テクノロジー関連のものすべてに言えることだが、シャドーITも進化している。もはや、一部の従業員のニッチなニーズに対応するSaaSアプリや、営業が持ち歩き用の業務ファイルにアクセスするためにこっそり持ち込んだ個人のブラックベリーなどだけではない。今日のシャドウITは、従業員がIT部門に知られずに、あるいは許可を得ずにあらゆるAIツールを試すため、AIが関与している可能性が高くなっている。 データ保護ソフトウェアメーカー、サイバーヘイブンの調査によると、シャドーAIの量は驚くほど多い。同社の2024年春版AI導入とリスクに関する報告書によると、ChatGPTの業務利用の74%は企業以外のアカウント経由、Google Geminiの業務利用の94%は企業以外のアカウント経由、Bardの業務利用の96%は企業以外のアカウント経由となっている。その結果、従業員はIT部門が承認していないAIツールに、法的文書、人事データ、ソースコード、その他の機密性の高い企業情報を入力しているため、許可されていないAIが企業のデータを食い荒らしている。 ガートナー社の著名な副社長アナリスト、アルン・チャンドラセカラン氏は、シャドウAIは事実上避けられないと語る。従業員はAIツールに興味津々で、忙しい仕事を軽減し生産性を向上させる方法として捉えている。また、テクノロジーに取って代わられるのを防ぐ方法として、その使い方をマスターしたいと考える者もいる。さらに、個人的な作業でAIに慣れているため、仕事でもそのテクノロジーを使いたいと考える者もいる。 何が問題なのか？ これらの理由は理にかなっているように見えるが、シャドウAIが組織にもたらすリスクを正当化するものではないと、チャンドラセカラン氏は認める。「ほとんどの組織は、リスクが非常に大きいことから、シャドウAIを回避したがっている」と彼は言う。 例えば、機密データが流出する可能性が高いことや、独自のデータがAIモデルの学習（特にそれがオープンソースの場合）を助け、同じモデルを使用する競合他社を助ける可能性があることをチャンドラセカラン氏は指摘する。 同時に、多くの労働者はAIを効果的に活用するために必要なスキルが不足しており、リスクレベルをさらに高めている。AIモデルに適切なデータを入力して質の高いアウトプットを生成したり、最適なアウトプットを生成するためにモデルに適切なインプットを与えたり、アウトプットの正確性を検証したりするスキルが十分でない可能性がある。例えば、生成型AIを使ってコンピューターコードを作成することはできるが、コードの構文やロジックを理解していなければ、そのコードの問題点を効果的にチェックすることはできない。「これは非常に有害な結果をもたらす可能性がある」とチャンドラセカラン氏は言う。 一方、シャドウAIは労働力の混乱を引き起こす可能性がある、とチャンドラセカラン氏は言う。AIを密かに利用している労働者は、そのようなツールを導入していない従業員よりも不公平な優位性を持つ可能性があるからだ。「まだ支配的な傾向ではありませんが、組織リーダーとの議論の中で懸念事項として挙がっています」とチャンドラセカラン氏は言う。 シャドウAIは法的問題を引き起こす可能性もある。例えば、許可されていないAIが他人の知的財産に不正にアクセスし、組織が侵害の責任を負うことになるかもしれない。また、差別禁止法や社内規定に違反する偏った結果をもたらす可能性もある。あるいは、顧客やクライアントに誤った情報を提供してしまう可能性もある。これらのシナリオはすべて、組織に法的責任を生じさせ、その結果生じる違反や損害の責任を負わせる可能性がある。 実際、AIシステムが故障した場合、企業はすでにその責任を負わなければならない状況に陥っている。その一例として、2024年2月、カナダの法廷は、エア・カナダが自社のAIチャットボットが消費者に提供した誤った情報について責任を負うべきであると判決を下した。 このケースのチャットボットは、ITリーダーが言うように、公式のテクノロジーにリスクが十分に高いことを示すだけであり、シャドウITを放置してさらにリスクを増やす必要があるのか？ 災害を未然に防ぐ10の方法 かつてのシャドウITがそうであったように、承認されていないAIテクノロジーの使用や、その使用がもたらす可能性のある結果を防ぐための、一度きりの解決策など存在しない。しかし、CIOは、承認されていないAIの使用を排除し、災害を予防し、万が一問題が発生した場合に被害を最小限に抑えるために、さまざまな戦略を採用することができる。ここでは、ITリーダーがCIOが行うべき10の方法を紹介する。 1.AIの利用に関するポリシーを策定する ウェルズ・ファーゴのプライバシーコンプライアンス担当エグゼクティブディレクターであり、非営利のガバナンス協会ISACAのエマージングトレンドワーキンググループのメンバーでもあるデビッド・クオ氏は、まず他の経営陣と協力し、AIをいつ、どこで、どのように使用してよいかを定めた利用規約を作成し、IT部門が承認していないテクノロジーの使用を組織全体で禁止することを再確認することが、大きな第一歩であると語る。当たり前のことのように思えるが、ほとんどの組織ではまだ利用規約が定められていない。2024年3月にISACAが実施した、デジタル信頼の専門家3,270人を対象とした調査によると、AIポリシーを策定している組織はわずか15%にとどまった（回答者の70%が「自社の従業員がAIを使用している」と回答し、60%が「従業員が生成AIを使用している」と回答しているにもかかわらず）。 2.リスクと結果についての認識を高める クオ氏はステップ1の限界を認識している。「利用規定を定めることはできるが、人々は規則を破るだろう」と。そこで、起こりうる事態について警告を発するのだ。「AIのリスクについて組織全体で認識を高める必要がある。また、CIOはリスクについてより積極的に説明し、組織全体に認識を広める必要がある」と、グローバルなプロフェッショナルサービスおよびソリューション企業であるジェンパクトのAI/MLサービス担当グローバルリーダー、スリーカント・メノン氏は言う。AI全般に関連するリスクと、承認されていない技術の使用に伴うリスクの高まりについて概説する。 クオ氏はさらに、「それは1回限りの研修では済まされないし、ただ『これをやってはいけない』と言うだけではいけない。従業員を教育する必要がある。シャドウAIによって起こりうる問題や、彼らの悪行がもたらす結果を伝えなければならない」と付け加える。 3.期待値を管理する AIの導入が急速に増加しているにもかかわらず、インテリジェントテクノロジーの力を活用することに対する経営幹部の信頼は低下していると、リーダーシップアドバイザリーファームであるラッセル・レイノルズ・アソシエイツのグローバルAIプラクティスリーダー、ファワド・バジュワ氏は言う。バジュワ氏は、AIに対する期待と、AIが実際に提供できるものの間にミスマッチがあることが、信頼の低下の一因だと考えている。 彼は、CIOに対し、AIがどこで、いつ、どのように、どの程度の価値を提供できるのかについて教育を行うよう助言している。「組織全体で達成したい目標について認識を共有することで、自信の度合いを測ることができる」と彼は言う。そうすることで、従業員がすべての問題を解決する万能薬を見つけることを期待して、AIソリューションを独自に追い求めることを防ぐことができる。 4.レビューを行い、アクセス制御を強化する デジタル変革ソリューション企業USTの最高戦略責任者兼CIOであるクリシュナ・プラサド氏は、AIに関する最大のリスクの一つはデータ漏洩であると語る。確かに、計画的なAI導入にはそのようなリスクは存在する。しかし、そのようなケースでは、CIOはビジネス、データ、セキュリティの同僚と協力し、リスクを軽減することができる。しかし、従業員が彼らの関与なしにAIを導入する場合、機密データが公開される可能性が高まるため、彼らは同じリスクレビューや軽減の機会を持たない。…
Tag: