シャドー AI：従業員は IT 部門に知らせることなく AI ツールを使い始める
シャドー AI は、すでに顧客環境の中に入り込んでいます。MSP には、リスクの検知、SaaS 利用の把握と管理、そして AI を活用したクラウドアクティビティの保護を実現する可視性が欠かせません。
2026 年 6 月 30 日 Tracy Hillstrom 著
AI がセキュリティ上の新たな盲点となる前に、MSP に可視性が必要な理由
生成 AI はすでに広く普及しており、IT 部門が把握しているかどうかにかかわらず、顧客はすでに利用しています。従業員は、メールの作成、文書の要約、コードの生成、スプレッドシートの分析、日常業務の効率化などを目的として、AI アシスタントを活用しています。ほとんどの場合、目的は生産性の向上にあります。
しかし、問題があります。従業員は、機密性の高い顧客情報を一般向けの AI ツールに貼り付けたり、AI を活用した会議アシスタントを Microsoft 365 に接続したり、サードパーティアプリケーションにビジネスデータへの広範なアクセス権を付与したりしている可能性があります。しかも、そのすべてが IT 部門に把握されないまま行われている場合があります。
シャドー AI は新たなシャドー IT
組織は数年前まで、従業員が IT 部門の承認を得ずにクラウドアプリケーションを利用するシャドー IT への対応に苦慮していました。現在、その課題は新たな形へと変化しています。
現在では、よくわからないファイル共有サービスやコラボレーションツールではなく、AI アシスタント、ブラウザ拡張機能、生産性向上ツール、自動化プラットフォームなどが企業のアイデンティティに直接接続されるようになっています。
これらの多くは、メール、カレンダー、ファイル、連絡先、クラウドストレージへの広範なアクセス権を要求します。しかし、実際にどれだけの AI アプリケーションが接続されているのかを正確に把握している組織はほとんどありません。
これが問題となる理由
企業環境に接続された AI アプリケーションは、それぞれがセキュリティおよびコンプライアンス上の潜在的なリスクとなります。
従業員が承認されていない AI ツールへ機密情報を入力すると、そのデータは保存されたり、組織の管理外で処理されたり、さらには外部 AI モデルの学習に利用されたりする可能性があります。信頼できる AI アプリケーションであっても、適切なガバナンスや可視性がないまま導入されれば、新たなリスクを生み出す恐れがあります。
必要以上の権限を要求するアプリケーションもあります。
また、会社のポリシーに反して機密情報を保存するものもあります。
従業員は、顧客の機密データや知的財産、規制対象となる情報を、知らないうちに公開 AI サービスへアップロードしてしまう可能性があります。
評判の良い AI ツールであっても、適切なガバナンス体制がないまま展開すると、リスクを生み出す場合があります。問題は、AI を利用するかどうかではありません。安全に利用できるかどうかです。
可視性はビジネス要件になりつつある
組織は MSP に対し、問題が発生した後の対応だけでなく、よりプロアクティブなサイバーセキュリティ対策を求めるようになっています。
ウォッチガードの「MSP サイバーセキュリティトレンドレポート 2026 年版(英語)」によると、過去 1 年間にサイバーセキュリティインシデントを経験した組織は 75% に上ります。また、44% は AI を活用した検知や対応のためであれば追加費用を支払う意思があると回答し、47% は 24 時間 365 日の監視や迅速な対応に対して追加料金を支払う価値があると考えています。
シャドー AI は、こうした期待と課題が交差する領域にあります。顧客自身は、新たなセキュリティ上の盲点を生み出していることに気付いていないかもしれません。しかし、インシデントへ発展する前に、それを特定して管理することを MSP には期待しています。
見えていないものは守れない
MSP にとって最大の課題は、シャドー AI を止めることではありません。まず、それを発見することです。見えていないものを保護することはできません。さらに、すべての顧客環境で AI を活用する新しいアプリケーションや OAuth 連携を手作業で探し続けることは、現実的ではありません。既存の SaaS プラットフォームには、ほぼ毎日のように新しい AI 機能が追加されており、継続的な可視性がこれまで以上に重要になっています。
発見をビジネスチャンスへ
MSP が顧客環境でこれまで把握されていなかった AI ツールを発見すると、その後の会話は大きく変わります。
抽象的なリスクを説明する代わりに、実際にどの AI ツールが接続されているのか、どのような権限が付与されているのか、そしてガバナンス上のギャップがどこにあるのかを、顧客に具体的に示すことができます。
これにより、顧客が AI をより安心して活用できるよう支援しながら、セキュリティを強化する機会が生まれます。
MSP は「AI を使わないでください」と伝えるのではなく、「AI を安全に活用するにはどうすればよいか」という、より重要な問いに答える手助けができます。
クラウドセキュリティの未来には AI が欠かせない
AI の導入は今後さらに加速していきます。毎月のように、新しい AI アシスタントや新たな統合機能が登場し、従業員がクラウドアプリケーションを企業のアイデンティティと接続する方法も増え続けています。この現実を見過ごすセキュリティ戦略は、すぐに時代遅れになってしまいます。
だからこそ、クラウドの可視性は、現代のマネージドセキュリティに欠かせない基盤となっています。WatchGuard Cloud Detection and Response（CloudDR）のようなソリューションは、MSP 向けに設計された単一のプラットフォームから、未知の AI 活用アプリケーションやサードパーティ統合を継続的に検出し、リスクの高い OAuth 権限を特定するとともに、クラウドアイデンティティを監視し、新たな SaaS 脅威を検知することができます。
MSP にとって、シャドー AI は単なる新たなセキュリティ上の懸念ではありません。シャドー AI は、すでに顧客環境で広がり始めています。問題は、シャドー AI が存在するかどうかではありません。誰よりも先にそれを見つけられるかどうかです。MSP にとって、これはプロアクティブなセキュリティを提供し、顧客との信頼関係を強化するとともに、今日最も急速に拡大しているクラウドリスクの一つを軸とした高付加価値のマネージドサービスを提供する絶好のビジネスチャンスです。