用語比較
組織公認AI・組織承認AI・シャドーAIの違い（生成AIパスポート）
シャドーAIは、組織が利用を許可していないAIシステムを従業員が使う行為です。会社が用意したAIや、申請して許可されたAIとは区別されます。
IPA（情報処理推進機構）の手引書は、組織が推奨するAIを「組織公認AI」、許可したAIを「組織承認AI」、許可していないAIを従業員が使う行為を「シャドーAI」と呼び分けています。会社が勧める、会社が許す、会社が許していない、の3つの区分で覚えると整理できます。
生成AIパスポートの公式シラバス（2027年2月試験より適用）は、第4章に中項目「シャドーAIと企業コンプライアンス」を置き、詳細キーワードに承認済みツール、未承認ツール、個人アカウントを挙げています。このページは、3つの区別と、会社が取る対策の考え方に絞ります。
この記事の根拠と出典
各セクションの見出しの下に、公式資料で確認した内容か編集部の整理かをラベルで示しています。 試験日・料金・申込条件・試験方式は変わることがあるため、申込前に公式サイトで確認してください。生成AIパスポートの一次情報確認日: 2026-08-31。
結論
組織公認AI
組織が利用を推奨するAIシステム。IPAの手引書は、IT部門が安全性を検証して全社に提供することが、シャドーAI対策の有効な前提条件の一つだと述べる。
組織承認AI
組織が利用を許可したAIシステム。ガイドラインに一覧を載せ、新しいAIを使いたいときの申請と審査の手順を決める。
シャドーAI
組織が利用を許可していないAIシステムを従業員が利用する行為。多くは悪意ではなく、業務上のニーズから生じる。
違いを表で確認
| 比較軸 | 組織公認AI | 組織承認AI |
|---|---|---|
| 組織の位置づけ | 公認AI・承認AI: 組織が推奨または許可している | シャドーAI: 組織が許可していない |
| 組織が把握できているか | ガイドラインの一覧と申請・審査の手順で扱える | 実態がつかみにくく、IPAの手引書は実態の把握を求める |
| 発生する理由 | 会社が用意し、現場のニーズを満たす | 業務に使いたいのに公式な手段がない状況から生じやすい |
| ガイドラインでの扱い | 利用可能なAIとして一覧に載せ、申請・審査の手順を定める | 禁止事項に「組織が未許可のAIシステムの利用」と書く |
| 対策の向き | 利便性を高め、承認の対象を広げる | 禁止だけでなく、代替手段とセットでルールを作る |
生成AIパスポートの学習に使う書籍（Amazon）
試験範囲を通して読むときの1冊です。読んだ章は、このサイトの章別問題で確かめられます。
どこで迷っているかを切り分ける
個人アカウントで生成AIを仕事に使っている人
会社が許可していないサービスを業務に使えば、シャドーAIにあたります。シラバスの詳細キーワードに個人アカウントと未承認ツールが並ぶのは、この場面を想定したものと読めます。
ルールを作る側になる人
IPAの手引書は、禁止を先行させるだけでは申告されない利用が増え、実態把握がかえって難しくなるおそれがあると述べます。禁止と、使える代わりの手段を合わせて決めます。
具体例で使い分ける
例 1
営業部が会社の許可のない生成AIで提案書の下書きを作っていた場合
会社には承認済みの生成AIがなく、営業担当が個人で登録したサービスに顧客情報を入力していた、という場面です。
- 組織が許可していないAIシステムを従業員が使っているため、シャドーAIにあたります。悪意はなく、提案書を早く作りたいという業務上のニーズから始まったと考えられます。
- IPAの手引書の考え方では、まず実態を把握し、IT部門が安全性を検証した組織公認AIを提供します。そのうえで、承認済みAIの一覧と、入力してよい情報の分類、新しいAIを使いたいときの審査の手順を、ガイドラインに書いて知らせます。
結論: 禁止の通知だけで終えず、使える公認AIの提供とルールの明文化を組み合わせます。
問題文から答えを選ぶ手順
- 1
組織が推奨しているかを確かめる
会社が勧めて提供しているAIなら、組織公認AIです。
- 2
組織が許可しているかを確かめる
推奨ではなくても、申請を経て許可されたAIなら、組織承認AIです。
- 3
どちらでもないのに使っているかを確かめる
許可されていないAIを従業員が使っているなら、シャドーAIです。
試験での見分け方
- 1組織が推奨しているAIは、組織公認AI。
- 2組織が許可したAIは、組織承認AI。
- 3組織が許可していないAIを従業員が使う行為が、シャドーAI。
- 4シャドーAIは、禁止だけでは減らない。使える代わりの手段とルールの周知を組み合わせる。
誤答しやすい選択肢
シャドーAIを悪意のある不正行為だと考える
修正: IPAの手引書は、シャドーAIの発生は多くの場合、悪意ではなく業務上のニーズから生じると述べます。
技術的に遮断すればシャドーAIはなくなると考える
修正: IPAの手引書は、すべてのAIシステムを技術的に完全に遮断することは難しく、企業ネットワークを経由しない端末からの利用は、最終的に従業員の意識とルール順守に依存する部分が残ると述べます。
承認されたAIなら出力の確認は不要だと考える
修正: シラバスの第4章には、承認されたAIでも出力確認が必要な理由が学習項目として置かれています。承認は、使ってよいという許可であり、出力が正しいという保証ではありません。
確認問題
Q1組織が利用を許可していないAIシステムを、従業員が業務で利用する行為を何といいますか？
答え: シャドーAI
IPAの手引書は、この行為をシャドーAIと定義し、組織公認AI・組織承認AIの利用状況とあわせて実態を把握するよう求めています。
Q2シャドーAIが発生する大きな要因として、IPAの手引書が挙げる状況は何ですか？
答え: 業務に使いたいのに公式な手段がない状況
そのため、IT部門が安全性を検証した組織公認AIを提供することが、有効な前提条件の一つとされています。
Q3シャドーAIへの対応として、禁止の通知だけを先に出すとどのような問題が起こるおそれがありますか？
答え: 申告されない利用が増え、実態把握がさらに難しくなるおそれがある
IPAの手引書は、禁止一辺倒ではなく代替手段とセットでルールを作ることが望ましいと述べます。
到達チェック
- 組織公認AI・組織承認AI・シャドーAIの違いを、組織の推奨・許可の有無で説明できる
- シャドーAIが業務上のニーズから生じやすいことを説明できる
- 禁止だけでなく、公認AIの提供とルールの明文化を組み合わせる理由を説明できる
関連ページで確認する
同じ資格で次に知りたいこと
- トークンとコンテキストウィンドウの違い（生成AIパスポート）
生成AIパスポートに出るトークンとコンテキストウィンドウの違いを、文章の区切りの単位か、一度に扱える量の上限かから整理。OpenAI公式文書と公式シラバスの記載、数値例、確認問題つきです。
- 最小権限の原則とHuman-in-the-Loopの違い（生成AIパスポート）
AIエージェントの安全対策に出る最小権限の原則とHuman-in-the-Loopの違いを、権限を絞るか、実行前に人が承認するかから整理。OWASPとIPAの手引書にもとづく使い分けと確認問題つきです。
- ChatGPTとGPTの違い｜対話向けに調整されたものと、元になったモデル（生成AIパスポート）
ChatGPTとGPT（GPT-3.5・GPT-4など）の違いを、対話向けに調整されたものと、その元になったモデルの関係で整理します。OpenAI公式の説明に沿って、ChatGPTの公開日、GPT-3.5との関係、RLHFの位置づけを解説し、生成AIパスポートでの判断手順と確認問題も掲載します。
よくある質問
QシャドーAIとは？
組織が利用を許可していないAIシステムを、従業員が利用する行為です。
Q組織公認AIと組織承認AIの違いは？
IPAの手引書は、組織が利用を推奨するAIを組織公認AI、組織が利用を許可したAIを組織承認AIと呼び分けています。
Q公式シラバスに載っていますか？
はい。2027年2月試験より適用のシラバスは、第4章に中項目「シャドーAIと企業コンプライアンス」を置いています。
次に見る比較
- G検定・DS検定・統計検定2級で重なる用語10語の比較
同じ名前の用語の定義と収録章を、資格ごとに並べます。
- ベイズの定理と条件付き確率の違い（統計検定2級の式と計算例）
求める確率の向きの違いと、陽性になる確率の計算例を確かめます。
- 紛らわしい用語ペア早見表
混同しやすい用語の違いと判定の手掛かりを、資格別の一覧で確かめます。
執筆: ミナト編集部（運営者情報を見る）