シャドウITとは、組織内で用いられる情報システムやその構成要素（ソフトウェアや機器）のうち、従業員や部門の判断で導入・使用されているもので、システム管理部門や経営部門などによる把握や管理が及んでいないものを指します。

例えば、従業員が持ち込んだ私物のPC、スマートフォン、タブレット端末、USBメモリなどのデジタル機器、また正規／私用の端末の上で動作する私的に導入したソフトウェア、現場部門が独自に決裁して導入した機器やシステムなどが該当します。

これらのシャドウITと見なされるIT資産は適切に管理されないことが多く、セキュリティ上のリスクとなっています。適切な管理下にあれば防げたはずのマルウェア感染や情報漏洩、外部からの攻撃などのセキュリティ上の問題を生じる可能性があります。
また、正規のシステム導入時の想定と異なる通信機器の設置・設定により、通信障害を引き起こす場合もあります。

シャドウIT対策としてシステムの監視強化、管理外要素の排除、接続遮断などの管理統制を強化する方向性の他、安価になった消費者向けIT機器を用いて業務の効率化を図っている事情に配慮して、一定のルール・管理の元に私的デバイスの業務利用を認める場合もある。これは（BYOD: Bring Your Own Device）と呼ばれている。