総務省が毎年公開している「情報通信白書」によると、生成AIの利用率は増加傾向にある。小村氏によると、企業は生成AIを「使うか、使わないか」ではなく、「使うことを前提に、どのように付き合うか」を考える段階に入った。

　一方、企業ごとの活用状況には大きな差がある。メール文の作成や簡単な調査にとどまる企業もあれば、自律的に業務を遂行するAIエージェントの活用を検証する企業もある。

　小村氏によると、AIエージェントについては、多くの企業がまだ検証段階にある。一方、生成AIの導入方法や推進人材の選び方が分からず、活用の入り口で立ち止まる企業も少なくないという。

　情シスの立場から見ると、生成AIの導入後に起こり得る問題は、大きく2つに分けられる。

　1つは、企業が正式に生成AIツールを導入しても、従業員が使わないことだ。利用目的が曖昧だったり、リスクへの不安が強かったりすれば、ツールを用意しても活用は定着しにくい。

　もう1つは、企業が利用環境を整備する前に、従業員が個人の判断で未承認のAIツールを使い始めることだ。こうした「シャドーAI」が広がれば、情シスが把握できない場所で機密情報や取引先のデータが扱われる恐れがある。

　情シスには、生成AIを単に「使わせる」「禁止する」のではなく、正式な利用環境を整えながら、安全な活用を組織全体に広げる役割が求められる。

GUGAはAIリテラシー向上をどう支援するのか

　GUGAは、生成AIの社会実装と安全な活用の普及を支援する。生成AIの基礎知識やリスク、基本的な活用方法を学ぶ資格試験「生成AIパスポート」を運営する他、企業向けの講演やセミナー、団体受験の支援、有識者の紹介などを実施している。

　生成AIを業務に導入する際には、システムや利用ルールの整備だけでなく、従業員が「どの情報を入力してよいのか」「出力結果をどこまで信用してよいのか」を判断できる状態をつくる必要がある。

　GUGAは、専門的にAIを開発する人材だけでなく、日常業務で生成AIを利用する一般の従業員を含め、組織全体のAIリテラシーを底上げすることを重視している。

　企業間の生成AI活用の格差を生む要因の1つとして、小村氏は組織規模を挙げる。企業規模が大きいほど、株主や投資家などから生成AI活用への期待を受けやすく、資金や人材も投じやすい。一方、中小企業では、「どのように活用を進めればよいか分からない」「誰を推進担当者にすべきか分からない」といった、導入前の課題を抱えやすいという。

　ただし、規模や資本力だけで活用の成否が決まるわけではない。もう1つの大きな要因が、経営トップのコミットメントである。

　「トップ自らの言葉で『うちはこの方針でやっていく』と発信しない場合、社内で生成AI活用に抵抗する力が働きやすくなり、推進の障壁となってしまう可能性があります」（小村氏）

　経営層が生成AIを何のために使うのかを明確にしなければ、情シスは利用環境やルールの整備を進めにくい。正式な利用環境が整わない中で、シャドーAIの活用が進む恐れもある。

経営と現場の「目線のズレ」

　経営トップが生成AI活用の方針を示したとしても、それだけで現場への定着が進むわけではない。小村氏によると、生成AIの導入後に活用が広がらない企業には、共通する課題がある。

　その1つが、経営層と現場の「目線のズレ」だ。

　小村氏によると、現場の従業員は、メールの返信文の作成や議事録の要約など、自分の日常業務にひも付けて生成AIの活用を考える。一方、経営層は、新規事業の検討や業務プロセスの抜本的な変革といった、より大きな成果を期待する。

　両者が異なる目的を持ったままでは、「生成AIを何のために使うのか」という議論がかみ合わない。

　この間に立つ情シスは、経営層が掲げる方針を、現場で利用できる環境やルールに落とし込む必要がある。加えて、情報漏えいや著作権侵害、未承認ツールや個人アカウントの利用、AI利用に伴うコストなども考慮しなければならない。

　もう1つの課題は、生成AIツールの導入自体が目的になっていることだ。「生成AIを使って何を改善するのか」が曖昧なまま環境を整備しても、従業員の活用は進まず、成果も見えにくい。

　小村氏は、手段であるはずの生成AI活用が目的化すると、本来のユーザー価値よりも「生成AIを使うこと」が優先される恐れがあると指摘する。

利用ルールだけではシャドーAIを防げない

　生成AIのリスクを抑えるため、多くの企業が利用ルールやガイドラインを整備している。しかし、ルールを作り、禁止事項を周知するだけでは、シャドーAIの発生を完全に防ぐことは難しい。

　小村氏は、今後顕在化する可能性があるケースとして、NDA（秘密保持契約）を締結した取引先から共有されたデータを、従業員がAIツールに読み込ませ、提案資料を作成する行為を挙げる。

　より良い提案を作ろうとした結果であっても、取引先の許可なくデータを生成AIツールに入力すれば、契約上の問題に発展する恐れがある。今後は、AI利用を前提として契約書やNDAの内容を見直す議論も必要になる。

　企業が承認した生成AIツールと個人契約の生成AIツールの違い、AIの出力に誤りが含まれる可能性、情報漏えいや著作権侵害のリスクなども、従業員自身が理解する必要がある。

　また、業務用の端末で個人アカウントにログインし、会議の議事録などを誤って個人環境へ保存するケースも考えられる。企業が正式なAI環境を整えても、アカウントの使い分けを誤れば、管理外に業務データが残る可能性がある。

　一方、情シスが禁止事項やリスクばかりを強調すると、従業員が「使わない方が安全だ」と考え、正式に導入した生成AIツールまで敬遠する恐れがある。

　小村氏は、ルールの整備に加え、セキュリティシステムによる機械的な制御も必要だと話す。従業員各自の判断に頼るのではなく、教育、ルール、システムによる制御を組み合わせることが重要になる。

　生成AIを安全に定着させるには、利用環境やルールを整えるだけでなく、従業員自身が安全な使い方を判断できる状態をつくる必要がある。では、企業は全従業員にどの程度のAI知識やスキルを求め、どのように教育を広げればよいのか。後編では、全従業員に求めるAIリテラシーの水準と、生成AIパスポートを活用した全社展開の方法を紹介する。