シャドーAIとは？社員の無断AI利用の実態と、禁止だけに頼らない防ぎ方｜使ってよいAIの用意から始める

シャドーAIとは、会社が把握していない、または許可していない生成AIを、社員が業務に使うことです。個人のChatGPTアカウントで取引先へのメールを下書きする、といった使い方がこれに当たります。

防ぎ方の分かれ目は、禁止するか、会社として使ってよいAIを用意するかです。調査では禁止だけでは行動が変わらないことが分かっていて、実態をつかみ、安全な使い道を用意し、ルールを根づかせる順で進めます。

この記事では、シャドーAIの意味、国内の調査でみる実態、禁止だけでは防げない理由、3段階の防ぎ方を順に見ていきます。読み終えると、自社で最初に何をするかを決められます。

シャドーAIとは、会社が把握していないAIの業務利用

シャドーAIには2つの形があります。会社のパソコンで、情報システム部門が認めていないAIツールを使う形と、私物のスマートフォンや個人のアカウントで、業務の資料を扱う形です。

たとえば営業担当が、顧客との商談メモを個人の無料版ChatGPTに貼って要約させる場合です。経理担当が、取引先一覧のファイルを個人のAIアカウントに読ませて、表の形に整理させる場合も当たります。

どちらも悪意から始まることはまれで、仕事を早く終わらせたいという理由で広がります。問題は、会社が知らないので、入力した情報がどう扱われたかを後から確かめられない点です。

呼び方	何が起きているか	主なリスク
シャドーAI	会社が把握していない生成AIで業務をする	入力した情報が学習や保存に回る、後から追えない
シャドーIT	会社が把握していないクラウドサービスや端末を使う	情報の置き場所が分からなくなる
認められたAIの利用	会社が契約したAIを、決めたルールで使う	入力してよい情報の線引きを守れるか

シャドーAIは、シャドーITのAI版と考えると分かりやすくなります。違いは、入力した文章そのものが提供元のAIの学習に使われることがある点です。

国内の調査では、AIを使う人の5人に1人が許可外のツールを使っている

エルテスが2026年1月に会社員・公務員300人に聞いた調査では、業務で生成AIを使う人は34.3%でした。そのうち約2割が、会社の承認していないAIツールを使っていると答えています。

同じ調査で、会社に生成AIの規程が「ない」と答えた人は45%、「わからない」は26.7%で、「ある・策定中」は28.4%にとどまりました。ルールがあっても伝わっていない会社が多いことが分かります。

会社の側からみた数字もあります。ガートナージャパンの2026年6月の発表では、シャドーAIを「把握できていない」企業が43%、「把握しているが有効な対策を取れていない」企業が30%で、合わせて73%でした。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」の組織編でも、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入っています。

IPAはこのリスクの中身として、AIへの理解が足りないまま使うことによる情報漏えいや他者の権利の侵害、AIの答えをそのまま信じてしまう問題を挙げています。シャドーAIは、こうした問題を会社が気づけない場所で起こします。

禁止だけでは防げない理由は「分かっていても使ってしまう」から

シャドーAIへの対応として、まず全面禁止を考える会社は少なくありません。ところが、エルテスの調査は禁止だけでは行動が変わらないことを示しています。

非公開の情報をAIにアップロードすることに「抵抗がある」と答えた人は75.8%でした。そのうち64.1%が、実際にはアップロードしたことがあると答えています。

いけないと分かっていても、目の前の仕事を早く片づけたい気持ちが勝つ、ということです。使ってよいAIがないまま禁止すると、社員は私物のスマートフォンで使うようになり、会社からはさらに見えにくくなります。

AIを使う社員は、業務を早く終わらせる方法を自分で見つけた人でもあります。禁止で止めるより、その使い方を会社の安全な道具に移してもらうほうが、仕事の速さも守れます。

防ぎ方は「把握する・使ってよいAIを用意する・ルールを根づかせる」の3段階

現実的な防ぎ方は、禁止から入るのではなく、次の3段階で進めることです。専任の部署がない会社でも、1段階目から始められます。

1段階目は、実態をつかむことです。 どの部署で、どのAIを、何に使っているかを、匿名のアンケートで聞きます。

聞く項目は、使っているAIの名前、使っている作業、入力したことのある情報の種類、会社のアカウントか個人のアカウントか、の4つで足ります。責める前提ではないと先に伝えると、正直に答えてもらいやすくなります。

集まった答えは、会社として用意すべきAIの候補表にもなります。多くの社員が同じ作業に使っているAIは、それだけ業務に役立っているということです。

2段階目は、会社として使ってよいAIを用意することです。 法人向けのプランは、入力した内容を学習に使わない約束になっていて、社員が個人アカウントを使う理由そのものを減らせます。

法人向けプラン	学習の扱い	向く会社
ChatGPTのBusiness・Enterprise	既定で学習に使わない	ChatGPTに慣れた社員が多い
ClaudeのTeam・Enterprise	既定で学習に使わない	Claudeを使い慣れた社員が多い
Gemini（Google Workspace）	許可なくドメイン外の学習に使わない	Google Workspaceで仕事をしている
Microsoft 365 Copilot	基盤モデルの学習に使わない	Microsoft 365で仕事をしている

学習の扱いの詳しい違いは、AIに学習させない設定とはでサービスごとに並べています。どれを入れるかは、今使っている業務ソフトに合わせると、社員が乗り換えやすくなります。

全社員分を一度に契約しなくても構いません。アンケートで利用の多かった部署から少人数で始め、使い方の手本を作ってから広げると、費用を抑えながら個人アカウントの利用を減らせます。

3段階目は、ルールを根づかせることです。 「使ってよいAI」「条件つきで使えるAI」「使わないAI」の3つに分け、入力してよい情報を具体的な例で示します。

たとえば「公開済みの資料の要約は、会社のChatGPTなら使ってよい」「顧客名の入った文書は、名前を伏せてから会社のAIで」「個人アカウントのAIには業務の情報を入れない」のように、作業と情報の組み合わせで書くと現場が迷いません。

ルールは作って配るだけでは守られないので、なぜ気をつけるのかを研修で繰り返し伝えます。社内ルールの作り方は生成AIガイドラインとはで、社員向けの研修はAIリスキルの研修で紹介しています。

まとめ

シャドーAIは、会社が把握していない生成AIを社員が業務に使うことで、AIを使う人の約5人に1人が許可外のツールを使っているという調査もあります。

禁止だけでは行動が変わらないので、実態をつかみ、使ってよいAIを用意し、ルールを根づかせる順で進めます。

最初の一歩は、匿名のアンケートで、どの部署がどのAIを何に使っているかを聞くことです。結果を見てから、どの法人向けプランを入れるかを決めると、無駄な契約を避けられます。

社内のAI利用の実態をつかみ、使ってよいAIの選定からルールづくり、研修までを一緒に進めたい場合は、運営会社のAIリスキルがご相談を受けています。

お問い合わせはこちら

この記事の出典

• 【実態調査】生成AI利用者の約5人に1人が「シャドーAI」リスク（株式会社エルテス、2026年1月19日公表、2026年10月4日確認）
• Gartner、国内企業の「シャドーAI」対応における新たな指針を発表（ガートナージャパン、2026年6月18日公表、2026年10月4日確認）
• 情報セキュリティ10大脅威 2026（IPA、2026年10月4日確認）
• How your data is used to improve model performance（OpenAI Help Center、2026年10月4日確認）
• Is my data used for model training?（法人向け）（Anthropic Privacy Center、2026年10月4日確認）
• Google Workspace の生成 AI に関するプライバシー ハブ（Google、2026年10月4日確認）
• Microsoft Copilot のデータ、プライバシー、セキュリティ（Microsoft Learn、2026年10月4日確認）