国内企業の55パーセントが業務で生成AIを使う時代になった。その裏で広がっているのが、会社が把握しないまま社員がAIを使う「シャドーAI」である。RGS株式会社（横浜市西区、余澤洋平社長）は8月3日、都内で新製品発表会を開き、情報漏洩対策ソリューション「SecureGo（セキュアゴー）」を発表した。同日提供を開始する。
セキュリティ投資は増えているのに、情報漏洩は減らない
発表会でまず示されたのは、企業のセキュリティ投資額が年々増える一方、情報漏洩の件数はむしろ増加しているという2枚のグラフだった。東京商工リサーチによれば、上場企業の個人情報漏えい・紛失事故は180件、漏えい人数は約3063万人分にのぼる。
そこに新しい脅威が重なった。IPAの「情報セキュリティ10大脅威 2026」では「AIの利用をめぐるサイバーリスク」が初めて選出され、第3位に入っている。
シャドーAIはなぜ危険なのか ログが残らず、追跡もできない
このリスクの厄介さは、被害が見えない場所で完了してしまう点にある。社員が個人のアカウントで生成AIを開き、議事録や顧客リスト、開発中のソースコードを貼り付ける。その瞬間に、情報は会社の管理下を離れて社外のサーバーへ渡る。サービスや契約形態によっては入力内容が学習に使われることもあり、いったん外に出た情報を後から回収する手段はない。
会社が把握していないサービスである以上、社内にログも残らない。誰が、いつ、どの情報を入力したのかを事後に追跡できず、漏洩の疑いが生じても原因を特定できない。取引先から監査を求められても、把握していないとしか答えられない状態になる。禁止のルールを作っただけでは、この空白は埋まらない。
社員の側に判断を委ねるのも難しい。発表会では、どの情報が機密に該当するのかを本人が分からないまま入力し、結果的にインシデントにつながるケースが起こりやすいと説明された。悪意ある持ち出しではなく、業務を早く終わらせようとする善意が、そのまま漏洩経路になる。
では使わせなければいいかというと、その選択も現実的ではない。生産年齢人口が減るなかで、AIによる生産性向上を止める余地は企業側にほとんど残されていない。加えて、経済産業省と内閣官房国家サイバー統括室が主導するSCS評価制度が令和8年度末ごろに施行される見通しで、自社の対策状況を可視化し取引先に説明する責任が生じる。使わせるしかない、しかし説明もしなければならない。企業はその板挟みに置かれている。
同社がこの領域に参入した理由は、自社の事情にもあった。主力の金融系システム開発では取引先から極めて高いセキュリティ要件を求められる。それに応える手段を探して市場調査をしたが、AI活用を止めずにセキュリティを担保できる製品が見当たらず、自ら作ることにしたという。
生成AIへの機密情報入力を送信前にブロック 7カテゴリ214の検知ルール
SecureGoは防御・検知レイヤーと教育レイヤーの2層で構成される。防御側は端末管理、ログ監視、情報漏洩防止という、通常なら別々の製品で運用される機能を1つに束ねた。ライセンス費用と運用負荷を同時に削れるという設計思想である。
中核はAIに特化した部分だ。生成AIへ入力される内容を7カテゴリ・214の検知ルールに沿ってリアルタイムで監視し、個人情報や認証情報が入力されると即座に警告する。会見のデモでは、マイナンバーをそのまま入力しようとした画面で送信がブロックされ、「マスクして送信」を選ぶと該当箇所だけが伏せられてやり取りが続く様子が示された。利用を禁じるのではなく、危ない部分だけを外して使わせるという発想である。社員ごとに使えるAIサービスを分け、会社が認可したものかどうかを可視化する機能も備える。
防御と教育を循環させる継続改善モデル
もう一方の教育レイヤーが、この製品の性格を決めている。検知したログから部署や個人ごとの弱点を特定し、その弱点に応じた教育や訓練を配信する。社長や役員になりすましたメールを送る標的型攻撃の訓練機能も備え、送信元ドメインを指定して実施できる。同社は自社でも毎月、この仕組みでセキュリティ教育を回しているという。
余澤社長は「どんなに強いシステムでも安全ではない」と述べ、読み合わせや説明会といった従来型の研修が社員の頭に残らなかった経験を挙げた。防御で見つかった弱点を教育に流し込み、その結果をまた防御に戻す。この循環が成り立って初めて意味があるという説明だ。
質疑では、通常業務のパターンを監視する機能に社員が心理的抵抗を感じないかという質問も出た。社長は自社導入の実感として、普段の作業には影響せず、機密情報の入力など明確にリスクにつながる動きだけを見ていると答え、社員の理解は得られていると説明した。
価格は初期費用10万円から 初年度100社・1万ライセンスが目標
価格は初期費用10万円から、ライセンスは端末あたり月額1000円から。教育ライセンスは1IDあたり月額1000円からとなる。対応OSはWindowsとmacOS、クラウドとオンプレミスの両方で提供する。初年度は100社、1万ライセンスの獲得を目標に掲げた。
アンバサダーに角田夏実さん 「一文字違い」で盗まれたカード情報
同社はこの日、パリ五輪柔道女子48キロ級金メダリストの角田夏実さんのアンバサダー就任も発表した。角田さんは「どんなに準備をしても自分では気づけない場面はある」と述べ、それを未然に防いでくれる安心感があると製品の印象を語った。
自身も被害に遭った経験がある。ショッピングサイトを装って送られてきたリンクをクリックし、カード情報を入力して盗まれた。「会社名が一文字違っていたけれど、先入観でここからだろうと思って入れてしまった」。個人でもヒヤリとする一瞬が、企業では取り返しのつかない事故になる。SecureGoが狙うのは、その一瞬の手前である。