シャドーAI対策ガイド：ステップとチェックリスト

ステップ1：発見（Discover）

中央で承認されていないAI利用を可視化します。CASB、ネットワーク・ブラウザログ、または専用のシャドーAI監査（例：既知のAIアプリパターンのスキャン）を利用し、部門別・高リスクアプリ・データ露出を把握します。

• 利用中のAIツールを棚卸し（コンシューマーアプリ、API、組み込み機能）。
• データ感度・規制影響・コストでリスク分類。

ステップ2：リスク評価

データ漏洩、コンプライアンス（EU AI法、業界ルール等）、コストで優先度をつけます。どの利用を統制の下で許容し、どの利用を禁止または承認ツールへ移行するか決定します。

ステップ3：ポリシー策定

AI利用ポリシーを明文化します。何が許可か、何が申請対象か、何が禁止かを記載し、データ取扱い・利用ルール・エスカレーションを含めます。AIMO Standard、EU AI法、ISO 42001、NIST AI RMFなどに合わせて整備します。

ステップ4：許可リストと申請フロー

承認済みAIツール・ユースケースの許可リスト（ホワイトリスト）を維持します。新規ツールを評価・承認する軽量な申請フローを用意し、イノベーションを阻害しないようにします。可能であればデジタル台帳で管理します。

ステップ5：監視と見直し

定期的な発見・監視で新たなシャドーAIを検知します。必要に応じて24時間365日の監視と、高リスク判断に対するHuman-in-the-Loopを導入します。ツールや規制の変化に合わせて許可リストとポリシーを更新します。

チェックリスト（まとめ）

• □ 発見が完了している（監査またはログベースのスキャン）。
• □ リスク評価と優先付けが済んでいる。
• □ AI利用ポリシーを文書化・周知している。
• □ 許可リストと申請フローを整備している。
• □ 監視・見直しのサイクルを定義している。