社員が勝手にAIを使う会社に共通する「シャドーAI問題」

「禁止しているはずなのに、社員が勝手にChatGPTを使っているんです」

会社が把握しないまま、社員が個人の判断でAIを業務に使っている。この状態を「シャドーAI」と呼びます。情シスや経営層の見えないところで、すでに始まっているケースが少なくありません。

私たちが951件の商談内容を分類したところ、セキュリティへの不安は25.1%、情報漏洩やシャドーAIに関する相談は6.1%を占めていました（自社集計値）。数字だけ見ると小さく感じるかもしれませんが、これは「相談の場で、わざわざ口に出された不安」です。表に出ていないだけで、現場ではもっと広く起きていると考えるのが自然です。

実際、外部調査でもその広がりは裏づけられています。リスク対策支援のエルテスが会社員・公務員300名に行った調査では、生成AI利用者の約5人に1人が、会社が許可していないツールを使う「シャドーAI」でした。SIGNATE総研の調査（2025年12月）でも、生成AIを使う企業の34.8%が、シャドーAIに起因する従業員の不満を経験したと報告しています。

なお、本記事中の事例は各社個別の結果であり、すべての企業で同様の成果を保証するものではありません。

シャドーAIとは何か

シャドーAIとは、会社が把握・管理しないまま、社員が個人の判断でAIを業務に使っている状態を指します。

個人アカウントのChatGPTで資料を作る、業務情報を外部のAIに入力する、といった利用が典型です。会社の制度やルールの外側で進むため、リスクが見えにくいのが特徴です。かつてクラウド黎明期に問題になった「シャドーIT（無断のクラウド利用）」のAI版だと考えると分かりやすく、扱う情報の質を考えると、より深刻になりやすい問題です。

なぜ今、シャドーAIが急増しているのか

数年前まで、生成AIを業務で使う人は一部の感度の高い社員に限られていました。総務省「令和6年版 情報通信白書」では、何らかの業務で生成AIを使う日本企業は約48.6%とされ、いまや珍しいことではなくなっています。

ここ数年で、状況は大きく変わりました。

• ChatGPT、Claude、Gemini、Copilotが当たり前に手元にある

• 多くは無料、もしくは個人で契約できる金額

• スマホからでも使える

つまり、会社が制度や環境を整える前に、個人が先に使い始める構造になっています。便利なものは、ルールを待ってくれません。

だからこそ、「禁止」という号令を出しても止まらない。社員はすでに、その便利さを知ってしまっているからです。

ChatGPT禁止のはずなのに、なぜ社員は使っているのか

想像してみてください。

ある社員が、毎週2時間かけて議事録をまとめています。ChatGPTに音声の文字起こしを貼り付ければ、それが10分で終わる。会社では禁止されていると知りつつ、つい個人アカウントで使ってしまう。

これは、特別にルールを軽視する人の話ではありません。

シャドーAIを使う社員の多くは、悪意で動いているのではなく、「早く仕事を終わらせたい」という善意で動いています。目の前に便利な道具があり、それを使えば残業が減る。止める理由のほうが、本人には見つかりにくいのです。

ここを誤解すると、対策を間違えます。「ルールを守らない社員が悪い」と叱責しても、シャドーAIは止まりません。むしろ、もっと見えないところに潜るだけです。

現場の声｜なぜ“隠れて”使うのか

商談で実際に語られた声を紹介します（すべて匿名化しています）。

最後の声が、この問題の本質を突いています。

禁止は「使わせない」ための施策のはずが、実際には「見えなくする」結果を生んでいる。会社が把握できる範囲から、利用が外に出てしまうのです。

シャドーAIは、特別な問題ではない

「うちは大丈夫」と感じるかもしれません。けれど、シャドーAIは特別な誰かがやることではなく、ごく日常的な業務のなかで起きています。

たとえば、こんな使い方です。

• 会議の文字起こしを貼り付けて、議事録を要約する

• 過去の資料をもとに、提案書のたたき台を作る

• 取引先へのメール返信の文面を整える

• 海外向けの資料を翻訳する

どれも、わざわざ会社に申告するほどのことではない、と本人は感じています。だからこそ見えないところで広がります。「あ、うちでもやっているかもしれない」と思った時点で、それはもうシャドーAIです。

シャドーAIが招く3つのリスク

シャドーAIの怖さは、3つのリスクが「見えないまま」進行することにあります。

① 顧客情報が、知らないうちに外部へ出る

一番深刻なのはこれです。社員が良かれと思って、顧客名や契約内容、未公開の数字を外部のAIに入力してしまう。一度送信された情報が、どこにどう残るのかは、本人にも会社にも分かりません。

これは大げさな心配ではありません。海外では、従業員が機密性の高いソースコードや会議記録を生成AIに入力して情報が外部に流出した事例が報じられ、当該企業が利用を制限する事態に至っています。エルテスの調査でも、生成AIに「個人情報を含むデータ（氏名・住所・連絡先など）」を入力したことがある人が6.8%いました。IBM「Cost of a Data Breach Report 2025」によれば、データ侵害の約5社に1社（20%）がシャドーAI起因で、シャドーAIの利用が多い組織は平均で約67万ドル（約1億円）も侵害コストが上乗せされていました（日本のデータ侵害の平均コストは約5.5億円）。

② 誰が・何を使っているか把握できない

どの部署の誰が、どのツールを、どんな業務に使っているのか。会社が把握できていないと、リスクの大きさそのものが測れません。AIの出力をそのまま顧客に出してしまい、内容の正確性を誰も確認していない、ということも起こり得ます。

この「把握できていない」状態は、いまや多数派です。ガートナーが2026年6月に発表した調査では、日本企業の73%がシャドーAIに対応できておらず、43%は「把握できていない」、30%は「把握しているが有効な対策が取れていない」と回答し、「把握し有効な対策が取れている」企業は24%にとどまりました。

③ 成果が個人に閉じる

シャドーAIは、うまく使えている社員の工夫も「個人のもの」にしてしまいます。良い使い方が社内に共有されず、組織の力にならない。実際、私たちが951件を分類したなかでも、成功事例が横展開されないという悩みは29.0%の商談で挙がっていました。

整理すると、こういう流れです。

禁止 → 見えない利用 → 情報漏洩・属人化 → 会社が把握できない

AI禁止令を出した会社で起きやすい3つのこと

「リスクがあるなら、いっそ全面禁止すればいい」

そう考える会社は少なくありません。けれど、禁止令を出した会社では、次のようなことが起きやすくなります。

• 利用が見えなくなる：使うのをやめるのではなく、会社の目が届かない個人環境に移るだけ。

• ノウハウが共有されない：隠れて使っている以上、良い使い方を社内で語れない。組織に蓄積されない。

• 現場と経営の温度差が広がる：現場は「使えば早いのに」と感じ、経営は「危ないから止めたい」と考える。私たちが951件を分析した結果でも、経営層と現場の温度差は28.1%の商談で語られていました。

禁止は、一見すると安全策に見えます。けれど実態は、リスクを「見えなくする」だけで、消してはいないのです。この「全面禁止はかえってシャドーAIを助長する」という指摘は、総務省系の解説や複数のセキュリティ専門機関も共通して述べているところです。

いまや「対策しない」ことが法的リスクにもなる

シャドーAIの放置は、セキュリティだけの問題ではなくなりつつあります。

2025年9月1日、日本では「AI新法（人工知能関連技術の研究開発及び活用の推進に関する法律）」が全面施行され、AIを活用する企業にも適正な利用が求められるようになりました。あわせて、経済産業省の「AI事業者ガイドライン」もリスクベースの対応を促しています。情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が初めてランクインしました。

また、顧客情報を本人の同意なく外部AIに入力する行為は、2025年に改正された個人情報保護法の観点からも論点になり得ます。シャドーAIは「気づいたら起きていた」では済まされない領域に入りつつある、ということです。具体的な判断は、自社の法務・顧問にご確認ください。

解決は「禁止」ではなく「公式化」｜安全に使える設計

ではどうするか。答えは、禁止ではなく公式化です。

会社が「ここまでは安全に使っていい」という枠を用意し、その中で堂々と使ってもらう。隠れて使う必要をなくすことが、シャドーAIへの最も現実的な対策です。実際、エルテスの調査では、社内規程が「ある」または「策定中」の会社ほど、会社が許可したツールを使う割合が高いという結果が出ており、ルールを整えること自体に効果があることが分かっています。

進め方は、次のステップで整理できます。

ステップ0｜まず、社員が何を使っているかを調べる

いきなりルールを作るのではなく、現状把握から始めます。誰が、どのツールを、どの業務で使っているのか。ここが見えていないと、適切なルールも環境も決められません。

ステップ①｜入力してよい情報・ダメな情報を1枚で線引きする

複雑な規程は読まれません。「顧客名・個人情報・未公開の数字は入れない」といった線引きを、1枚で分かる形にします。私たちが951件を分類したなかでも、ガバナンス・社内ルールが未整備という課題は5.1%の商談で挙がっており、ここが曖昧なまま止まっている会社は少なくありません。IPAが2024年7月に公開した「テキスト生成AIの導入・運用ガイドライン」など、公的な資料を下敷きにすると作りやすくなります。

ステップ②｜会社が認めた、安全な環境を用意する

個人アカウントの代わりに、入力情報が外部の学習に使われない法人向けの環境を用意する。SIGNATE総研の調査では、シャドーAIの背景に「社内標準AIの機能不足」や「申請フローの煩雑さ」への不満があると指摘されています。つまり、用意する環境が使いにくいと、結局また個人ツールに戻ってしまう。さらに踏み込むと、自社の業務に特化したAIを用意し、そもそも外部に情報を出さない形にする選択肢もあります。

ステップ③｜ガバナンス教育とハンズオン研修をセットにする

ルールと環境を用意しても、使い方が分からなければ定着しません。「何を入れてはいけないか」「どう使えば安全で効果的か」を、手を動かす研修で配ります。

ステップ④｜良い使い方を見える化し、横展開する

公式化すれば、社員は隠す必要がなくなります。うまくいった使い方を社内で共有し、点を面に広げていく。シャドーAIだった力が、組織の戦力に変わります。なお、ガートナーも、IT部門が選んだAIだけを使わせる従来型の方針には限界があるとし、IT部門と利用部門が役割を分担する「分業モデル」を推奨しています。

🎓 研修で土台をつくる／🤝 伴走でルールと運用を回す／🛠️ 必要なら自社専用のAIを用意する。この3つを組み合わせると、「禁止」に頼らない設計ができます。

“公式化”した会社は何が変わったか

ある会社では、AIの利用規定がないまま社員が個人で使っている状態が続いていました。経営層は不安を感じつつ、止める根拠も止める方法も持てずにいました。

そこで、入力ルールの線引きと安全な環境の用意、そして全社向けの研修をセットで進めました。結果として、これまで隠れて行われていた利用が表に出て、「どの業務でどう使うか」を社内で語れるようになりました。叱るべき問題だったものが、共有すべきノウハウに変わったのです。

共通しているのは、ツールを取り上げたわけではないという点です。使い方を設計し直しただけで、同じツールが安全な戦力に変わりました。

そう感じた方は、ぜひ弊社にご相談ください。

まず、何から始めればいいか

シャドーAIが気になったら、最初の一歩はシンプルです。

1. 現状把握｜誰が・どのツールを・どの業務で使っているかを調べる

2. ルール｜入力してよい情報・ダメな情報を1枚で決める

3. 環境｜会社が認めた安全な環境を用意する

4. 研修｜正しい使い方を、手を動かす形で配る

この4つを順番に進めるだけで、「見えないリスク」が「管理できる戦力」に変わっていきます。

よくある質問（FAQ）

Q. シャドーAIとは何ですか。

会社が把握・管理しないまま、社員が個人の判断でAIを業務に使っている状態を指します。個人アカウントのChatGPTで資料を作る、業務情報を外部AIに入力する、といった利用が典型です。

Q. ChatGPTを社内で禁止すべきですか。

全面禁止はおすすめしません。利用が止まるのではなく、会社の目の届かないところに移る（地下化する）だけになりがちです。複数の調査でも、規程と安全な環境を整えるほど許可ツールの利用が増えると示されています。禁止より、安全に使える範囲を決める「公式化」のほうが、リスクを下げながら効果を得られます。

Q. ChatGPTに顧客情報を入力すると違法ですか。

一律に違法と決まるわけではありませんが、契約上の守秘義務違反や個人情報保護法上の問題につながる可能性があります。顧客名・個人情報・未公開情報は入力しない、という線引きを社内ルールとして明確にしておくことが重要です。具体的な判断は自社の法務・顧問とご確認ください。

Q. AIガイドラインは何から作ればいいですか。

まず「入力してよい情報・ダメな情報」の線引きから始めるのが現実的です。IPAの「テキスト生成AIの導入・運用ガイドライン」や経済産業省の「AI事業者ガイドライン」が参考になります。最初から完璧な規程を目指すより、1枚で分かるルールを作り、運用しながら育てていくほうが定着します。

Q. 中小企業でもAIガバナンスは必要ですか。

必要です。むしろ専任の情シスがいない会社ほど、社員任せのシャドーAIが起きやすく、リスクが見えにくくなります。2025年9月施行のAI新法もあり、企業規模を問わず適正な利用が求められます。大がかりな仕組みでなく、1枚のルールと安全な環境から始められます。

AIworkerが提供する、定着まで支援する3つのサービス

シャドーAIを「叱る対象」から「管理できる戦力」へ変えるために、私たちは次の3つで支援しています。

🎓 AIネイティブX研修

「何を入れてはいけないか」「どう使えば安全で効果的か」を、自社業務を題材に手を動かして学びます。ガバナンス教育と実践をセットにします。

🤝 AIネイティブX伴走

現場に入り、利用実態の可視化、入力ルールの線引き、安全な環境の整備から定着まで並走します。

🛠️ 業務AIプロ（自社専用AIエージェント開発）

必要に応じてClaude CodeやMCP連携も活用しながら、そもそも外部に情報を出さない、自社業務特化のAIを開発します。

「うちのシャドーAI、実態が見えていないかもしれない」と感じた方は、まず無料相談で現状の見取り図から整理しましょう。

▶️ 無料カウンセリング・AI活用診断のご予約

▶️ サービス資料のダウンロード（資料請求）