り替えます。利用者数ではなく、扱うデータが最も多いツールから始めましょう。
