シャドーAI対策｜全面禁止の盲点と無断利用を減らす手順

社内での「AI無断利用（シャドーAI）」を減らすためには、現状をどう把握し、どの利用を制限し、どのように公式ツールへ移行すべきでしょうか。

本記事では、実態調査の6項目、利用可否の判断基準、最初の1か月で取り組むロードマップをわかりやすく解説します。

普段使っているSaaSに「いつの間にか追加されたAI機能」も点検の対象です。社内の利用状況の棚卸しや、運用方針を策定する際のたたき台としてご活用ください。

---

「会社としてはAIの利用を禁止している」

そう通達していても、社員が日常的に使うWeb会議ツールに「AI要約」ボタンが表示されていたら、どうなるでしょうか。

管理部門は利用を許可した覚えがなくても、現場の社員は「会社で契約しているツールだから使ってもよい」と判断してしまうケースが少なくありません。

悪意がなくても、現場と管理部門の間で認識のズレは生じます。

このズレを早期に把握し、会社が安全に管理できる利用環境へ整えていくこと。これこそが、本記事で提案するシャドーAI対策の基本的な考え方です。

1．全面禁止だけでは防げない理由

シャドーAIとは、会社の承認や管理が及んでいないAI利用全般を指します。

個人で契約しているAIツールを業務で使うケースだけでなく、既存の業務サービス内で、会社が利用規約や安全性を確認していないAI機能を使うことも含まれます。

利用の全面禁止をアナウンスすること自体が無意味なわけではありません。機密情報を扱うリスクを避けるため、安全性が確認できるまで利用を止める判断は必要です。

しかし、ルールで禁止するだけでは、現場の業務は変わりません。

例えば、当日の提出に追われている営業担当者がいたとします。

AIが禁止されていても、納期や業務量が減るわけではありません。効率化の代替手段が用意されていなければ、「少しだけなら大丈夫だろう」と個人所有のAIに頼ってしまう動機が残ります。

• 利用申請から承認までに時間がかかりすぎる
• どこに申請すればよいのか分からない
• 会社指定のツールでは必要な作業に対応できない

現場がこうした状況に置かれていないかも、あわせて確認する必要があります。

MicrosoftとLinkedInが共同で実施した2024年の調査（31か国・3万1,000人の知識労働者が対象）では、職場でAIを利用している人の78％が「個人で用意したAIツールを業務に持ち込んでいる（BYOAI）」と回答しています（出典：2024 Work Trend Index）。

この数値は特定の企業の無断利用率を示すものではありませんし、調査が行われた2024年と現在とではM365 CopilotやChatGPTを全社員向けに利用できるようにしている企業が増えるなど状況が大きく異なります。

しかし、そういった公認ツールを許可していても、個人契約のツールを持ち込もうとする人は少なくありません。そのため、自社の実態も把握しておく必要があります。

重要なのは、「どんなツールを使っているか」だけでなく、「そのAIを使って何の業務を終わらせようとしているのか」という現場のニーズまで把握することです。現場の課題が明確になれば、会社が導入すべきツールや整備すべきルールも見えてきます。

「危険な利用を止めること」と「業務を円滑に進める代替手段を用意すること」。

この2つを常にセットで設計することが大切です。

2．見落としやすい3つの利用経路

AIの利用は、新しいツールを契約したときだけに広がるわけではありません。主な流入経路を整理することで、点検すべき範囲が明確になります。

流入経路	主な確認事項
社員が持ち込むAI	個人アカウントや無料サービスで、どのような業務を行っているか
既存SaaSへの機能追加	導入済みのツールに、文章生成や自動要約などのAI機能が追加されていないか
社内データとの連携	メールや共有フォルダなどを、どこまでAIに参照・操作させているか

※SaaS：Webブラウザなどを通じてインターネット経由で利用する業務サービス（Web会議、CRM、文書作成ツールなど）。

特に見落としやすいのが「既存ツールへの機能追加」です。

例えばGoogleは2025年1月、Google WorkspaceのBusiness・Enterpriseプランにおいて、追加費用なしでAI機能を提供すると発表しました。このように、新たなAIサービスや追加オプションを契約していなくても、既存ツールの中で自然とAIの利用機会が生まれる事例が増えています。

新規ツールの導入審査だけに頼る運用では、こうした機能追加に対応できません。導入審査はあくまで「契約時点」のスナップショットであり、後から追加された機能までは把握できないためです。

そのため、すでに利用しているサービスについても、機能単位で確認を進める必要があります。

• 初期設定でAIが有効になっているか
• 誰が有効化・無効化を設定できるか
• どの社内データを参照し、外部のAI基盤へ何を送信しているか
• プランや社内設定によってデータ利用の扱いがどう変わるか

また、社内データとの外部連携にも注意を払う必要があります。「テキストを単発で貼り付ける使い方」と「共有フォルダ全体へのアクセス権を付与する使い方」では、流出リスクの範囲が根本的に異なります。「閲覧のみ」なのか「データの送信・書き換えまで可能」なのかも含めて確認しましょう。

「すでに会社が承認しているツール」であっても、新規追加されたAI機能は点検の対象です。

ツールの管理台帳には「ツール名」だけでなく、「利用可能なAI機能」「利用条件」「連携先および権限」「社内担当者」「最終確認日」を記録し、機能追加や利用規約の更新通知が担当者に確実に届く体制を整えておきましょう。

3．実態調査で押さえるべき6項目

「無断でAIを使っている場合は申告してください」と呼びかけるだけでは、社員は処分を警戒して実態を話してくれません。調査を実施する際は、まず「調査の目的」と「回答の取り扱い」を明確に伝えることが重要です。

「現場の実際の利用状況や困りごとを把握し、会社として安全に使える環境を整えるための調査である」と説明し、回答を閲覧する権限者、集計データの用途、個別相談の窓口を明記します。

率直に回答しづらい環境であれば、まずは無記名アンケートで全体の傾向を把握するのも一案です。ただし、匿名調査だけではアカウントの特定や安全な移行作業までは進まないため、個別に相談できる窓口もあわせて設けておきましょう。

ヒアリングシートには、以下の6項目を盛り込むのが基本です。

調査項目	質問の具体例
ツール・機能名	どのサービスの、どのAI機能を使っていますか？（普段使っているツールの要約・文章生成機能も含みます）
対象業務・頻度	どのような業務で、どのくらいの頻度で使っていますか？
取り扱う情報	公開情報、社内資料、顧客情報など、何を入力・参照させていますか？
アカウント・契約形態	会社支給か個人アカウントか。無料版か有料版か。費用は誰が負担していますか？
連携・操作範囲	メールや共有フォルダと連携させていますか？（閲覧のみ、または送信・更新も可能か）
利用する理由	その機能が使えなくなると何に困りますか？（会社ツールや申請手続きの課題など）

単に「AIを使っていますか」と質問しても、業務ツールに組み込まれた機能に思い至らないことがあります。「会議の自動文字起こし・要約」「メール作成アシスト」など、日常業務で見かける具体的な機能例を挙げると回答が集まりやすくなります。

なお、アンケート回答欄に機密情報や顧客の個人情報を直接貼り付けさせる必要はありません。まずは「どんな種類の情報を、どんな用途で扱っているか」の確認に留めます。

集まった回答は、社内の契約一覧、経費精算の履歴、SaaSの管理者画面、アクセスログなどと照合します（※ログの調査範囲や目的は事前に社員へ説明し、必要最小限の範囲で確認します）。

ここまで完了すると、社内におけるAIの利用実態リストが完成します。次は、それらをどう整理・判断していくかを考えます。

4．「継続・移行・停止」を判断する3つの基準

同じ「AIの利用」であっても、すべてを一律に禁止する必要はありません。調査で把握した利用状況は、「条件付きで継続」「公式ツールへ移行」「確認が済むまで一時停止」の3つに分類して対応します。

具体的な判断例は以下のとおりです。

継続：公開情報の要約など

• ケース： 営業担当者が、会社管理のアカウントを用いて、Web上に公開されている製品資料の要約を行っている。入力データ、契約内容、データ保存設定は確認済みで、外部ツールとの連携もない。
• 対応： 利用条件を社内ルールとして明文化したうえで、利用の継続を認めます。「入力は公開情報に限る」「生成結果は必ず元資料と突き合わせてファクトチェックを行う」「顧客へ送る前に人が確認する」といった手順を標準化します。安全性が確認できている使い方まで無理に止める必要はありません。

移行：個人AIを使った業務メールの作成

• ケース： 個人契約のAIを使い、営業メールの文面を作成している。入力内容を確認したところ、一般的な文例や公開情報のみで、顧客名や機密情報は含まれていなかった。
• 対応： 業務効率化を目指す目的自体は合理的ですが、個人アカウントのままでは退職後のアクセス権やデータ管理が会社側で制御できません。会社が指定する公式ツール上で同様の作業が行える環境（テンプレートや操作手順）を整え、公式環境へ移行させます。移行完了日や、個人アカウントに残った業務データの削除手順まで定めて確実に切り替えます。

停止：利用規約やセキュリティ条件が不明な会議要約

• ケース： 導入済みWeb会議ツールのAI要約機能を、顧客との商談で使用していた。しかし、音声データや文字起こしデータの送信先、保存期間、AI学習への利用有無が把握できていない。
• 対応： 直ちに該当機能の利用を停止し、管理部門で規約や設定を確認します。確認が完了するまでは、手動で議事録を作成するなど代替手段を案内します。確認の結果、セキュリティ要件を満たせば利用を再開し、満たさなければ代替ツールを手配します。「停止したまま放置しない」ことが現場の協力を得る鍵です。

判断の軸となるのは、「用途」「扱う情報の機密性」「管理可能な範囲」です。「無料だから危険」「有料だから安全」といったコストの有無だけで判断しないよう注意してください。

それぞれの対応には必ず「担当者」と「対応期限」を設定します。万が一、すでに機密情報や個人情報が未確認の外部AIへ送信された恐れがある場合は、通常の調査集計を待たず、速やかにセキュリティ担当部門へエスカレーションしてください。

5．公式ツールの選定と現場への定着

「会社指定の公式AIツールを用意したのに、現場では個人のAIが使われ続けている」

このような問題が生じている場合、現場の業務プロセスを公式ツール上で実際に試してみてください。「ファイル添付ができない」「一部のメンバーに権限が付与されていない」「月間の利用上限にすぐ達してしまう」など、実務上のボトルネックが潜んでいるケースがほとんどです。

ツールの選定時には、カタログ上のスペック比較にとどまらず、「実務の担当者が、確認や修正まで含めて一連のタスクを完結できるか」をテストすることが重要です。

公式ツールの選定基準として、以下の5点を押さえておきましょう。

• 業務適合性： 必要なデータ形式に対応し、修正やファクトチェックを含めても現場の効率化につながるか。
• アカウント統制： アカウントの発行・停止、退職時のアクセス遮断、コスト管理が一元化できるか。アカウント単位や組織単位で一部の機能を利用制限できるか。
• データの取り扱い： 入力データがモデルの再学習に利用されないか、保存期間や削除手順、外部送信先が開示されているか。
• アクセス権限とログ管理： 参照範囲を必要最小限に制限でき、監査ログを追跡できるか。
• 操作性と実用性： 操作が直感的か、利用制限が厳しすぎないか、申請フローが煩雑で業務を阻害しないか。

特に注意したいのが、「AI学習には利用されません」という説明だけで判断しないことです。「モデルの学習に利用されないこと」と「事業者のサーバーにデータがログとして保存されること」は別の問題です。

例えばNotionの公式セキュリティ資料でも、モデル学習への不利用、AIプロバイダーによるデータ保持期間、ユーザーのアクセス権限管理などは明確に区別して説明されています。導入プランごとにどのようなポリシーが適用されるかを必ず確認しましょう。

スムーズな運用のポイント

1. 雛形とガイドラインの共有： 利用者へアカウントを付与する際、よくある業務のプロンプト例や入力テンプレートを用意します。「入力してよい情報」と「禁止する情報（顧客名、契約書、個人データなど）」をA4用紙1枚程度に簡潔にまとめ、すぐに確認できる場所に配置します。
2. 迅速な申請フロー： 公式ツールでカバーできない業務については、例外申請の窓口を設けます。「申請受領から3営業日以内に一次回答を行う」といった運用ルールを設け、判断に時間を要する場合は、回答予定日とそれまでの代替案を伝えることで、現場を放置しない体制を作ります。

「会社のルールに従って公式ツールを使った方が、安全かつスムーズに仕事が進む」

現場にそう実感してもらうことこそが、シャドーAIを解消する一番の近道です。

6．実践的な研修で現場の迷いを解消する

利用ガイドラインを配布するだけでは、日常業務の細かな判断の迷いはなくなりません。

「顧客名を伏字にすれば、商談メモを入力しても問題ないか？」

名前を隠しても、プロジェクトの規模や取引条件などの文脈から取引先が特定されてしまうケースがあります。「機密情報の入力禁止」という抽象的な注意喚起だけでは、現場が迷うのも無理はありません。

そのため、社内研修では実際の業務を想定した具体的なサンプルを用います。

• どの情報をマスキングすべきか
• 公式ツールでどのように下書きを出力させるか
• 生成された文章を元データとどう照合・修正するか
• 判断に迷った際、どこに相談すべきか

営業部門であれば「提案書の構成案作成」、バックオフィスであれば「社内周知文の作成」など、受講者が翌日からそのまま使える実務をテーマに演習を行うと定着しやすくなります。

7．最初の1か月で進める導入ロードマップ

最初から全社一斉に完璧な運用を目指す必要はありません。全社調査でシャドーAIの全体像を把握しつつ、ツールの試行運用は「1つの部署・特定の業務」に絞って進めるのが現実的です。

以下は、最初の1か月で取り組むスケジュールのモデルケースです。

時期	主な担当とタスク	成果物
第1週	管理部門が実態調査と既存SaaSの点検を実施。経営陣は担当者の工数を確保	社内利用ツールの一覧、優先対応リスト
第2週	管理部門が契約・設定を確認。経営陣が利用方針と予算を策定	継続・移行・停止の判定基準、簡易利用ガイド
第3週	パイロット部門の責任者と少人数メンバーで研修およびツールの試行	業務別の標準プロンプト、課題の記録
第4週	現場から試行結果を報告。経営陣・管理部門で運用ルールを見直し	導入効果の評価レポート、次期展開計画

中小企業の場合、担当者が他の業務と兼任になることも多いでしょう。その場合でも、「誰が最終的な利用可否を判断するのか」という責任者だけは明確にしておきます。

また、経営陣は担当者の「作業工数」をしっかり確保することが欠かせません。「通常業務の合間に進めてほしい」という指示では、実態調査や相談窓口の運用が後回しになってしまいます。週に数時間でも専用の時間を割り当て、必要に応じて通常業務の負荷を調整する配慮が必要です。

1か月の試行期間が終わったら、以下の項目を検証します。

• 作業時間（確認・修正を含む）の短縮度合いと、アウトプットの品質
• 公式ツールでは対応できず、外部ツールが必要となった業務の有無
• ガイドライン違反が発生していないか、発生時の対応フローは機能したか
• 利用申請への回答スピードや、移行作業が滞っているボトルネック

なお、調査直後に未承認利用の報告数が増えたとしても、必ずしも状況が悪化したわけではありません。これまで見えていなかったリスクが表面化し、管理可能な状態に近づいた証拠でもあります。

以後は月1回程度のペースで利用状況と現場の困りごとを見直し、SaaSのアップデートや機能追加があった際は速やかに確認できる体制を維持していきましょう。

---

まずは現場の声を聞くことから

シャドーAIへの対策を進めていくと、現場が日々の業務でどのような非効率に直面し、どこで立ち止まっているのかが見えてきます。

• 個人契約のAIを使っていたとすれば、現場はどんな作業を手助けしてほしかったのか。
• 承認済みツールが使われないなら、どの機能が現場のニーズを満たしていないのか。
• 既存の業務システムにAIが追加された場合、誰が仕様変更をチェックする体制になっているか。

禁止事項を並べるだけでなく、業務プロセスの見直しとして捉え直すことが大切です。

自社だけで適切な利用範囲の線引きやガイドライン策定が難しい場合は、業務の棚卸しやツール選定の支援を外部に相談するのも有効な選択肢です。

まずは今週、現場の担当者にこう問いかけてみることから始めてみてください。

「もし今使っているAIが使えなくなったら、どの仕事で一番困りますか？」

その答えの中に、会社として真っ先に整備すべき公式ツールの要件が隠されています。