シャドーAIはITの問題ではありません。人間の問題です。

シャドーAIの議論はエンジニアリングに偏りがちです。開発者がチャットボットにコードを貼り付けたり、未承認のコーディングアシスタントを本番環境のリポジトリに接続したりするといったものです。それは事実です。しかし、それが全てではなく、大部分でもありません。

財務部門は報酬データを公開モデルに入力し、報酬評価の概要を作成しています。人事部門は組織図をアップロードし、組織再編の構想に役立てています。法務部門はNDAを消費者向けツールに入力し、一次審査を早めています。マーケティング部門は未発表のキャンペーン計画をチャットボットに貼り付け、素早く書き直しています。彼らは誰もエンジニアではなく、自分たちの行動をITの意思決定とは考えていません。スペルチェッカーを使うのと同じように、単に仕事を早く終わらせる手段と考えているのです。

IT部門が考える以上に範囲は広い

数字がこれを裏付けています。Salesforceの調査によると、金融サービス業の従業員の72%が少なくとも1つの未承認のAIツールを使用しています。この業界は、未承認のデータ処理による規制リスクが極めて高い業界です。Thomson Reutersの調査では、法務専門家の45%が仕事で消費者向けAIツールを使用しており、まだ明確な答えのない特権や機密性の問題を引き起こしています。Wolters Kluwerの2026年の調査では、医療専門家の40%が職場で未承認のAIツールに遭遇しており、約10人に1人が患者ケアの文脈で直接使用しています。

Verizonの2026年のDBIRによると、シャドーAIの検出数は前年比で4倍に増加しました。Salesforceの2026 Workforce AI Surveyでは、正式なポリシー導入率が18%であるのに対し、従業員のAI使用率は67%に達しています。これは特定の部門の問題ではありません。程度の差はあれ、すべての部門が同じプレッシャーにさらされています。仕事は終わらせる必要があり、承認済みのツールは遅いか存在せず、未承認のツールはタブを1つ開くだけで使える状態なのです。

ガバナンス哲学としてのハームリダクション

これを禁止で解決しようとする直感は理解できますが、常に逆効果となります。ツールを禁止しても行動は止まりません。見えなくなるだけです。それこそがシャドーAI問題の全体像です。AIガバナンスの対応が、本来満たすべきニーズよりも遅かったり制限的だったりしたため、利用がガバナンスを追い越したのです。

公衆衛生から借用したハームリダクションは、より優れたモデルを提供します。人々の理想的な状態ではなく、現状に寄り添うのです。財務部門に機密データでのAI使用をやめるよう求めることから始めるのではありません。彼らが実際に何を達成しようとしているのかを尋ねることから始めます。そして、未承認のツールを使うのが面倒になるほど優れた、その成果に至る承認済みの経路を構築するのです。シャドーAIの発見を適切に進めている実務者は、常に同じことに気づきます。それは、恩赦的な開示、判明した事象への無処罰、そしてコンプライアンスの摘発ではなく能力のマッピングとしてオープンに扱うことのほうが、懲罰的な監査よりもはるかに多くの実態を明らかにするということです。人々は、自分たちを支援しようとする会社から生産的な習慣を隠したりはしません。摘発しようとする会社から隠すのです。

ツールを禁止するのではなく、習慣を置き換える

重要なのは、習慣とツールの違いです。財務部門は未承認のAI製品を使おうとしたわけではありません。報酬の概要を作成する時間を節約しようとした結果、チャットボットが最速の手段だとわかったのです。習慣を置き換えずにチャットボットを取り上げても、何も解決しません。最速の手段を再び見えなくするか、可視性の問題がさらに悪化する個人アカウントへ人々を追いやるだけです。

永続的な解決策は、書類上のコンプライアンスを満たすだけでなく、スピードの面でも競争力のある承認済みのバージョンに習慣を置き換えることです。それは、人々がどれだけ早く回避策を見つけたかを尊重するスピードで、調達部門とIT部門が動くことを意味します。各部門のリーダーが、懲戒の話し合いに発展することなく、「私たちがやりたいのはこれです。安全に実行できるよう手助けしてください」と言える実際のチャネルを持つことを意味します。

照明を消してもシャドーAIは解決しない。より良い部屋を作ることで解決する。

全面的な禁止であれ、強力なブロックであれ、懲罰的な摘発であれ、照明を消しても活動は止まりません。活動が見えにくくなるだけであり、これはガバナンスが求めるものとは正反対です。より良い部屋を作るとは、財務、人事、法務、マーケティングの各部門に対して、実際に使えるレベルの承認済みのスペースを提供することです。どのデータをどこに送れるかについての明確なルールを設け、ギャップを報告すれば処罰されるのではなく感謝される文化を作ることです。

シャドーAIは技術の失敗ではありません。実際の仕事のペースが正式な許可のペースを追い越したときに起こる現象です。IT部門がすでに監視方法を知っている部門だけでなく、すべての部門で起こっているのです。

出典: Salesforce, “2026 Workforce AI Survey: Adoption, Governance, and Risk”; Verizon 2026 DBIR, cited via Tech Times, June 2026; Airia, “Shadow AI Statistics: Key Data Points Every CISO Needs in 2026”; Wolters Kluwer, 2026 healthcare shadow AI research; Dr Logic, “Your AI Tools Are Now in Scope for Cyber Essentials,” 2026