シャドウAIは簡単な問題だった：本当のリスクは承認されたソフトウェア内の隠れたエージェントである

2年前、シャドウAIとは、従業員が顧客データをChatGPTに貼り付けることを指していた。対策は大筋では管理可能だった。利用されているツールを把握し、適切なものを承認し、不適切なものを遮断し、従業員を教育する。多くの組織は今、その手順を実行している途中にあり、61%がすでに自社環境でシャドウAIに遭遇しているものの、この対策はおおむね機能している。

しかし、もはやこの説明だけでは問題を捉えられない。シャドウAIは、行動の問題からシステムの構造にかかわる問題へと変わった。ベンダーが組み込んだAIエージェントや、従業員が自ら接続したAIエージェントが、承認済みシステムの内部で継承した認証情報を使って動く。従来のガバナンスではこうした状況に追いつけず、アイデンティティこそが唯一の実効的な制御点になっている。

見落としている2つの影

2026年に問うべきなのは、従業員がどのAIツールを開いたかではない。承認済みのベンダーが前四半期の製品更新にどのAIエージェントをひそかに組み込み、そのエージェントがインストールした人からどの権限を継承したかだ。

かつてシャドウAIは行動の問題だった。目に見え、名前を付けられ、対処方針を定められた。今広がっているものは構造的だ。すでに承認したソフトウェアを通じて入り、すでに発行した認証情報で動き、すでに監査したワークフローの中で活動する。影はもはや行動ではなく、アーキテクチャに潜んでいる。従業員も依然として関係しているが、AIを使う立場から導入する立場へと移った。簡単に接続できるよう設計されたインターフェースを使い、すでにアクセス権を持つシステムにエージェントをつないでいる。前者の行動を想定したポリシーは、後者には及ばない。

だからこそ、「禁止するかどうか」は本質的な論点ではなかった。企業向けツールを承認し、管理された代替手段へ従業員を誘導することで先手を打ったCISOは、その局面には勝った。しかし次の局面はすでに始まっており、経路は1つではなく2つあった。1つ目は、承認済みのベンダーが稼働中の製品に追加するものだ。組み込みモデル、エージェント機能、新たな連携機能が、誰も読まなかったリリースノートとともに届く。2つ目は、従業員が自ら構築する接続だ。ノーコード自動化でCRMにつながれたLLM、データウェアハウスのAPIキーを与えられたCustom GPT、デスクトップアシスタントから本番システムへのMCP接続などがある。いずれも、承認済みの認証情報を使い、承認済みシステムを対象にエージェントが動くという同じ結果を生む。ただし、そのワークフローは、こうした動作を検出するための審査を一度も受けていない。調達部門は1つ目を把握できても、2つ目を完全に見逃すことがある。

最初の局面での成果が、実際には一様ではなかったことも率直に認める必要がある。組織の10社中9社がAI関連のIT予算増額を計画し、多くが今後6～24カ月でIT運用全体へ利用をさらに広げようとしている。資金は高度な機能に流れ、統制は少しずつ後を追っている。この不均衡自体が問題であり、その副作用なのではない。

境界は、もともと人間の行動を囲むものだった

第1波で通用した考え方は、今回には通用しない。従業員の行動としてのシャドウAIは、セキュリティチームが影響を及ぼせる選択を、人間がプロセスの中で行うことを前提としていた。ベンダーのアーキテクチャとしてのシャドウAIは、その選択そのものをなくす。メールを下書きしたモデル、会議の日程を決めたエージェント、文書を要約して次の相手へ送ったアシスタント。どれも、使うよう指示されたソフトウェアを使い続ける以外の行動を従業員に求めていない。

率直に言えば、大半のセキュリティ施策が今も守っている境界は、人間の行動を囲む境界だった。従業員がツールを開き、アクセスを許可し、セキュリティチームが観察して方向付けられる意思決定をする。その境界は上下の2方向から同時に崩れつつある。上からは、どんな審査プロセスも追いつけない速さで、ベンダーが承認済み製品にエージェントを投入する。下からは、従業員が利用者から連携を組む役割へ移り、セルフサービス用に設計され、ガバナンスのための監視・計測機能を備えていないインターフェースでエージェントをシステムへ接続する。代わりの境界は、アイデンティティが何をしているかを軸に構築しなければならない。それが人間のものかどうか、誰が導入したかに左右されずに管理するには、大半の組織がまだ持たない統合的な制御基盤が必要だ。

動作を確認できる最後の場所

アイデンティティは適切な制御点だが、捉え方を変えなければならない。従来の「アイデンティティが新たな境界である」という説明は、利用者も端末もSaaSも至る所にあることを理由としていた。それは10年前から正しく、今では当然の前提だ。2026年に重要な意味は異なる。アイデンティティは、AIが実際に何をしているかを確認できる唯一の場所なのだ。動作が始まる時点で、ツールの境界はすでに越えられているからだ。エージェントは誰かの認証情報を使って動く。誰のものか、どの範囲の権限か、どのデータが対象か、誰の承認によるものか。有用な監査証跡を残せるのは、こうした問いだけだ。ツール単位のガバナンスでは答えられない。ツールはもはや分析の単位ではないためだ。

ITリーダーのほぼ90%は、統合がAIを安全に導入し、利用を拡大する能力に直接影響すると、すでに認識している。難しいのは、制御層での統合が何を意味するかだ。ダッシュボードを減らすだけでは足りない。人間、サービスアカウント、エージェント、組み込みモデルのすべてについて、同じ仕組みで利用環境を用意し、権限範囲を定め、監視し、利用を終了させる単一のアイデンティティ基盤が必要になる。それに満たないものは、ガバナンスを一元化したように見せるだけで、実際の制御の適用は分断されたままだ。

ベンダー審査には有効期限がある

残念ながら、ベンダー審査が有効でいられる期間は限られている。これはセキュリティ施策の構成に厄介な問題を投げかける。多くのAIガバナンス委員会はツール審査を中心に組織されている。登録に向けてベンダーを評価し、承認するか却下するかを決める。そのプロセスは、承認時のツールの動作が本番環境での動作と同じだと想定している。AIを組み込んだソフトウェアでは、承認のインクが乾く間もなく、その前提は崩れる。ベンダーが新たなモデル、エージェントモード、連携機能を出荷すれば、6カ月前に承認されたガバナンス審査は、もはや存在しない製品を説明するものになる。

ツールからアイデンティティへ

長期的に機能する施策は、ガバナンスの対象をツールからアイデンティティへ移す。誰が行ったものでも、データに対するすべての操作を、所有者、権限範囲、有効期間が明確なアイデンティティへ追跡できるようにする。人間か非人間か、従業員かエージェントか、承認済みツールか組み込み機能かにかかわらず、問うべきことは同じだ。これは誰、あるいは何なのか。何を許可されているのか。そして、その権限がいつ失効すべきかをどう把握するのか。これらに答えられる施策なら、ツールの承認競争に勝つ必要はない。答えられなければ、どんな審査プロセスよりも速く機能を投入するベンダーや従業員の後を追い続けることになる。

シャドウAIというカテゴリーがなくなるわけではない。特にエージェントが働く新たな時代には、すでに72%の組織がAIエージェントを本番で稼働させている。シャドウAIは、より大きな問題の一部へと相対的に小さくなっていく。次の予算サイクルをツールの発見と承認ポリシーに費やす組織は、2024年の問題を2026年の日程で解こうとしている。一方、人間、エージェント、そしてその間の曖昧な連続体を対象に、アイデンティティ層の監視・計測基盤へ投資する組織は、自分たちが実際に直面する問題を解いている。

シャドウAIの第1波は、従業員の好奇心には先回りしきれないとセキュリティチームに教えた。第2波は、ベンダーの開発速度や従業員の創意工夫にも先回りしきれないと教えるだろう。どちらの教訓も同じ結論に至る。ガバナンスの単位となるのは、もともとツールそのものではなかった。そのツールを通じて動くアイデンティティなのだ。