生成AIの利用を禁止していても、社員が個人アカウントや私物の端末で業務に使っている可能性はあります。会社が把握していない利用を調べるには、チャット型のAIだけでなく、既存サービスに追加されたAI機能も確認が必要です。シャドーAIが発生する経路と、利用実態の調べ方を整理します。
01シャドーAIの意味
シャドーAIとは、会社の承認や管理の範囲外で、社員がAIサービスを業務に使うことです。たとえば、総務部長が個人アカウントのChatGPTで議事録を整えていても、会社がその使い方を確認し、承認していれば無断利用には当たりません。一方、未承認のツールに見積書を入力している場合は、利用料金や見積金額にかかわらず確認が必要です。
確認する対象には、生成AIを使った翻訳サイトや文字起こしアプリ、ブラウザ拡張機能も含まれます。見落としやすいのが、契約中の業務システムに後から追加されたAI機能です。サービス導入時の審査だけでは、追加機能で扱う情報や送信先まで確認できていないことがあります。
生成AIを使うときは、入力した情報の保存先や利用目的も確認します。顧客名簿を貼り付けた後で履歴を削除しても、サービス側に残るデータまで消えるとは限りません。これはファイル共有サービスなどでも同様で、画面から削除できることと、送信した情報をすべて回収できることは別です。
ポイント会社が確認するのは、サービス名に加えて、何の業務に使い、どの情報を入力しているかです。契約済みのサービスでも、AI機能が追加されたら利用条件を確認します。
02禁止令が効かない理由
株式会社ISOプロが2026年8月5日に公表した調査では、企業の経営者や役員、情報システム部門の1,023人のうち、利用状況は把握しているが一部シャドーAIが発生していると答えた人が44.5%、十分把握できておらず発生している可能性があると答えた人が20.6%でした。合わせて65.1%です。大きな問題はないと答えたのは25.3%にとどまります。
同じ調査で無断利用の理由として挙がった上位3つは、業務効率を上げたいが40.1%、最新のAIをすぐ使いたいが32.1%、社内ルールやガイドラインが不十分が28.9%でした。業務を効率化したいという要望と、利用基準が分からないという問題が挙がっています。禁止を伝えるだけでは、社員がどの方法で作業を進めればよいかは分かりません。
会社の外側の変化もあります。総務省の令和7年版情報通信白書によると、日本で生成AIを使っていると答えた個人の割合は2024年度調査で26.7%、20代では44.7%でした。私生活で使っている社員にも、業務で扱う情報には別の注意が必要だと伝える必要があります。禁止する場合も、理由と対象を具体的に説明します。
利用の判断を社員に任せている企業もあります。商工中金が2025年12月から2026年1月にかけて取引先の中小企業3,892社から回答を得た調査では、会社での使用を禁止・制限していると答えたのは3.9%でした。最も多かったのは、会社としては導入せず、使うかどうかは個人の判断に任せているという回答で64.9%です。この調査では、利用の判断を社員に任せている企業が多くを占めています。無断利用とあわせて、会社としてどこまで方針を決めているかも確認が必要です。
ポイント利用を認めるサービスと、入力してよい情報の範囲を示します。社員が迷わず使える選択肢を用意することも、無断利用への対策です。
034つの発生経路
利用する端末やサービスによって、会社が確認できる情報は異なります。次の4つに分けると、ログで調べる範囲と、聞き取りが必要な範囲を整理できます。
| 経路 | 会社から見えるか | 最初に確認すること |
|---|---|---|
| 会社のPCから個人アカウントでログイン | ログに残る場合がある | プロキシやブラウザの接続先の記録 |
| 個人のスマートフォンや自宅のPC | ほぼ見えない | 匿名アンケートや本人への聞き取り |
| 契約中のサービスに後から付いたAI機能 | 承認済みに見えて見落とす | 利用中サービスの機能追加のお知らせ |
| ブラウザ拡張機能や無料の変換サイト | 見えにくい | 拡張機能の一覧とインストール権限の設定 |
会社のPCやネットワークからの利用は、接続先や拡張機能の制限で対処できます。一方、社内ネットワークを通らない私物端末の利用は、同じ設定では止められません。契約済みサービスのAI機能は、管理画面で個別に制限できるかを確認します。
04全面禁止の副作用
会社のネットワークでAIサービスを遮断しても、社員が私物端末から利用を続けていれば、会社は実態を把握できません。株式会社エルテスが2026年1月19日に公表した調査では、会社員など300人のうち業務で生成AIを使っている人の約5人に1人が、企業が許可していないツールを使っていました。社内規程がない企業でその割合が高い傾向も報告されています。
禁止に加えて処分への不安が強いと、社員が使い方の相談や誤入力の報告をためらうおそれがあります。誤って顧客情報を入力した場合もすぐ連絡できるよう、報告先と対応方針を伝えておきます。
ポイント接続ログが減っても、利用そのものが減ったとは限りません。利用を制限するときは、誤入力や判断に迷った場合の相談先も案内します。
通常の利用方針としては、入力を禁止する情報と、利用を認める業務を分けることを勧めます。取引先との契約でAIへの入力が禁じられている資料や、外部送信が許されない情報は対象を明記します。そのうえで、他の業務に使えるツールと条件を決めます。
05規程を書く前の実態把握
ガイドラインを作る前に、社員がどの業務でAIを使っているかを確認します。実際の作業を把握しておけば、入力してよい情報や、判断に迷いやすい場面を規程に盛り込めます。
利用の有無だけでなく、期間と業務を具体的に聞きます。回答をためらう社員にも答えてもらえるよう、調査の目的と回答の扱いを説明したうえで、次の3問を匿名で集める方法があります。
- この1か月で、文章の作成や要約にAIを使った業務はありましたか。あれば業務名を書いてください
- そのとき使ったサービス名を、覚えている範囲で書いてください
- 入力した内容に、社外に出せない情報は含まれていましたか。判断に迷うものも含めて選んでください
3問目で判断に迷うという回答があった業務は、優先して確認します。会社の基準が曖昧なのか、既存のルールが伝わっていないのかを調べ、社員が参照できる説明を用意します。
回答をもとに、業務で使ってよいサービスと、迷ったときの相談先を決めます。まず1つのサービスから始めれば、利用条件の確認や社内への案内を進めやすくなります。
サービスの選定や相談への対応には、担当者と時間の確保が必要です。商工中金の同じ調査では、生成AIの課題として、導入を推進する人材の不足が32.0%、社内ルールや方針整備の遅れが25.1%、支援先や相談相手の確保が難しいという回答が11.5%でした。GENSHI AIのAIガイドライン作成代行は、利用実態のヒアリングを行い、ガイドライン本文と経営向けの要約、現場向けの早見表までを最短3週間で仕上げています。
06まとめ
シャドーAIへの対策は、会社が把握していない使い方を確認するところから始めます。端末やサービスによってログで調べられる範囲が違うため、匿名アンケートや聞き取りも併用します。集まった業務の例をもとに、利用を認めるサービス、入力できる情報、相談先を決めていきます。
07よくある質問
Q. 調査で無断利用が大量に出てきたら、どう収拾をつければよいですか
この調査の回答は処分の材料には使わないと先に伝えたうえで、匿名で集めてください。ここで、過去の利用は一切問わないとまで約束しないでください。社外に出せない情報が入力されていた事例が出てきた場合まで先に免責することになり、後で対応が変わると、調査への信頼を損ないます。
回答は個人の特定や責任追及に使わず、今後の利用条件を決めるために集計します。情報漏洩が疑われる場合の報告先は、匿名調査とは別に案内しておきます。
件数だけでなく、入力内容を確認してください。公開済みの文章の言い換えと、顧客情報の入力では必要な対応が違います。使い方を分類してから、優先順位を決めます。
Q. 承認するツールは、有料の法人プランでなければいけませんか
入力した内容が学習に使われるかどうか、管理者側で利用状況を確認できるかどうかが判断の分かれ目になります。これは契約プランごとに条件が違うため、検討中のサービスの利用規約とデータの取り扱いに関する説明を、契約前に確認してください。無料プランを承認する場合は、入力してよい情報を公開済みの内容だけに絞るなど、範囲のほうで制限をかける形になります。