A7：シャドーAI対策の4段階

シャドーAI（会社が承認していない生成AIの業務利用）は、IPA「情報セキュリティ10大脅威2026」で第3位に初選出されました。IBM の2025年データ侵害コストレポートでは、シャドーAI利用が多い組織は平均約67万ドルの追加侵害コストを負担するとされています。

段階	設計のポイント
1. 可視化	CASB / SWG 等で、どのAIサービスが・誰に・どんなデータと共に使われているかを把握。同じサービスでも会社契約か個人契約か（インスタンス識別）まで見る。チャット画面の監視では見えない MCP 通信・野良エージェントも検知対象に
2. 評価	検知されたツールを一律ブロックせず、学習利用の有無・データの行き先で仕分け。ブロックすべきはツールではなく機密データの流出
3. 公式代替の提供	使われている＝需要がある。企業契約版・同等機能の承認済みツールを提示。「ダメ」とだけ言えば私物端末・個人アカウントに潜るだけ。承認済みAIを業務IdP（SSO）配下に集約＝退職者対応・監査ログ・データ保持設定の土台
4. 例外プロセス	業務上どうしても必要なケースの申請ルートを軽量に用意。例外が申請される組織は健全、例外が隠される組織は危険

ブロック一辺倒ではなくリアルタイムコーチング（注意喚起と代替手段の提示）を挟み、業務を止めずに正規ルートへ誘導
詳細：「シャドーAIとは？最新調査と対策【2026年5月】」blog.cloudnative.co.jp/articles/shadow-ai-zero-trust-countermeasures-2026/

検知して潰すのではなく、検知して公式ルートに吸収する