シャドーIT、撲滅やめました。"見ないもの"を決めて、審査はAIに任せた話
ポストCfPセッション(30分)
概要
気づいたら、現場が作ったGASツールが業務の本番で動いていた。生成AIで誰でもコードが書ける今、内製アプリは情シスの知らないところで増え続けます。全部レビューするのは無理、でも放置もできない。 そこで2つ割り切りました。ひとつは「見ないものを決める」。個人利用で、個人情報も顧客機密も扱わないものはレビューしない、と明文化しました。判定は3つの質問だけです。もうひとつは「審査をAIに任せる」。判定基準を社内Wikiに置き、AIがそれを毎回読み直して審査します。 情シスは取り締まる人から、線を引く人になりました。2026年8月に始めた運用なので、崩れたところも含めて話します。
登壇者プロフィール
株式会社ネクスタ CTO室。QAとコーポレートIT／IT統制・GRC（ISMS等）を兼務。品質を見る側と守りの仕組みを作る側の両方から、現場のスピードを落とさない統制のかたちを探しています。生成AI時代の内製アプリをどう扱うかが直近のテーマ。XP祭り2026、スクラムフェス仙台で登壇。