シャドーAIが経営を蝕む前に

「SCS評価制度でセキュリティ投資『増額予定』が8割」「情シスの3人に2人が『シャドーAI増加』実感」。ASCII.jpが報じたこの調査結果は、多くの経営者に衝撃を与えています。

SCS評価制度とは、経済産業省などが2026年度末頃の開始を目指す「サプライチェーン強化に向けたセキュリティ対策評価制度」のことです。自社のセキュリティ対策の水準を★の数で示すことで、取引先からの信頼を得る仕組みです。

この制度に対応するため、8割もの企業がセキュリティ投資の増額を予定しています。ところがその裏で、深刻な問題が進んでいます。社員が許可なく生成AI（ChatGPTやCopilotなど）を使い始める「シャドーAI」の急増です。情シスの3人に2人がこの現象を実感しているというデータもあります。経営がAI活用のルールを定めないまま、現場が勝手に動き始めた結果です。

SCS評価制度が経営に突きつける判断

SCS評価制度は、ただのセキュリティチェックではありません。取引先が「この会社と安全に取引できるか」を判断するための基準です。

とくに中小企業にとって、この制度への対応は死活問題になりえます。大企業が取引先にSCS評価を求めるようになれば、対応できない中小企業は取引の機会を失うからです。

横浜情報機器が立ち上げた「YJK365 Security」は、まさにこの課題に応えるサービスです。中小企業向けの「簡易SOC（セキュリティオペレーションセンター）」と情シスBPOを組み合わせ、SCS評価制度への対策までカバーします。

注目したいのは、このサービスが「機器販売を起点にしたIT保守」ではなく、「経営視点でのセキュリティ対策」を提供している点です。従来のITベンダーは、サーバーやネットワーク機器を売れば終わりでした。YJK365 Securityは、運用と評価まで含めて支えます。経営者がITを「買ったら終わり」ではなく「使い続けて価値を出すもの」ととらえ直すきっかけになるでしょう。

シャドーAIが生まれる構造

なぜシャドーAIは増えるのでしょうか。原因は単純です。経営がAI活用の方針を示さないからです。

社員は業務を効率化するためにAIを使いたい。けれども会社からは、「使ってよい」とも「使ってはいけない」とも言われない。そこで、個人の判断でChatGPTやCopilotを使い始める。これがシャドーAIの典型的な発生パターンです。

この状態が続けば、情報漏洩のリスクが高まります。社員が入力した顧客情報や機密データが、AIの学習データとして外部に流れ出るおそれがあるのです。

AIの答えに誤りがあっても、誰も検証しません。誤った情報をもとに経営判断が下されるリスクも無視できません。

ASCII.jpの調査で「シャドーAIの増加」を実感している情シスが3人に2人にのぼるのは、現場とIT管理部門のあいだに深刻なギャップが生じている証拠です。

AIのルールは経営が定義すべきである

ここで重要なのは、AI活用のルールを経営が自ら定義すべきだという点です。

多くの経営者は、「AIは専門的な話だからIT部門に任せよう」と考えがちです。しかしAI活用は、事業戦略そのものです。どの業務にAIを使い、どのデータをAIに入力してよいかは、経営判断で決めるべき事柄です。

顧客情報をAIに入力してよいか。これは法務リスクの判断を伴います。AIの答えをそのまま顧客に出してよいか。これは品質保証の判断です。どちらも、IT部門だけで決めるには無理があります。

経営者がすべきことは、次の3つです。

1つ目は、AI活用の目的をはっきりさせることです。「生産性向上」という抽象的な目標ではなく、「この業務のこの部分をAIに任せる」と具体的に決めます。

2つ目は、データの取り扱いルールを定めることです。「顧客情報はAIに入力しない」「社内の機密情報は専用のAI環境でのみ扱う」といった基準を設けます。

3つ目は、AIの出力を検証する仕組みを作ることです。AIの答えをそのまま使わず、人が確認してから使うプロセスを設計します。

中小企業が取るべき3つのアクション

SCS評価制度への対応とシャドーAI対策を同時に進めるには、次の3つのアクションが効果的です。

1つ目は、セキュリティのアウトソースです。横浜情報機器のYJK365 Securityのようなサービスを使えば、セキュリティの専門家を社内に抱えなくても、必要な水準を確保できます。月額数万円から始められるサービスも増えており、中小企業でも導入しやすくなっています。

2つ目は、AI活用のガイドラインづくりです。「使ってよいAIツールの一覧」「入力禁止データのリスト」「出力結果の確認プロセス」を文書にします。社内で手軽に共有できるよう、A4の1枚にまとめるのがコツです。

3つ目は、情シスと経営の定期的な対話です。月に1回、30分でもかまいません。経営者が情シスから「いま現場でどんなAIが使われているか」「どんなセキュリティリスクがあるか」を直接聞く場を設けます。この対話こそが、シャドーAIを見える化する第一歩です。

ITを経営資源に取り戻すとき

SCS評価制度への対応は、ただのコスト増ではありません。経営がITを「専門家任せ」から「経営資源」へと引き上げる絶好の機会です。

シャドーAIの増加は、経営がAI活用を定義してこなかったことへの警告です。社員は効率化を求めています。そのエネルギーを、ルールのない混沌のまま放っておくのか、経営戦略に沿った形で生かすのか。それが問われています。

横浜情報機器のYJK365 Securityに代表される新しいセキュリティサービスは、中小企業でも専門家レベルの対策を取れる時代が来たことを示しています。この流れに乗り遅れないためにも、経営者はいますぐ判断を下すべきです。

ITはもはや、「よくわからないから任せる」領域ではありません。経営が自ら定義し、設計し、評価する経営資源です。その認識こそが、これからの競争力を左右します。