社員が勝手に使う生成AIをどう把握する？全面禁止よりuse caseとdataをinventory化

結論

Shadow AI対策は未知サービスを一律blockして終わりではありません。ツール名だけでなく、誰が、何の業務で、どのdata classを、どの契約で使うかをinventory化します。

まずこの表で判断する

ツール	責任者	Use case	Data class	Contract	Risk	Alternative
記入	部署/担当	要約/画像/開発	Public/Internal/Confidential	consumer/business/API	H/M/L	承認済み代替

この判断表は、未測定の数字をそれらしく埋めるための表ではありません。価格・性能・品質など実測が必要なセルは、公式一次情報または自分の観測値だけで更新してください。

選び方・進め方

1. 判断ポイント

MicrosoftのShadow AI discoveryはGenAI SaaSだけでなくmodel APIやMCP系も発見対象として扱います。browser サービス一覧だけでは不十分です。

2. 判断ポイント

公開情報で試す個人ツールと、顧客dataをconsumer planへ貼る行為は同列ではありません。data classで優先順位を付けます。

3. 判断ポイント

禁止だけで業務需要が残ると別経路へ移ります。approved ツール、申請経路、例外条件を示し、危険利用を正規経路へ移します。

実行前チェック

• ツール/API/MCP棚卸し
• 責任者/use case
• data class
• 契約plan
• approved alternative

迷ったときの優先順位

最初に不可逆な条件を確認します。契約・権限・必要メモリ・物理互換・商用権利など、後から簡単に直せない条件を先に落とし、その後に価格や操作感を比較します。逆に、価格や画面の好みから選び始めると、導入後に「そもそも要件を満たせない」状態になりやすくなります。