2026年10月30日 09:00

生成AIを禁止すれば安心？むしろ広がるシャドーAIをどう防ぐ

数年前までは、生成AIという単語を聞いたことがある人、使ったことがある人はそれほど多くありませんでした。

しかし、今や多くの人が利用しています。

仕事においても、生成AIを活用している人は多いでしょう。
筆者のまわりでも、効率化できたという声をよく聞きます。

一方で、生成AIを使用することで起こるリスクもあります。今回は生成AI時代のデータリスクのひとつ、シャドーAIについて考えます。「禁止すれば安心」とは、どうやら言い切れないようです。

禁止の裏で広がるシャドーAI

職場でAIサービスが使えない場合などに、従業員が個人で使っているAIサービスを仕事に使うことがあります。これを「シャドーAI」と呼びます。*1

直訳すると「影のAI」です。なんだか物騒な響きですが、ポイントは、使っている本人に悪気があるかどうかではなく、「会社から見えない」というところにあります。

では、実際にどれくらいの会社が、この「影」に手を焼いているのでしょうか。

IT・アドバイザリー企業の調査によると、シャドーAIについて「把握できていない」と答えた企業は43%、「把握しているが対策できていない」企業は30%でした。「把握し、有効な対策を取れている」企業は24%にとどまっています。

合わせると7割超の企業が、シャドーAIを十分に管理できていない状況でした。*2

ただ単に「うちは禁止しているから大丈夫」と安心できる状況ではない 無いようです。

社員がこっそり使いたくなる理由

AIを使うことは、もう珍しくなくなってきました。筆者も、仕事でAIを使っています。

数字で見ても、その広がりは急です。仕事や日常生活で生成AIサービスを使ったことがあると答えた人は、日本で58.8%でした。前年度の調査の26.7%から大きく伸びています(図1)。*3

図1：日本における生成AIサービスの利用経験（全体）
出所）総務省「令和8年版情報通信白書」
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd111110.html

1年で倍以上です。

しかも、生成AIサービスを使っている人のうち、「ほぼ毎日」使うと答えた人は約3割いて、20歳～29歳では約4割にのぼります。*4

会社のほうも同じです。生成AIの活用方針について「わからない」と答えた企業を除くと、自社の何らかの業務で生成AIを使っていると答えた企業は、日本で86.4%でした(図2)。*5

図2：生成AIを一つ以上の業務で利用している割合（国別）
出所）総務省「令和8年版情報通信白書」
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd121130.html

家族も、取引先も、よその会社も使っています。そんな中で自分の職場だけ「禁止」となったら、どうなるでしょうか。

議事録をまとめる。取引先へのメールの下書きをつくる。日報や作業手順書の言い回しを整える。現場の仕事には、「ここがちょっと楽になったらなあ」と思う場面がたくさんあります。

会社のパソコンでは使えないけれど、自分のスマホなら使える。そう考えてしまうのは、ある意味で自然な流れかもしれません。

ここで押さえておきたいのは、こっそり使う人の多くは、サボりたいわけではないだろうということです。「早く仕事を片づけたい」「もっといい資料をつくりたい」という、むしろ前向きな気持ちから手が伸びているのではないでしょうか。

以前、筆者が一緒に仕事をした人は、議事録を作成するために個人の携帯電話で会議の内容を録音していたことがあります。筆者が「個人の携帯電話で録音して大丈夫ですか？」と聞いたところ、「聞き漏らしがあるといけないので......あとで自分のAIを使って議事録を作成します。」との返答がありました。
所属している組織によってルールは異なるでしょうが、個人のデバイスや個人契約のAIサービスを使うことを推奨している組織は多くはないはずです。

もちろんこの人も、悪意を持って録音していたわけではなく、より確実に、簡単に議事録を作りたかったために、個人のデバイスやAIを使っていました。

見えないことがいちばんこわい

便利とはいえ、見えないところで使われるAIには、やはりリスクがあります。

IPA（独立行政法人情報処理推進機構）の資料では、組織の脅威として「AIの利用をめぐるサイバーリスク」が3位に入りました。その中では、職場に許可なくAIを業務に使い、情報漏えいにつながる可能性が挙げられています。*1

個人情報保護委員会は、生成AIサービスに入力した個人情報が、AIの機械学習に使われることがあると注意を呼びかけています。その結果、ほかの情報と結びついて、正確な内容でも不正確な内容でも出力されるリスクがあります。AIの回答そのものに、不正確な内容が含まれることもあるとしています。*6

このことは、多くの人がすでに認識、もしくは体験しているでしょう。

総務省と経済産業省の「AI事業者ガイドライン」でも、AIを使う側には、個人情報や機密情報を不適切に入力しないよう注意を払うことが求められています。AIの出力の精度やリスクの程度を理解したうえで使うことも、あわせて求められています。*7

ただ、「個人情報や機密情報は入れないように」と言われても、どこまでが機密情報にあたるのか、はっきりわからない社員もいるのではないでしょうか。図面の寸法は？取引先の名前は？来月の生産計画は？考え始めるときりがありません。

良かれと思ってAIを使ってしまう社員も、きっといるでしょう。

そして、会社から見えない場所で利用されると、何かが起きても会社は気づくことができません。ここがシャドーAIのいちばんこわいところだと、筆者は考えています。

一律に禁止すると利用が表に出なくなり、かえってリスクが大きくなると警告する専門家もいます。*2

筆者も、勤務先が一律でAIの利用を禁止していたら、こっそりと個人契約のAIを使ってしまいそうです。一度その便利さを味わうと、手放すのが難しくなります。

切れる工具ほど使い方を決めて使う

では、どうすればいいのでしょうか。ここで少し、工具の話をさせてください。

ものづくりの現場には、切れ味の鋭い工具や専門的な加工機がたくさんあります。切れる工具ほど「危ないから誰も触るな」とはせず、誰がどう使うかを決めている職場が多いのではないでしょうか。いちばん危ないのは、みんなが隠れて自己流で使っている状態です。

生成AIも切れ味のいい新しい工具だと考えると、やるべきことが見えてきます。IPAの資料に挙げられている対策を、工具の扱いに置き換えて見てみましょう。

使ってよい道具を決める

IPAは、シャドーAIを避けるために、会社としてAIサービスの利用を検討することを対策に挙げています。あわせて、許可されていないAIサービスの利用を禁止することも挙げています。*1

禁止する相手は「AIそのもの」ではなく「許可していないAI」です。

AIサービスには、会社向けのビジネスプランを用意しているものもあります。ただ、ビジネスプランを使っているから安心、というわけではないと筆者は考えています。開発企業が、いつ規約を変えるかわからないからです。

個人情報保護委員会も、AIサービスを提供する事業者の利用規約やプライバシーポリシーなどを十分に確認するよう呼びかけています。*6

IPAの資料でも、AIサービスを契約するときに約款を確認することや、入力したデータを学習の対象から外す「オプトアウト」の設定を徹底することが挙げられています。*1

道具は一度そろえたら終わりではありません。刃物の点検と同じように、規約もときどき見直しておきたいところです。

入れてはいけない情報を決める

IPAは、社内の秘密情報などを安易に入力しないことを挙げています。*1

先ほど触れたように、「どこまでが機密か」は人によって判断が違うことがあります。だからこそ、「顧客名は入れない」「図面データは入れない」のように、具体例つきで決めておくと迷いが減るのではないでしょうか。

使い方を教える

新しい工具が入ったら、まずは使い方を教わるのが現場の基本です。

AIについても、IPAは講習などのプログラムを用意して、AI利用の教育を徹底することを挙げています。*1

特に、AIの進化には目を見張るものがあります。数ヶ月前にできなかったことができるようになったり、逆に使い勝手が悪くなったりすることも珍しくありません。
AIの適切な使い方の情報は、定期的に更新する必要があります。

筆者が勤務していた会社では、製造した製品のトラブル事例を学ぶ勉強会が毎月開催されていました。勉強会で、「こういうところに気をつけよう」と思っても、どうしても時間が経てば忘れてしまいます。定期的に勉強会が開催されることで、過去の事例や注意点を繰り返し確認でき、品質に対する意識を維持することができていたと感じています。

AIの使い方を学ぶときも同じで、継続的で根気強い教育が最も効果的であると思っています。

困ったら言える場をつくる

IPAは、トラブルが起きたときに備えて、専門家や相談窓口を確保しておくことも挙げています。*1

これは、ものづくりの現場でいうヒヤリハット報告に似ていると思います。「AIにちょっと入れすぎたかも」と気づいたとき、怒られるのを恐れて黙ってしまうのがいちばんまずいパターンです。気軽に相談できる窓口と空気があれば、小さなヒヤリのうちに手を打てます。

一律で禁止してしまうのはもったいない

筆者と一緒に働いていた人がこっそりスマホを使っていたのは、AIが悪いからでも、その人がずるいからでもないはずです。会社のルールと「仕事をもっと楽にしたい」という気持ちが、すれ違っていただけなのかもしれません。

生成AIは、切れ味のいい新しい工具です。「使うな」というルールを、「こう使おう」というルールに変えてみるだけで、影に隠れていたAIが、明るい作業台の上に出てくるかもしれません。

参照・引用を見る

*1
出所）独立行政法人情報処理推進機構「情報セキュリティ10大脅威2026解説書 組織編」P.16-18
https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf

*2
出所）日経クロステック「企業の7割超がシャドーAI対策できず、放置で情報漏洩・法令違反のリスクも」
https://xtech.nikkei.com/atcl/nxt/column/18/00989/062200211/

*3
出所）総務省「令和8年版情報通信白書」
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd111110.html

*4
出所）総務省「令和8年版情報通信白書」
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd111320.html

*5
出所）総務省「令和8年版情報通信白書」
https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r08/html/nd121130.html

*6
出所）個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」P.2-3
https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf

*7
出所）総務省・経済産業省「AI事業者ガイドライン（第1.2版）」P.40-41
https://www.soumu.go.jp/main_content/001064279.pdf

SHARE