午前9時03分、ある従業員が企業アカウントで承認済みのAIアシスタントを開き、リリースノートの要約を依頼する。

9時27分、エンタープライズ版では必要な機能が使えないことに気づき、同じサービスを個人アカウントで開いて作業を続ける。

10時11分、定例のSaaSアップデート後にCRMへ新しいAIサイドバーが表示された。顧客レコードの要約、フォローアップメールの下書き、カレンダーとの連携ができる。

11時06分、ブラウザ拡張機能がミーティングのメモをあるアプリから別のアプリへ転送するよう提案してきた。ワンクリックで、2つ目のAIサービスがワークフローに加わった。

この従業員は、一見して怪しいものをインストールしたわけではない。黒いパーカーを着た謎のチャットボットが来たわけでもない。午前中の仕事は生産的に、むしろいつになく順調に見えた。

しかしセキュリティの観点からすると、このワークフローはいくつかの異なる状態を経てきている。アプリの名前は変わらないまま、アイデンティティ・機能・連携・データの経路・実行できるアクションがその周囲で変化したのだ。

承認済みアプリの「盲点」は、こうした静かな変化の中に潜んでいる。

アプリ承認プロセスが捉えられるもの・捉えられないもの

アプリケーションの承認は、組織にとって価値ある関門となる。セキュリティ・法務・プライバシー・調達・ITの各部門がサービスを評価し、契約条件を定め、エンタープライズ向けの管理設定を行い、適切な利用範囲を定義できる。

しかし、その承認決定はある特定の時点の現実を捉えたものにすぎない。レビュー当時に把握していたアカウント・機能・連携・データの取り扱い・業務目的を反映している。AIサービスは急速に進化する。SaaSアプリケーションはコパイロットやエージェントを追加する。ブラウザ拡張機能はコネクターを獲得する。個人用とエンタープライズ用では提供される機能が異なる。誰も最初のアンケートには書かなかった使い方を従業員が発見する。承認は依然として有効だが、その「有効期限」は不快なほど短くなっている。

「シャドーAI」とは状態である

多くのシャドーAI対策プログラムは単純なメンタルモデルから始まる。承認済みアプリは「光の中」に、未知のアプリや禁止されたアプリは「影の中」に属するという考え方だ。

しかし現実のワークフローはそこまで整然とはしていない。承認済みサービスでも、誰かがアイデンティティを切り替えたり、承認された設定外の機能を有効にしたり、別のサービスを接続したり、機密データを新たな方法で使用したりすると、管理されていない経路が生まれる。

ロゴが変わらなくても、境界線は動く。

シャドーAIを「状態」として捉えると問題が見えやすくなる。次のいずれかの条件が変化したとき、やり取りはガバナンスの範囲外に移行する可能性がある。

• アイデンティティ：従業員がエンタープライズアカウントから個人または管理外の認証情報に切り替える。
• 機能：承認済みSaaSプラットフォームが生成AIアシスタント、自律ワークフロー、またはエージェント機能を導入する。
• 連携：プラグイン、ブラウザ拡張機能、コネクター、MCPサーバー、または外部エージェントがワークフローへのアクセスを取得する。
• データ：顧客情報・ソースコード・認証情報・契約書・その他の保護されたコンテキストがやり取りに含まれるようになる。
• 目的：一般的なコンテンツの下書き用に承認されたサービスが、規制対象データの分析や重大なビジネス判断に使われる。
• アクション：テキスト生成のみだったアシスタントが、レコードの取得・メッセージ送信・システム更新・下流タスクのトリガーができるようになる。

それぞれの移行がリスクを変化させる。同じブラウザセッション内でも複数の移行が起きることがある。

アイデンティティという見逃しやすい境界線

アイデンティティは特に分かりやすい例だ。企業がAIサービスについてエンタープライズ向けの保護・保持条件・管理コントロール・監査可能性を交渉・合意していたとしても、同じサービスへの個人ログインはその取り決めの外に置かれる。従業員の目にはインターフェースがほぼ同一に見えても、セキュリティ特性は大きく異なる可能性がある。

Check Point社のWorkforce AI Securityのインベントリガイダンスでは、個人または非エンタープライズの認証情報を通じてアクセスされるエージェントをシャドーAIとして識別する際にこの区別を用いている。ドメインやアプリ名だけで探索を止めてしまうと、このアカウント切り替えは見落とされやすい。

資産インベントリだけでは不十分な理由

資産インベントリは依然として基盤となる。セキュリティチームはどのAIアプリケーションやエージェントが存在し、誰が使用し、どこに接続されているかを把握する必要がある。しかし、AIはそのインベントリを「出発点」に変えてしまう。

アプリケーションの記録が示せるのは、あるサービスがレビューを通過したという事実だけだ。従業員が管理されたテナントにサインインしているかどうか、どのAI機能が有効か、どんな情報がプロンプトに入力されているか、新しいコネクターがデータを取得できるかどうか、出力がどこへ向かうか——これらの詳細はやり取りの中にある。

そのため、正式なAI導入を開始した組織でも、通常のAI利用から重大な情報漏洩リスクが生じ得る。Check Point社の「2026年AIセキュリティ脅威レポート」では、高リスクなGenerative AIプロンプトの割合が前年の2%から4%へと倍増したことが判明した。レポートは、この露出の多くが日常的な承認済み利用から来ており、より良い回答を得るために従業員がプロンプトにリッチなコンテキストを提供するようになっていると指摘している。

この行動は理にかなっている。有用なAIはコンテキストで動く。一般的なリクエストには一般的な回答しか返ってこないため、従業員は契約書、顧客履歴、コード、会議の書き起こし、そして「本当に何を意味しているか」を説明する社内議論を追加する。回答は改善される。そしてデータの境界線はより危うくなる。

埋め込みAIが盲点を広げる

以前、従業員が生成AIを使うには、それとわかるAIサービスへアクセスする必要があった。今や、その機能は生産性スイート・顧客プラットフォーム・開発ツール・会議アプリ・ブラウザ・デスクトップソフトウェアの中に現れる可能性がある。Microsoftの「2026 Work Trend Index」は、AIとエージェントがワークフローに組み込まれていく一方で、組織のシステムが従業員の実際の働き方に追いつけていないと述べている。

セキュリティチームが親アプリケーションをよく把握していても、新しいAI機能がこれまで評価されたことのないモデルプロバイダー・保持動作・連携・権限セット・エージェントのアクションを持ち込む可能性がある。

また、使い慣れたアプリケーションが情報を予期しない形で組み合わせることもある。ユーザーが個別には複数の顧客レコードを閲覧できる権限を持っていても、埋め込みアシスタントがそれらをまとめてメール履歴と組み合わせ、結果を接続されたワークフローへ送り込む可能性がある。リスクは組み合わされたコンテキストと送信先から生まれるのだ。

インタラクションレベルでのリスク把握が必要

アプリケーションレベルのラベルはここで精度を失い始める。「承認済み」は製品との関係を表す。現在のAIインタラクションについては、ほとんど何も示さない。

有効な対応は継続的な分類だ。人々が作業する中でAIのインタラクションがセキュリティ状態を変化させるタイミングを把握することが必要だ。次の6つの問いが実践的な出発点となる。

• 誰がAI機能を使っているか？
• どのアカウント、アイデンティティ、デバイス、テナントが関わっているか？
• どのアシスタント、モデル、拡張機能、連携、またはエージェントが有効か？
• どのデータがやり取りに入力または取得されているか？
• 従業員はどのビジネス目的を達成しようとしているか？
• 情報またはアクションは次にどこへ向かうことができるか？

これらの問いにより、管理されたエンタープライズアシスタントを使って公開コンテンツを磨いている従業員と、個人アカウントで未公開の財務データを分析している同じ従業員との差が明らかになる。また、より実効性のあるポリシー対応も可能になる。低リスクの活動は継続できる。個人ログインはリマインダーのトリガーやエンタープライズテナントへの切り替え要求となる。機密コンテンツは編集される。禁止された連携はブロックされる。エージェントのアクションは別システムに到達する前に承認を必要とする。

統計が示すコントロール層の重要性

IBMの「2025年データ侵害コストレポート」は、そのコントロール層がいかに重要かを示している。AIに関連するセキュリティインシデントを報告した組織のうち、97%が適切なAIアクセスコントロールを持っていなかった。調査全体では、63%がAIを管理したりシャドーAIの拡散を制限したりできるガバナンスポリシーを持っていなかった。

ポリシーと承認済みツールリストは基盤の一部だ。しかし、セキュリティチームがブラウザ・SaaSアプリケーション・デスクトップツール・コパイロット・拡張機能・従業員が構築したワークフロー全体でAIの使われ方を可視化できるとき、その価値は高まる。

午前中の従業員の事例に戻って

企業のAIアカウントは適切に管理されているかもしれない。個人アカウントはエンタープライズの保護の外にある可能性がある。CRMの新しいアシスタントはレビューが必要かもしれない。ブラウザ拡張機能は別のモデルとデータ経路を持ち込んでいる可能性がある。作業は昼食前にセキュリティ状態を何度も変えながらも、ずっと正当なものであり続ける。

AIポリシー・承認済みベンダーリスト・エンタープライズライセンスを持つ組織の中にも、シャドーAIはすでに存在しうる。それはしばしば、それらのコントロールの隙間に住んでいる。アカウント切り替え、新たに有効化された機能、静かな連携、余分なコンテキスト、誰もアシスタントが実行するとは思っていなかったアクションの中に。

Check Point Workforce AI Securityは、管理されたAIとシャドーAIの両方にわたってその活動を追跡し、アプリケーションの探索とユーザーの意図・アイデンティティ・データフロー・エージェントの動作を結びつけるように設計されている。

AI活用が広がる職場では、「承認済み」と「シャドー」は一時的なセキュリティ状態にすぎない。あるインタラクションがどの状態にあるかを理解するには、アプリケーションのロゴが提供できる以上の視点が必要だ。