シャドーAIとは：社員が無断で使う生成AIのリスクと、中小企業の管理の始め方

先週の会議で、議事録の要点整理がやけに速く仕上がっていた。感心して「どうやったの」と聞いたら、若手が少し口ごもって「AIにかけました」と答える。悪気はない。むしろ助かっている。しかしその瞬間、あなたの頭には別の問いが浮かんだはずだ。あの議事録には取引先の名前も、まだ公表していない案件の金額も入っていた。それは今、どこのサーバーに渡ったのか。誰が、他にどんなツールを、どんな情報を貼り付けて使っているのか。

従業員が30名を超えたあたりから、こうした気配は確実に社内で増えていく。全面的に禁止すれば現場は「他社はもう使っているのに」と不満を溜め、仕事も遅くなる。かといって黙認したままでは、情報がどこへ流れているか誰も説明できない。しかも情報システム部門がない会社では、相談する相手すらいない。総務や経営企画の担当者が、本業の片手間に「なんとなく心配」を抱えたまま止まっている。この記事は、その止まった状態から一歩だけ動くための、実態把握と管理の始め方をまとめたものだ。専門知識がなくても読めるように書いた。

まず全体像：シャドーAIとは何で、どこから手をつけるか

細かい話に入る前に、この記事で扱う範囲を一枚の表にまとめておく。自分の会社がどのあたりで止まっているかを、ここで当たりをつけてほしい。

シャドーAIとは：無断で使われる生成AIのこと

シャドーAIとは、会社が承認も把握もしていないのに、社員が業務のなかで使っている生成AIツールを指す。議事録の要約、メールの下書き、資料のたたき台、画像の作成、翻訳、表計算の関数づくり。いまや無料や個人契約で使えるものが数え切れないほどあり、その多くはブラウザを開けば数秒で使い始められる。かつて社内で「勝手に導入されたクラウドサービス」がシャドーITと呼ばれたのと同じ構図が、生成AIで一気に加速したと考えればいい。

なぜ生まれるかというと、答えは単純で、便利だからだ。現場は目の前の仕事を早く終わらせたい。会社の承認を待っていたら間に合わないし、そもそも「これを使っていいですか」と聞く窓口がない。だから先に使う。悪意があって隠しているのではなく、承認の仕組みがないから結果的に見えなくなっている。ここを取り違えて「隠れて使う不届き者」という前提で対策を始めると、現場は口を閉ざし、実態はますます見えなくなる。管理の出発点は、罰することではなく、まず見えるようにすることにある。

リスクの見方：専門用語を使わずに、危ないツールを見分ける

「AIは危ない」という漠然とした不安のままでは、どのツールを止めてどれを認めるか決められない。危なさは、いくつかの決まった観点に分解すると急に扱いやすくなる。ITの専門家でなくても、次の4つを1ツールずつ確認していけば、危険度の見当がつく。

この4観点で見ると、「便利だが学習利用がONで保存国も不明」なツールと、「会社契約があり学習に使われず記録も残る」ツールが、同じ生成AIでもまったく別物だと分かる。全部を禁止する必要はない。危ない設定のものだけを差し替え、安全なものは堂々と使い続ければいい。管理とは、使わせないことではなく、この線引きをできるようにすることだ。

情シスがいない会社が始める3ステップ

ここからが本題になる。担当が兼務で、専門家もいない会社でも動ける順番で並べた。棚卸し、リスク評価、規程と同意管理。この順を飛ばさないことが大事で、実態を見ないまま規程だけ作ると、現場の実情と合わない紙が1枚増えるだけで終わる。

ステップ1：何が使われているかを棚卸しする

最初にやるのは、社内で今どんなAIツールが使われているかのリスト化だ。手作業なら方法は2つを組み合わせる。1つは各部署へのアンケートで、「業務で使っている、あるいは試したことのあるAIツールを、会社が禁止していないか気にせず正直に書いてください」と、責めない前置きをつけて聞く。もう1つは、Google WorkspaceやMicrosoft 365を使っているなら、会社アカウントで外部サービスに連携（ログイン）した記録を管理画面から確認する方法だ。後者は自己申告より確実で、本人が忘れているものも拾える。

集めた情報は、ツール名・使っている人数・用途・どこで見つけたか（アンケートか連携ログか）を1行ずつ並べた台帳にする。この段階では良し悪しの判定はしない。まず「何があるか」を全部机の上に出すことが目的だ。ここで完璧を目指して止まるより、粗くても一覧にしてしまうほうがいい。

ステップ2：危ないツールを見分けて評価する

台帳ができたら、1ツールずつ前の4観点（学習利用・保存国・契約・記録）を埋めていく。確認先はそのツールの利用規約とプライバシーポリシー、料金ページだ。手間はかかる。1件あたり規約を読んで30分ほど見ておくといい。埋め終わったら、危険度でおおまかに3つに仕分ける。

ここで効くのは、同じ用途のツールが社内に何種類も乱立している事実に気づけることだ。議事録用が3種類、画像作成が4種類といった重複はよくある。危険なものを差し替えるついでに、安全な1〜2種類に寄せてしまえば、管理が楽になるうえに個人課金のサブスク費用も減る。

ステップ3：規程を1枚作り、同意をとる

最後に、判断のよりどころになる社内ルールを1枚だけ作る。長大な規程はいらない。最初は「承認済みのツール一覧」「入れてはいけない情報（顧客の個人情報、未公表の財務・案件情報など）」「新しいツールを使いたいときの申請先」の3点が書いてあれば十分に機能する。難しく考えず、A4で1〜2枚を目指す。

作ったら、全社員に読んでもらい「内容を確認しました」の同意をとる。ここを口頭で済ませると、後から「聞いていない」が必ず出る。誰が同意済みで誰が未同意かを一覧で管理し、入社・退社のたびに更新する。この同意の記録が、いざ何か起きたときに「会社としてルールを定め、周知していた」ことの証拠になる。規程は作って終わりではなく、同意の管理まで含めて1セットだ。

手作業だとどれくらいかかるか：棚卸しの試算例

「やることは分かったが、うちの片手間で回せるのか」という不安は当然だ。ステップ1の棚卸しを担当者が手作業でやると、どのくらいの時間と金額になるかを試算しておく。前提は、従業員62名・情シス不在で、管理を総務か経営企画の担当者が兼務するモデル企業だ。金額は給与額そのものではなく、社会保険の会社負担や賞与、設備・間接費まで含めた会社の総コスト（一般に給与の約3倍）で換算している。管理担当の時給換算は約6,500円として計算した。

時間だけでなく、実際には督促を挟むので完了まで3〜6週間かかる。しかもアンケートは自己申告なので、言い出しにくい利用は結局出てこないという弱点も残る。規程まで内製するなら、起草に約20時間（約13万円相当）と、社労士や弁護士のレビュー実費10〜20万円が上乗せになる。ここで大事なのは「だから外注しなさい」ではなく、棚卸しは片手間の善意で始めると想像より重い、という現実を先に知っておくことだ。回せそうなら自社でやればいいし、負担が重ければ外部の力を借りる判断もできる。どちらにせよ、まず規模感を掴んでから決めるほうがいい。

正直に言える範囲：見えるものと、見えないもの

管理を語るうえで、これは最初にはっきりさせておきたい。会社アカウントの連携ログから分かるのは「会社のGoogle WorkspaceやMicrosoft 365のアカウントで、どの外部サービスにログイン・連携したか」までだ。社員が個人のGmailやプライベートなアカウントで使っているAIは、この方法では見えない。何を入力したか、どんな文章を貼り付けたかという中身も見えない。

「全部まるごと検知できます」とうたうほうが売り文句としては強い。しかしそれは事実ではないし、監査やガバナンスの領域で嘘をつけば、いざというときに一番困るのは会社自身だ。だからここは正直に書く。連携ログで会社アカウント経由の利用の大半は可視化できる。そのうえで個人アカウントの利用は、技術で覗くのではなく、責めない棚卸しと明確な規程、そして「承認ツールを使えば安全で便利」という状態づくりで、自然に表に出てもらう。見えない部分があることを認めたうえで設計するのが、遠回りに見えて一番堅い。

よくある質問（FAQ）

社員が個人アカウントで使っているAIも分かりますか

分かりません。会社のGoogle WorkspaceやMicrosoft 365のアカウントから外部サービスへ連携した記録は確認できますが、社員が個人のアカウントで使っている分や、入力した中身までは見えません。ここは正直にお伝えしています。個人利用は、責めない前提の棚卸しと、安全で使いやすい承認ツールを用意することで、隠す理由をなくしていくのが現実的な対応です。

情報システム部門がなくても管理を始められますか

始められます。むしろ情シスがいない会社ほど、専門用語なしで進められる手順が必要です。この記事の3ステップ（棚卸し・リスク評価・規程と同意管理）は、総務や経営企画の担当者が理解できる形で組んでいます。ツールの規約を1件ずつ読む作業が重い場合は、その部分だけ外部に任せる選び方もできます。

まず全部禁止してしまうのは駄目ですか

禁止は一見安全ですが、AIが生んでいた業務時間を丸ごと失いますし、現場は隠れて使い続けるので実態はかえって見えなくなります。危ないツールと安全なツールを分け、危ないものだけ差し替えて、安全なものは正式に使ってもらう。この線引きのほうが、禁止よりも実質的にリスクを下げられます。

まず自社でやるか、外注するかはどう決めればいいですか

棚卸しは手作業だと約63時間・約39万円相当が目安です（従業員62名の試算例）。担当者にこの時間を割ける余裕があり、督促や規約読みを進められそうなら自社で十分です。本業を圧迫しそうなら、実態把握と規程案づくりだけ外部に任せ、運用は自社に戻す形も選べます。まずこの規模感を掴んでから決めるのがおすすめです。

実態が見えないまま、止まっている方へ

禁止も黙認もできずに止まっているなら、必要なのは大がかりな対策ではなく、まず「何が使われているか」を一覧にする最初の一歩です。会社アカウントの連携ログからのシャドーAI棚卸し、ツールごとのリスク評価、規程と同意管理までを、情シスのいない会社でも扱える形にまとめたShadowLens STKがあります。いきなり導入を決める必要はありません。「うちはどこから手をつけるべきか」を整理するだけでも、初回のスポット相談（30分・税込無料）で壁打ちにお使いください。見えないものを一度、机の上に並べるところから始めましょう。

あわせて読みたい

• AI利用規程の作り方：中小企業が最初に決める条項と考え方
• 生成AIの情報漏洩リスク：学習利用・保存国・DPAをどう見るか
• 従業員の生成AI利用実態をどう把握するか：アンケートと連携ログの違い
• 生成AIを全面禁止すると何を失うか：禁止と黙認の板挟みから抜ける
• 生成AIを安全に社内展開する：承認ツールと代替案内の運用設計
• AI利用の同意と教育：規程を形骸化させない運用の作り方
• Google Workspace / Microsoft 365 の連携ログで何が分かるか