情シス・IT管理者のための生成AI全社導入ガバナンス｜Shadow AI対策と権限設計

なぜ情シスがガバナンスを主導するのか

生成AIは、現場の一人ひとりが自分の判断で使い始められる点が、これまでの業務システムと大きく違います。従来のシステムは情シスが導入・管理して初めて使えましたが、生成AIはブラウザさえあれば個人で使い始められます。この「導入の速さ」は業務改善の追い風である一方、管理する側から見ると、把握していないうちに利用が全社へ広がるリスクにもなります。情シス・IT管理者が抱えがちな不安は、次のようなものです。

• どの部署が、どのAIツールを、何の業務で使っているのか把握できていない
• 社外秘や個人情報が、無許可のサービスに入力されていないか確認できない
• 現場が作った便利なツールが、作った本人しか分からない状態で増えていく
• 禁止すると隠れて使われ、許可すると管理が追いつかず、線引きに迷う

ここで大切なのは、ガバナンスの目的を「利用を止めること」ではなく「利用を見える化し、安全な使い方へ導くこと」と定義することです。全面禁止は一見安全に見えますが、実際には利用が水面下に潜り、かえって把握できなくなります。情シスが旗振り役になり、使ってよい範囲・守るべきルール・困ったときの相談先を先に整えることで、現場は安心して使え、会社はリスクを抑えられます。全社導入の進め方の全体像は生成AI導入のロードマップで、無許可利用そのものへの対処はShadow AI（野良AI）のガバナンスで詳しく整理しています。

Shadow AIをなくす3つの打ち手

Shadow AIとは、情シスが把握・許可していないAIツールが業務で使われている状態を指します。これを減らすには、取り締まりよりも「正規のルートを用意して、そちらが使いやすい状態にする」考え方が効果的です。順に見ていきます。

第一に、使ってよいツールと使い方を明文化する。「どのツールを、どの業務で、どんなデータまで入れてよいか」を一覧にして周知します。禁止事項だけを並べるのではなく、「これは使ってよい」という許可リストを示すことで、現場は迷わず正規のルートを選べます。ガイドラインの作り方は社内AI利用ガイドラインの作り方を土台にすると進めやすくなります。

第二に、入れてはいけないデータをはっきり決める。顧客の個人情報、取引先との契約に関わる情報、未公開の経営情報など、外部サービスに入力してはいけないデータの種類を具体的に示します。抽象的な注意ではなく「この種類の情報は入れない」という粒度で決めるほど、現場は判断に迷いません。情報漏えいを防ぐ具体策は業務AI利用時の情報漏えい対策にまとめています。

第三に、相談窓口と申請の道をつくる。「新しくこのツールを使いたい」「この業務でAIを試したい」という声を受け止める窓口を情シス側に用意します。ここが重いと現場は申請を避けて勝手に使い始めるため、判断を早く返すことが肝心です。使ってよいものを増やしていく前向きな窓口にすると、Shadow AIは自然と表に出てきます。

データと権限の設計

全社で安全に使うには、「誰が」「どのデータに」「どこまで」触れられるかを整理しておく必要があります。難しく考えず、扱う情報の重要度で線を引くのが実務的です。

• 情報の区分けを決める：公開してよい情報・社内限りの情報・機密情報などに分け、それぞれAIに渡してよいかを対応づけます
• 役割ごとに触れる範囲を分ける：業務上その情報を扱う人だけがアクセスできるようにし、必要のない範囲まで広げないのが基本です
• 入口を絞る：会社として契約・許可した経路に利用を寄せ、無許可の個人契約サービスへ機密情報が流れないようにします
• 記録を残せる形にする：どの経路で使われているかを後から確認できるようにしておくと、問題が起きたときの原因追跡がしやすくなります

権限は「広く開けてから絞る」より「必要な範囲だけ開ける」方向で設計すると、事故の影響を小さく保てます。とはいえ、細かくしすぎると現場が使いづらくなり、これもまたShadow AIを生みます。重要度の高い情報ほど厳しく、日常的な業務ほど使いやすく、とメリハリをつけるのが現実的です。情シス自身がAIをどう業務に取り入れるかは情シス・IT部門のClaude Code活用もあわせてご覧ください。

内製を野放しにしない運用設計

生成AIの普及で、非エンジニアの現場社員がClaude Codeなどを使って自分の業務ツールを内製できるようになりました。これは大きな武器ですが、管理せずに放置すると「作った本人しか分からないツールが社内に散らばる」状態を招きます。内製を止めるのではなく、増えても混乱しない土台を情シスが用意することが要点です。

作ったツールを台帳に載せる。誰が・何のために・どんなデータを使うツールを作ったかを一覧化します。すべてを事前承認にすると内製の速さが失われるため、「作ってよいが、使い始めたら登録する」という事後の見える化を基本にすると、現場のスピードと管理を両立できます。

属人化を前提に引き継ぎを設計する。作った本人が異動・退職しても回るよう、何をするツールなのか・元になったデータは何かをメモとして残す運用にします。内製ツールを長く使い続けるための保守の考え方は内製ツールをメンテナンスし続ける方法で解説しています。

機密度で「作ってよい範囲」を分ける。社内限りのデータを扱う軽い集計ツールは現場に任せ、顧客情報や基幹データに触れるものは情シスと相談する、といった線引きをあらかじめ示します。こうしておけば、現場は安心して内製に踏み出せ、情シスは重要な部分だけに目を配れます。内製化そのものの進め方はAIツール内製化の進め方も参考になります。

全社展開のステップと情シスの役割

ガバナンスの設計ができたら、全社への広げ方も段階を踏むと安全です。いきなり全部門へ一斉に開放するより、小さく始めて確かめながら広げる方が、問題を早く見つけて直せます。

まず小さく試す。意欲のある1〜2部署で、決めたルールと権限設計を実際に回してみます。ここで「ルールが厳しすぎて使えない」「窓口の反応が遅い」といった現実の摩擦が見えるので、本格展開の前に手直しできます。

相談役を各部署に置く。情シスだけで全社の質問を受け止めるのは現実的でないため、各部署に旗振り役を育てておくと、日々の小さな疑問はその人が捌けます。旗振り役の立て方は社内にAI推進担当を置く方法で紹介しています。

研修で使い方とルールをそろえる。ツールの使い方だけでなく、「入れてよいデータ」「作ったら登録する」といったルールを、現場が手を動かしながら理解する場を設けると定着します。こうした実践研修には、要件を満たせば人材開発支援助成金などの活用も検討できます。制度の概要は生成AI研修に使える助成金、IT分野の支援はIT導入補助金とAI研修で確認できます（助成率や対象は年度で変わるため、申請時は必ず一次情報をご確認ください）。

まとめ：止めるのではなく、安全に回す土台を情シスがつくる

本記事の要点を整理します。

• 生成AIは現場が個人で使い始められるため、禁止より「見える化して導く」ガバナンスが有効
• Shadow AI対策は、許可リスト・入れないデータの明示・相談窓口の3点で正規ルートを使いやすくする
• 権限は「必要な範囲だけ開ける」方向で、情報の重要度に応じてメリハリをつける
• 現場の内製は止めず、台帳への登録・引き継ぎメモ・機密度での線引きで野放しを防ぐ
• 全社展開は小さく試し、各部署の相談役と研修でルールをそろえながら広げる

生成AIのガバナンスは、現場の便利さと会社の安全のどちらかを選ぶものではありません。情シス・IT管理者が「安全に、止めずに回す」土台を先に整えることで、現場は安心して内製に踏み出し、会社はリスクを抑えたまま業務改善の成果を得られます。まずは、いま社内でどんなAIが使われているかを把握するところから始めてみてください。