在影子AI侵蚀经营之前

影子AI：一种新的风险

“SCS评估制度下，计划增加安全投资的企业占8成”“2/3的IT部门感受到‘影子AI’增加”——ASCII.jp报道的这一调查结果，给众多经营者带来了冲击。

SCS评估制度，是信息处理推进机构（IPA）从2026年度开始实施的“安全审查制度”的评估标准。通过让第三方评估自身的安全水平，企业可以获得交易伙伴的信任。

为了应对这一制度，多达8成的企业计划增加安全投资。然而，在其背后，一个严重的问题正在蔓延：员工未经许可开始使用生成式AI（如ChatGPT、Copilot等）的“影子AI”正在急剧增加。

数据显示，2/3的IT部门已经感受到了这一现象。这是经营层未能定义AI使用规则，导致一线员工擅自行动的后果。

SCS评估制度不仅仅是安全审查。它是交易伙伴判断“能否与这家公司安全交易”的标准。

尤其对于中小企业而言，应对这一制度可能关乎生死存亡。因为一旦大企业要求交易伙伴具备SCS评估，无法应对的中小企业将失去交易机会。

横滨信息设备公司推出的“YJK365 Security”正是应对这一挑战的服务。它将面向中小企业的“简易SOC（安全运营中心）”与IT部门BPO相结合，甚至覆盖了SCS评估制度的对策。

这项服务值得关注的点在于，它提供的不是“以设备销售为起点的IT维护”，而是“从经营视角出发的安全对策”。传统的IT供应商往往卖完服务器和网络设备就结束了。但YJK365 Security提供的是包含运营和评估在内的一站式支持。

这将成为经营者重新认识IT——不是“买完就完”，而是“持续使用才能创造价值”的契机。

为什么影子AI会增加？原因很简单：经营层没有指明AI运用的方向。

员工为了提高工作效率想使用AI。但公司既没说“可以用AI”，也没说“不能用”。于是，他们凭个人判断开始使用ChatGPT或Copilot。这就是影子AI的典型发生模式。

问题在于，这种状态持续下去，信息泄露的风险就会增加。员工输入的客户信息或机密数据，有可能作为AI的学习数据泄露到外部。

此外，即使AI的回答有误，也无人验证。基于错误信息做出经营判断的风险也不容忽视。

ASCII.jp的调查显示，感受到“影子AI增加”的IT部门高达2/3。这证明了一线与IT管理部门之间存在着严重的鸿沟。

这里重要的是，AI运用的规则应由经营层直接定义。

许多经营者容易认为“AI是专业话题，交给IT部门吧”。然而，AI运用本身就是经营战略。哪些业务可以使用AI、哪些数据可以输入AI，这些都应该由经营层来决定。

例如，客户信息是否可以输入AI？这涉及法律风险的判断。AI的回答能否直接提供给客户？这是质量保证的判断。仅靠IT部门来决定这些是不现实的。

经营者应该做以下三件事：

第一，明确AI运用的目的。不是“提高生产力”这种抽象目标，而是具体决定“这项业务的这个部分交给AI来做”。

第二，制定数据处理规则。设定诸如“客户信息不输入AI”“公司机密信息仅在专用AI环境中处理”等标准。

第三，建立验证AI输出的机制。不是直接使用AI的回答，而是设计一个由人工确认后再使用的流程。

要同时推进SCS评估制度的应对和影子AI的对策，以下三项行动是有效的。

第一，安全外包。利用像横滨信息设备的YJK365 Security这样的服务，即使公司内部没有安全专家，也能确保必要的安全水平。现在，每月只需几万日元（约合人民币数千元）就能开始使用的服务越来越多，中小企业也更容易引入。

第二，制定AI运用指南。将“允许使用的AI工具列表”“禁止输入的数据列表”“输出结果的确认流程”文档化。为了方便在公司内部共享，最好将其总结在一张A4纸上。

第三，IT部门与经营层的定期对话。每月一次，哪怕只有30分钟，也要设立一个场合，让经营者直接听取IT部门关于“现在一线正在使用哪些AI”“存在哪些安全风险”的汇报。这种对话正是将影子AI可视化的第一步。

应对SCS评估制度，不仅仅是成本的增加。这是经营层将IT从“交给专家”提升为“经营资源”的绝佳机会。

影子AI的增加，是对经营层未定义AI运用规则的警告。员工追求效率。这股能量，是让其陷入没有规则的混乱，还是按照经营战略的方向加以利用？这正是关键所在。

以横滨信息设备的YJK365 Security为代表的新型安全服务表明，中小企业也能采取专家级对策的时代已经到来。为了不落后于这一趋势，经营者现在就应该做出判断。

IT已经不再是“不太懂所以交给别人”的领域。它是需要经营层直接定义、设计、评估的经营资源。这一认识，将决定未来的竞争力。