7割が「シャドーAI」未対策 Gartner提言・メルカリ事例に学ぶ、正攻法：もう一度読みたい「対策見直し」ニュース（2/3 ページ）

企業で生成AIやAIエージェントの活用が広がる一方、IT部門が把握していない「シャドーAI」のリスクが顕在化しています。経営層と現場の認識にはなぜズレが生じるのでしょうか。AI活用とガバナンスを両立させる方法を考えます。

[雨輝ITラボ（リーフレイン）, 編集：石川俊明，＠IT]

シャドーAI、7割未対策の実態も明らかに　Gartnerが提言する「分業モデル」

　では、シャドーAIをどのように管理すればいいのでしょうか。Gartnerの調査からは、多くの企業が現場主体のAI導入を認める一方、シャドーAI対策には手が回っていない状況が見えてきます。

73％が「把握できない」「把握しても手を打てない」

　Gartnerが2026年2月に実施した国内企業への調査では、ユーザー部門が選定するAIツールについて、「自由に認めている」（8％）、「審査して問題なければ認めている」（67％）を合わせて75％の企業が現場主体のAI導入を容認しています。

　ところが、シャドーAIへの対応は「そもそも把握できていない」（43％）、「把握はしているが、手を打てていない」（30％）と、73％の企業が対策に取り組めていません。

　背景にあるのが、IT部門が一括管理する従来型「集権モデル」の限界です。

　現場からのAIツールの利用申請をIT部門が審査、検証している間にも、次々と新しいAI機能やAIツールが登場します。判断を待ち切れない現場が独自に利用を始めればシャドーAIとなり、かといって全面的にAI利用を禁止すれば業務の停滞とさらなるシャドーAIのリスクを招きます。

　こうした悪循環に対し、Gartnerの林宏典氏（ディレクター アナリスト）は、2026年6月の講演で、IT部門が採るべき一手として「受益者負担の分業モデル」への移行を提言しています。

「全社AI」「部門AI」「個人AI」に分け、責任の所在を明確化

　Gartnerの提言する分業モデルでは、社内のAIを「全社AI」「部門AI」「個人AI」の3つに分類します。全社共通で利用する「全社AI」はIT部門が選定・導入し、手厚く支援します。特定部門だけで利用する「部門AI」は、その部門自身が運用・管理を担います。「個人AI」は、高いリテラシーを持つ一部の従業員に限定し、条件付きで個別利用を認めます。

　使いたい現場に運用負荷や責任を持たせる「受益者負担」を基本とし、役員クラスによる「AIガバナンス委員会」と、統制の枠組みを構築する「AI CoE（Center of Excellence）」が連携してガバナンスを支える構成です。

「ツール単位」から「機能単位」の統制へ

　さらに林氏は、IT部門による「ツール単位」での利用可否判断を改め、「機能単位」でリスクを評価すべきだと指摘します。生成AIツールは多機能化しており、同一ツール内でもリスクが異なるためです。

　生成AIの機能を「AI組み込みアプリ」「汎用（はんよう）チャットbot」「ノーコードエージェントビルダー」「Computer Use」「プラットフォーム」の5タイプに分解し、それぞれのリスク特性に応じて評価すべきだとしています。

リスクの高いAIは「即遮断」を原則とし、四半期ごとに棚卸しを実施

　未許可のシャドーAIに対しては、セキュアサービスエッジ（SSE）などのクラウド通信監視機能を活用し、リスクの高いAIは「見つけたら即遮断」を原則とすることを推奨しています。

　加えて、「四半期に1度の棚卸し」を運用サイクルに組み込み、使われなくなったツールの整理や、成果の上がっているツールを「全社AI」へ昇格させる検討をすることが重要だと提言。併せて、リテラシーの高い人材に「個人AI枠」を認め、最新ツールの検証と知見の蓄積を担ってもらう手法も提示しています。

• 参考記事：シャドーAI対策「7割が未着手」　「AIは全て禁止」は限界　IT部門が採るべき一手とは？　Gartner提言