シャドーAIとは、組織が把握も承認もしていないAIツールを業務で使うことです。シャドーAIガバナンスとは、その利用を表に出すためのルールとチェックの仕組みです。マーケティングチームなら、まず1ページのポリシーで十分です。承認済みツール、データ区分、人によるレビュー、ログ、インシデントの連絡ルートを盛り込みます。
主なポイント
- シャドーAIは、もっと速く働こうとする人たちの自然な行動です。禁止するだけのポリシーでは、見えないところに追いやってしまいがちです。
- 主なリスクは、データ漏えい、未確認の主張、著作権、ブランドボイスのずれ、記録に残らない約束です。
- よいポリシーは1ページに収まり、5つの問いに答えています。どのツールか、どのデータか、誰がレビューするか、何を記録するか、問題が起きたらどうするか。
- ポリシーと一緒に、実際に使える十分な品質の承認済みツールリストも用意しましょう。
- ツールもルールも変化が速いため、このページは四半期ごとに見直します。
シャドーAIとは?
IT部門、法務、またはマーケティングリードのレビューを受けないまま、スタッフが業務で使うAIツール、プラグイン、ブラウザ拡張機能、エージェントのすべてを指します。コピーライターがクライアントのブリーフを無料のチャットボットに貼り付けるのが典型例です。契約書に記載のない画像生成ツールをフリーランサーが使う場合も同様です。
原因は多くの場合、悪意ではありません。人は役に立つツールを使います。同じ圧力がAIツールの乱立も生みます。これはリスクの問題であると同時に、コストの問題でもあります。
シャドーAIはなぜマーケティングで問題になるのですか?
マーケティングは、顧客データ、未発表の計画、クライアントの機密資料、公に出す主張を扱います。承認されていないAIを通じて、そのどれもが問題を起こしかねません。
- データ漏えい。機密データや個人データを、保存や学習への利用を認める規約のツールに入力してしまうこと。
- 誤った主張。モデルは統計、引用、価格をでっち上げます。マーケティングにおけるAIのハルシネーションをご覧ください。
- 権利と開示。生成した素材の権利が不明確であったり、ルールで求められる開示が欠けていたりすること。
- ブランドのずれ。多くの人がそれぞれ違うプロンプトを書くと、誰の声でもないコンテンツになります。
- 隠れた約束。記録を残さず、顧客に返信したり公開したりするエージェント。シャドー台帳の記事で取り上げています。
土台にできる、広く認められたフレームワークはありますか?
はい。米国国立標準技術研究所(NIST)が、2023年1月26日に任意で活用できる資料としてAIリスクマネジメントフレームワークを公開しました。NISTは、生成AI特有のリスクを組織が特定できるよう、2024年7月26日に生成AIプロファイル(NIST-AI-600-1)も公開しています。このフレームワークはAIを開発または導入する組織向けに書かれているため、マーケティングチームは丸ごと採用するのではなく、その考え方、つまりガバナンス、マッピング、測定、管理を借りるのがよいでしょう。NISTのページには、フレームワークが改訂中であると記されているため、最新版を確認してください。
法務、セキュリティ、データ保護の責任者が、現地のルールを適用する必要がある場合もあります。この記事は法的助言ではありません。
1ページのポリシーには何を書くべき?
次の6つのセクションを使います。各セクションは数行にとどめます。
- 目的と対象範囲。誰に適用するか。社員、フリーランサー、自社ブランドを担当する代理店。
- 承認済みツール。担当者と新しいツールの申請方法を添えた、名前入りのリスト。リストにないものは、先に承認が必要です。
- データ区分。どのツールに何を入力してよいかを明記します。
- 公開情報(公開済みのコンテンツ):承認済みツールでは可。
- 社内情報(計画、下書き):ビジネス向け規約のある承認済みツールのみ。
- 機密情報(クライアントデータ、未発表のローンチ、契約書):そのために承認されたツールのみ。
- 個人データ(顧客名、メールアドレス、オーディエンスリスト):プライバシー担当の承認がない限り、AIツールには入力しない。
- 人によるレビュー。公開前に、指名された担当者が事実、数字、引用、主張、ブランドボイス、法的な表現を確認します。当社のAIコンテンツのQAチェックリストをお使いください。
- ログ。AIを活用して公開した成果物について、ツール、日付、目的、レビュー担当者を記録します。自律的に動くエージェントには、監査証跡と承認ゲートが必要です。
- インシデント。機密データを未承認のツールに貼り付けた場合や、誤った主張が公開された場合は、定められた時間内に指名された窓口へ連絡し、証拠を削除せず、早期に報告した人が責められることはないと心得てください。
すでに使われているシャドーAIを、どうやって表に出しますか?
- まず聞く。責任を問わない短いアンケートを実施します。どのAIツールを、何のために使っていますか?
- 回答を仕分けし、承認、置き換え、停止に分けます。
- よくある作業ごとに、使い勝手のよい承認済みの選択肢を用意します。そうしないと、リストは無視されます。
- 短時間で研修する。ポリシーとAIの出力の確認方法について1時間。若手マーケターにAIを教える方法をご覧ください。
- 四半期ごとに見直し、ツールリストを更新します。
FAQ
シャドーAIはシャドーITと同じですか?
その一種です。シャドーITは承認されていないソフトウェア全般を指し、シャドーAIはそのAI版で、データが学習に使われることや、正しそうに見えて誤っているコンテンツによるリスクが加わります。
AIツールは禁止すべきですか?
全面禁止は徹底しにくく、たいていは見えないところに追いやるだけです。明確な承認リストとデータのルールがあれば、同じメリットを安全に得られます。
マーケティングチームでは、誰がAIポリシーを管理すべきですか?
日常的にはマーケティングリードが管理し、法務、セキュリティ、データ保護の意見を取り入れます。質問の届け先がわかるよう、担当者を1人決めましょう。
フリーランサーや代理店も従う必要がありますか?
はい。ポリシーを契約書やブリーフに盛り込み、自社の案件でどのAIツールを使い、どのデータを入力しているかをパートナーに尋ねてください。
ポリシーはどれくらいの頻度で更新すべきですか?
四半期ごと、そして新しいツール、法律、インシデントで状況が変わったときに見直します。古いページは、誤った安心感を与えるため、ないよりも悪いものです。
出典
- NIST、AI Risk Management Framework。
- SOMINの投稿:シャドー台帳とマーケティングにおけるAIのハルシネーション。
