ChatGPTを業務で使う私が「シャドーAI」記事を読んで焦った話

先週、生成AIの社内管理に関する記事を読んで、正直ヒヤッとした。
「シャドーAI化が進行して機密情報の流出リスクが見えなくなる」という話が、他人事に思えなかったから。

私は広告代理店でデジタルマーケターをやっていて、ChatGPTは毎日使っている。
広告文の下書き、SNSキャプションの叩き台、レポートのまとめ。
クライアントの商品情報やターゲット設定、過去の数値データを当然のようにプロンプトに貼り付けてきた。

「使っていいですよ」で終わってた、うちの会社

うちは上司から「AIは積極的に使っていいよ」と言われている。
でもそれ以上の説明は特になかった。
どのツールがOKで、何を入力してはいけないのか、明文化されたルールを見た記憶がない。

記事を読んで初めて知ったのだけど、統制を欠いたまま運用すると情報漏洩・著作権侵害・コンプライアンス違反が発生するリスクがあるらしい。
著作権の話は薄々気にしていたけど、「コンプライアンス違反」という言葉で改めて背筋が伸びた。
クライアント案件の数値を貼り付けて生成したテキスト、これって本当に大丈夫だったんだろうか。

記事では社内管理で押さえるべき領域として、ルール・体制・技術・教育・モニタリングの5つが挙げられていた。
さらにガイドラインに盛り込むべき項目として「機密情報の入力禁止区分」と「生成物の事実確認義務」が明記されていた。
この2つ、私の日常業務で言えば直撃する項目だと思う。

「ROIで評価する」はずなのに、リスクを測れていなかった

自分はAIを数字で評価したいタイプだと思っていた。
「この文章生成ツールで作業時間が何分短縮できたか」「広告文のクリック率はAI案と手書き案でどちらが高いか」という視点で見てきた。
でも、リスクのコストを計算に入れていなかった。

効率が上がった一方で、万が一情報が漏れたときの損失をゼロとして扱っていた。
ROIの計算式が最初から壊れていたわけだ。

シャドーAIという概念も、この記事で初めてちゃんと理解した。
会社が把握していないAIツールを個人や部門が勝手に使い始める状態のことで、情シスから見ると「使われているかどうかも分からない」という状況になる。
私がこっそり使い始めた新しい画像生成ツール、あれも該当するかもしれない。

マーケター目線で考えると、シャドーAI問題って実は「計測できていないコンバージョン」に近い感覚がある。
GA4でトラッキングできていないセッションが積み上がっているのと同じで、見えていないリスクがどんどん溜まっていく。
見えないものはコントロールできないし、改善もできない。

この記事を読んで、まず自分がやるべきことは整理できた気がする。
今使っているAIツールを全部書き出して、それぞれに「何を入力しているか」を確認すること。
クライアントの固有名詞や数値が含まれているプロンプトがあれば、そこから見直す。
そして会社にAI利用のガイドラインがあるかどうか、正式に確認してみること。

「使っていいよ」だけで走ってきたけど、ルールがないまま走り続けるのはもうやめようと思う。
まず来週、自分のプロンプト履歴を見返すところから始めてみる。