総務

社員が勝手にAIを使っている状態（シャドーAI）への対処

2026-08-31 約7分で読めます

結論

シャドーAIとは、会社として許可も把握もしていないAIツールを、社員が個人の判断で業務に使っている状態です。無料のChatGPTに顧客情報を貼り付けて要約させる、契約前の見積書をAIに下書きさせる、といった使い方がこれにあたります。禁止しても使用は止まりません。使用を前提に、何を入力してよいかのルールを先に決めることが唯一の現実的な対処です。放置した場合に増えるのは AI活用の時間ではなく、後始末にかかる時間です（後述の試算）。

シャドーAIとは何か

シャドーAIは、情報システム部門や経営層が存在を把握していないIT機器やサービスを指す「シャドーIT」という言葉のAI版です。会社が契約していないAIツールを、社員が私物のスマートフォンや個人アカウントで業務に使っている状態を指します。

典型的な例は次のとおりです。

個人のスマートフォンでChatGPTを開き、顧客からのメールへの返信文を作らせる
社内の議事録データをコピーして、無料の要約ツールに貼り付ける
見積書や契約書の下書きを、会社が契約していないAIサービスに作らせる
個人契約の有料AIツールを、経費精算せず黙って業務に使い続けている

共通しているのは、会社が「どのツールに」「何の情報を」入力しているかを把握できていない点です。使っている本人に悪意はなく、多くの場合は「早く終わらせたい」という善意からの行動です。

なぜ社員は勝手に使ってしまうのか

会社が公式にAIツールを用意していない、または用意していても使いにくいと、社員は自分で見つけた無料ツールに流れます。理由は主に3つです。

公式のツールが無い、または遅い。 情報システム部門の検討に時間がかかる間に、現場は無料のAIチャットで先に済ませてしまう
禁止されているとは知らない。 明文化されたルールが無いため、「ダメだと言われていないから使ってよい」と本人は考えている
効果を実感している。 一度使って作業が早くなった経験があると、会社の許可を待たずに使い続ける

つまりシャドーAIが生まれる原因は、社員の規律の低さではなく、公式なルールとツールの整備が現場の実際の使用より遅れていることです。

放置するとどんなリスクになるか

最も大きいリスクは、入力した情報が社外のサービスに渡ることです。主要な無料AIツールは、初期設定のままだと会話内容をモデルの学習に使います。 OpenAIのChatGPT（Free・Plus・Pro）は「Improve the model for everyone」という設定がオンの場合、入力した会話が学習に使われます。設定でオフにすれば以後の会話は対象外になりますが、ログインせずに使った場合はオフにできません（出典：OpenAI Help Center「Data Controls FAQ」）。Googleの個人向けGeminiも、会話データが学習や人による品質確認に使われる設定が初期状態です（出典：Google「Gemini Apps Privacy Hub」）。いずれも2026年8月時点の情報です。顧客の個人情報や取引先の見積金額がそこに含まれていると、意図しない形で外部に残る可能性があります。

その他のリスクは次のとおりです。

情報漏えい：個人情報・契約金額・未公開の企画内容が社外のサービスに入力される
著作権・利用規約違反：AIが作った文章や画像を、権利関係を確認しないまま社外に出してしまう
精度の見落とし：AIが作った数字や事実関係の誤りに、確認する仕組みが無いままそのまま資料に使われる
アカウント管理の不在：退職者の個人アカウントに、業務で使った履歴や文書が残り続ける

これらは「AIを使ったこと」ではなく「何を入力したか」「誰も確認していないこと」が原因で起きます。使用そのものを止めても、この原因は解消されません。

対応にかかる時間はどれくらい変わるか

ルールが無い状態と、最低限のルールを整備した状態で、総務・情報システム担当者の対応時間は次のように変わります。

業務	ルール無しの時間（月・担当1人あたり）	ルール整備後	差
「AIを使っていいか」個別の問い合わせ対応	3〜4時間	0.5〜1時間	2.5〜3時間
情報漏えいの疑いが出た際の事後調査	発生都度2〜5時間	ほぼ発生しない	2〜5時間
各部署のAI利用実態の聞き取り	4〜6時間	1時間（定期チェックのみ）	3〜5時間
利用ルールの説明・周知	都度個別対応	資料1本の配布で完了	個別対応分がまるごと減る

試算の前提：従業員10〜100名規模の会社で、総務または情報システム担当者が 1〜2名という体制を想定しています。「ルール整備後」は、使ってよいツールと入力禁止情報を1枚のルールにまとめ、全社に周知した後の状態です。問い合わせ件数や漏えい疑いの発生頻度は会社によって差があるため、自社の実際の件数に置き換えて参照してください。

ルール整備そのものにも時間はかかりますが、一度作れば繰り返しの個別対応や事後調査が減るため、最初の数週間で回収できる時間です。

何から始めればいいか

いきなり全社ルールを作ろうとすると時間がかかりすぎます。次の順番で進めると、短期間で最低限の対処ができます。

実態を把握する。 「使っている人は正直に申告してください」と聞き取りをする。罰則を先に出すと申告が減るため、まずは実態把握を優先する
入力禁止情報を1枚にまとめる。 顧客の個人情報、契約金額、未公開の企画内容など、「これは入力しない」というリストを作る
使ってよいツールを決める。 全面禁止ではなく、会社として契約したツールか、個人情報を学習に使わない設定ができるツールを候補にする
周知する。 朝礼・社内チャット・入社時研修など、複数の場で繰り返し伝える。 1回の配布で終わらせない
定期的に見直す。 半年に1回程度、利用実態と入力禁止リストを見直す

このうち最も効果が大きいのは2の「入力禁止情報のリスト化」です。どのツールを使うかより、何を入力するかのほうがリスクの本体だからです。

全面禁止が機能しない理由

「リスクがあるなら全面禁止にすればよい」という判断は、一見安全に見えますが、実際には逆効果になりやすい方法です。

個人のスマートフォンでの利用は、会社側から見えなくなる。禁止した結果、把握できていた一部の利用実態すら見えなくなる
業務効率が落ちた社員が、周囲に隠れて使い続ける動機が強くなる
「使ってはいけない」という指示だけでは、何がダメで何が良いかの基準を社員が学べないまま終わる

全面禁止は、実態を「隠れて使う」状態に押し戻すだけで、入力される情報そのものは減りません。使用を前提にしたルール整備のほうが、結果として管理できる範囲は広くなります。

導入の判断基準（チェックリスト）

次のうち2つ以上に当てはまる場合は、ルール整備を急いだほうがよい状態です。

社員が個人のスマートフォンやアカウントでAIを使っている様子を見たことがある
「AIを使っていいか」と個別に質問されたことがある
顧客情報や見積金額を扱う部署で、AIの利用実態を把握できていない
社内にAI利用に関するルールが、まだ1つも文書化されていない

逆に、すでに会社としてAIツールを契約し、入力禁止情報のリストが周知されている場合は、半年に1回程度の見直しで足ります。

よくある質問

Q. シャドーAIは完全に無くすことができますか。 完全に無くすのは現実的ではありません。目的は使用をゼロにすることではなく、「何を入力してよいか」を社員が判断できる状態にし、情報漏えいなどの重大なリスクを避けることです。

Q. 罰則を設けたほうが効果は高くなりますか。 罰則を先に出すと、正直な申告が減り、かえって実態が見えなくなる場合があります。まず実態把握とルール周知を優先し、周知後も違反が続く場合に罰則を検討する順番をおすすめします。

Q. 無料のAIツールは一律禁止にすべきですか。 一律禁止よりも、「個人情報や契約金額を入力しない」という条件付きで許可するほうが、実態に近いルールになります。ツールの種類より、入力する情報の中身を基準にする考え方です。

Q. 会社としてAIツールを契約すれば、シャドーAIは解消しますか。 契約したツールが使いにくい、または対応できる業務が限られている場合、社員は別のツールを併用し続けることがあります。ツールの契約と合わせて、入力禁止情報のルール周知が必要です。

Q. 小さな会社でもルールを作る必要がありますか。 従業員数が少なくても、顧客情報や取引先の情報を扱っている以上は必要です。1枚の入力禁止リストを作るだけでも、最低限の対処になります。