シャドーAI対策では、社員が業務に使えるツールと利用条件を決め、申請や相談を受け付ける体制を用意します。未承認サービスの遮断も必要ですが、業務を続けられる手段をあわせて示すことが大切です。ツールの選定から、利用状況の確認までを整理します。
01対策の順番
まず、社員がどの業務にAIを必要としているかを確認し、利用を認めるツールを選びます。利用条件と申請先を周知したうえで、未承認サービスへの制限を検討します。情報漏洩が疑われる場合など、緊急の停止が必要なときは先に対応します。
代わりの手段を示さずに遮断すると、社員が私物端末で利用を続けるおそれがあります。たとえば、個人のスマートフォンで下書きを作り、会社のPCに文章を移すような使い方は、社内ネットワークのログだけでは把握できません。
利用を認めるツールと条件を示せば、社員は業務をどう進めればよいか判断できます。総務省と経済産業省のAI事業者ガイドライン（第1.2版、令和8年3月31日）も、法的拘束力のない指針として、事業者が自ら体制を整えて実践することを求める構成になっています。社内でも、禁止事項に加えて利用手順や担当者の役割を決めます。
02承認するツールの選び方
会社で継続して使うツールは、次の条件を確認して選びます。確認できない項目があれば、承認前に提供元へ問い合わせます。
- 入力した内容が学習に使われるかどうかが、契約の条件として書面で確認できる
- 管理者側で、誰が使っているかを把握できる
- アカウントの発行と停止を、会社側で実行できる
3つ目が抜けると、退職者のアカウントが残ります。個人が自分のメールアドレスで登録したアカウントを会社の標準として使い続けると、退職時の管理が難しくなります。会社契約が整うまでのつなぎとして期限つきで認めるのは別の話で、その条件はChatGPTの個人アカウント利用｜業務に使って大丈夫？会社契約との違いと移行手順にまとめました。
| 判断軸 | 確認する場所 | 選定時の扱い |
|---|---|---|
| 入力内容の学習利用 | 利用規約とデータの取り扱いに関する説明 | 承認前に確認 |
| 管理者による利用状況の確認 | 管理画面の機能一覧 | 承認前に確認 |
| アカウントの発行と停止 | 契約形態と管理者権限 | 承認前に確認 |
| 入力内容の保存期間 | データの取り扱いに関する説明 | 自社の情報管理基準に合うか確認 |
| 出力の精度や日本語の自然さ | 実際の業務文書で試す | 用途ごとに必要な品質を確認 |
| 費用 | 見積 | 利用人数と継続費用を見積もる |
精度や費用とあわせて、会社が管理できる範囲を確認します。必要な機能が別プランに限られている場合もあるため、契約するプランの条件で比較してください。
ポイント最初は、共通する業務に使えるツールを1つ選ぶ方法があります。ほかの機能が必要になったら、申請内容を確認して追加します。
03申請窓口の作り方
承認済みのツールで対応できない業務のために、追加の利用申請を受け付けます。サービス名と契約プランに加え、次の項目を確認できるフォームを用意します。
- どの業務で使うか
- 入力する情報に、顧客や従業員の個人情報、取引先から預かった資料が含まれるか
- 承認済みのツールでは足りない理由
初回の返答は3営業日程度を目安にし、担当者が対応できる期限を決めます。判断に時間がかかる場合は、確認中の事項と回答予定日を伝えます。条件付きで試用を認める場合も、入力情報や利用範囲の確認は先に済ませます。
一次対応の担当者を決めておくと、委員会の開催を待たずに確認を始められます。情報システム部門で確認する範囲と、個人情報や取引先の資料について法務へ相談する条件を決めておきます。
ポイント申請者には、初回の返答期限と確認の進み具合を伝えます。承認までの見通しが分かれば、業務の日程も調整しやすくなります。
04遮断が届く範囲
利用条件と申請先を周知したら、未承認サービスへの技術的な制限を検討します。会社のPCからの利用でも、接続するネットワークや端末の管理方法によって制限できる範囲が変わります。
| 使われ方 | URLフィルタで止まるか | 止まらない場合の手当て |
|---|---|---|
| 会社のPCから、会社のネットワーク経由で使う | 対象URLへの接続を制限できる | — |
| 会社のPCを、自宅のWi-Fiやテザリングで使う | 端末の設定しだい | 端末側に入れた管理ソフトで制御する |
| 個人のスマートフォンや自宅のPCから使う | 止まらない | 利用ルールを周知し、相談先を案内する |
| 契約中のサービスに後から付いたAI機能 | 止めにくい | サービスの管理画面で、機能ごとに無効化できるか確認する |
契約済みのチャットツールや文書ツールにAI機能が追加される場合、通常の機能と通信先が共通していることがあります。この場合、URLで一括遮断すると通常業務にも影響するため、サービスの管理画面でAI機能だけを無効にできるか確認します。
ポイント接続先を制限するだけでなく、承認したツールが業務に使えるかも確認します。必要な機能や利用条件が合わなければ、選定を見直します。
承認したツールが使いにくいと、社員が別の手段を探す可能性があります。利用率と現場の声を確認し、未承認ツールを必要とする理由にも対応します。
05効いているかの測り方
無断利用の発見件数が減っても、調査や監視の範囲が変わった影響かもしれません。対策の見直しには、次の指標も使います。まず承認ツールの利用状況を確認し、相談や申請の内容とあわせて読みます。
| 見る順 | 指標 | 数え方 | 読み方 |
|---|---|---|---|
| 1 | 承認したツールの利用率 | 配ったアカウント数のうち、月1回以上使っている人の割合 | 利用が少なければ、業務上の必要性、使い勝手、周知状況を確認 |
| 2 | 相談の件数 | この使い方をしてよいか、という問い合わせが窓口に届いた数 | 質問内容から、利用条件や説明の不足を確認 |
| 3 | 申請の件数 | 承認済み以外のツールを使いたい、という要望が上がってきた数 | 件数と理由から、承認ツールで足りない業務を確認 |
利用率を先に確認するのは、ツールを用意しても、操作への不安や知識不足で使われない可能性があるためです。商工中金の中小企業調査（2026年1月）では、生成AIの課題として従業員の知識不足や心理的抵抗を挙げた企業が29.2%あり、すでに活用に踏み込んでいる層に限ると32.1%と、かえって高くなっていました。帝国データバンクが2026年3月に1万312社から回答を得た調査でも、懸念の2位は専門人材やノウハウの不足で41.3%です。
利用率が伸びなければ、申請を待つだけでなく、担当部署に使いにくい点や必要な説明を聞きます。
申請の件数だけを追っていると、この状態を見落とします。ゼロという数字は、承認したツールで足りている場合にも、窓口の存在が知られていない場合にも出るからです。利用率と相談内容をあわせて確認すると、追加の聞き取りが必要な点を絞れます。
06まとめ
業務に使えるツールを選び、利用条件と申請先を周知します。契約前には学習利用の条件と管理機能を確認し、申請には担当者と返答期限を設けます。運用後は、承認ツールの利用率や相談内容をもとに、使い勝手と説明の不足を見直します。無断利用が見つかった直後の対応は生成AIの無断利用への対応｜発覚直後の事実確認と社外連絡の判断基準にまとめています。
07よくある質問
Q. 承認するツールを1つに絞ると、業務によっては使えないのでは
1つでは対応できない業務があれば、申請窓口で必要な機能と入力情報を確認し、ツールを追加します。最初から業務上の違いが分かっている場合は、複数を承認して用途ごとに案内する方法もあります。
Q. 全社で契約するほどの人数が使うか、まだわかりません
利用実態を先に確認してください。どの部署の何人が、どんな業務で使っているかが分かれば、必要なアカウント数の見込みが立ちます。調べ方は生成AIの利用実態調査｜何を聞けば分かる？社内アンケートの設問例と結果の読み方にまとめました。
Q. 承認したツールに、後からAI機能が追加された場合はどうしますか
定期点検だけでなく、機能追加のお知らせを受け取った時点でも確認します。管理者が有効にする前に審査できるものもあれば、初期設定で有効になるものもあるためです。
まず、契約中のサービスごとに、管理者向けのお知らせやリリースノートを受け取る担当を決めておくこと。通知が届いた日に、入力された内容が学習に使われるか、管理者側で無効にできるかを確認します。
定期点検も継続します。AI事業者ガイドライン（第1.2版）の別添も、環境とリスクの再分析について、四半期や半期といった定期的な実施とは別に、新技術の出現や重大なヒヤリ・ハットが起きたタイミングを候補として挙げています。定期点検と、機能追加などに応じた確認を組み合わせます。
まずは、いま契約しているサービスを一覧にしてみてください。対象と確認の頻度が分かれば、社内で担当できる範囲と外部に依頼する範囲を検討できます。GENSHI AIのAIガイドライン作成代行には、納品後も新しいAIツールの審査と規程の更新を継続して引き受けるプランがあります。