AIは、多くの中小企業（SMB）のオーナーやそのチームが、より少ないリソースでより多くの成果を上げることを可能にしている。日常的な事務作業の支援、営業時間外の電話対応、簿記の自動化、さらにはプログラミングのような高度なタスクにも対応できる。IT部門がこのAI利用を承認している限り、それは大いに結構なことだ。しかし、従業員がIT部門やセキュリティ部門の承認を得ずに未承認のAIツールを職場で使用する「シャドーAI」は、すでに実際のデータ漏洩や実質的なビジネスコストと結びついている。
従業員の67%が職場でシャドーAIを利用しているなか、このように承認を得ずにチャットボットやその他のAIエージェントを使用することは、企業の機密データを危険にさらす恐れがある。米国のクラウドアプリケーション企業であるVercelは今年初め、従業員が使用していたサードパーティ製のエージェント型AI（自律型AI）ツールに攻撃者がアクセスしたことで、データ漏洩の被害に遭った。ハッカーは当該従業員のGoogle Workspaceアカウントを乗っ取り、Vercelの他の環境に侵入することができた。
AIの導入は生産性の向上や成長を促す可能性があるが、シャドーAIを管理するためのガイドラインやポリシーが整備されておらず、「セキュア・バイ・デザイン（設計段階からの安全確保）」アプローチを提供するための必要な投資が行われなければ、重大なビジネスリスクをもたらすことになる。
中小企業におけるAIの利用とポリシー
筆者のチームは最近、世界の中小企業4400社を対象に「2026年版 中小企業サイバーセキュリティ対応指数」の調査を実施し、世界的なAI導入状況、新たな脅威、予防的ポリシーの策定状況などを分析した。米国とグローバル市場を比較すると、米国のSMBがAIアプリケーションの導入において先んじている（グローバルの73%に対し、米国は81%）ことは驚くにあたらないだろう。一方、プライバシー、デジタルコンプライアンス、スパム防止に関する規制がより厳しいカナダなどの地域では、AIアプリの導入に慎重な姿勢が見られた（69%）。
組織がどこに所在しているかにかかわらず、ポリシーだけでは、従業員による未承認のチャットボットやAIエージェントの利用を止めるには不十分だ。中小企業は、自社におけるAI利用の管理に慎重かつ思慮深く取り組むべきである。
1. 公認のAIという選択肢を提供する
多くの従業員が未承認の（多くは無料の）AIアプリケーションを利用するなか、企業の機密データや顧客、パートナーのデータが意図せず流出するリスクがあり、これが企業の評判低下や法的問題につながる。公開されているAIツールが、パブリックモデルのトレーニングにユーザーのプロンプトを利用していることは周知の事実だ。エンタープライズ向けの有料プランに投資することで、自社のデータがAIモデルのトレーニングに使用されないように保証できる。
2. 自社業界の規制動向を把握する
特に医療や金融サービスなどの分野では規制の変化が近づいており、HIPAA（医療保険の相互運用性と責任に関する法律）、GDPR（EU一般データ保護規則）、FINRA（金融取引業規制機構）といったフレームワークが、AIのリスクに対応する形で進化している。例えば、2026年に提案されているHIPAAの改訂案では、年次リスクアセスメントにおいてAIシステムを明示的に対象に含めることや、使用しているすべてのAIツールの文書化が企業に求められるようになる。
3. 先進的なAI利用者に備えて防御する
AIシステムは単に質問に答えるだけではない。ユーザーに代わって計画を立て、ブラウジングし、行動を起こす。チャットから自律性への飛躍は、主に「スキル」によって支えられている。AIの能力が向上するにつれ、企業の「アタックサーフェス（攻撃対象領域）」も拡大する。
このようなリスクに対処し、中小企業が先手を打てるよう支援するために、「AIスキルチェッカー」などの無料リソースが登場し始めている。
4. 基本を徹底する
AIを利用しているのは従業員だけではない。悪意ある攻撃者によるAIの大量導入がアクセルとなり、脅威を取り巻く環境はより複雑化し、攻撃の高度化、規模拡大、高速化が進んでいる。その現実的な結果として、より説得力のあるフィッシングメールの量が激増し、新しいマルウェアの亜種が急速に増加している。
そのため、サイバーセキュリティの意識向上トレーニングは、来年に向けた最優先の投資対象となるべきである。サイバーセキュリティトレーニングは「IT部門だけで終わらせてはならない」。すべての従業員が潜在的な脅威を特定し、対応できる能力を持つことが不可欠だ。
フィッシング詐欺の識別、個人特定可能情報（PII）の保護、モバイルデバイスのセキュリティ、オンライン詐欺の回避、インターネット利用のベストプラクティスといった重要なテーマを網羅するプログラムを選び、自社のサイバーセキュリティ体制を強化すべきだ。
今後に向けて
AI導入の成功とは、単にそれを取り入れることだけではない。中小企業がイノベーションと保護のバランスを取るためには、現状の実態を把握する必要がある。AIの恩恵を十分に享受するためには、公認のエンタープライズグレードのツールに投資し、サイバーセキュリティトレーニングを強化すべきである。企業の規模を問わず、従業員と協力し、業界の要件やAIに対するニーズを把握することが重要だ。
