シャドーAIとは？禁止しても使われる理由と、見つけ方・安全な道の用意の仕方

社員が個人のアカウントでChatGPTなどの生成AIを使い、メールの下書きや資料の要約をしているらしい。けれども、誰がどのサービスに何を入れているのかは、会社として誰も把握していない。そんな状態に心当たりのある経営者や情報システムの担当の方は多いのではないでしょうか。

このように、会社が把握していないまま業務に使われているAIを「シャドーAI」と呼びます。Microsoft と LinkedIn が2024年に31の国と地域の31,000人に行った調査では、AIを使う人の78%が自分で選んだAIツールを職場に持ち込んでいると答えています（Microsoft・LinkedIn「2024 Work Trend Index」2024年5月発表）。

シャドーAIは、禁止するだけでは消えず、見えなくなるだけです。大事なのは、まず実態をつかみ、会社として安全に使える道を用意して、隠れて使う理由をなくすことです。この記事では、シャドーAIとは何か、なぜ起きるのか、どう見つけるのか、どう対策するのかを順に説明します。

シャドーAIとは

シャドーAIとは、会社のIT部門や管理する立場の人が承認・把握していないまま、社員が自分の判断で業務に使っているAIのことです。個人のアカウントで使う生成AIのチャットのほか、翻訳や文字起こしのサービス、ブラウザの拡張機能、すでに使っているツールに後から付いたAIの機能も含まれます。

シャドーITとの違い

会社が把握していないIT機器やクラウドサービスが使われることを、以前から「シャドーIT」と呼んできました。シャドーAIはその一種ですが、違うのは、入れた情報がAIの学習や処理に使われ、出てきた答えがそのまま仕事の成果物になる点です。ファイルを置く場所が増えるだけのシャドーITと比べて、情報が出ていく量と、間違いが社外へ出ていく速さが大きくなります。

よくある場面（想定の例）

たとえば、営業の担当者が顧客との打合せの録音を無料の文字起こしサービスに上げて要約させる、経理の担当者が取引先の名前が入った表を貼って集計の式を作らせる、技術の担当者が社内のプログラムを貼って直し方を聞く、といった場面が考えられます。どれも本人は仕事を速くしたいだけで、悪いことをしている意識はほとんどありません。

なぜ起きるのか｜禁止しても使われる

シャドーAIが起きる一番の理由は、AIを使うと仕事が明らかに速くなるのに、会社が使ってよい道を用意していないことです。会社の答えが「当面は禁止」のままだと、社員は使うのをやめるのではなく、会社の目の届かない個人のスマートフォンや自宅のパソコンで使うようになります。

禁止の悪い所は、使うこと自体は止まらないのに、何が起きているかが会社から見えなくなることです。相談すれば止められると分かっていれば、社員は相談しなくなり、困ったことが起きても報告が上がってきません。結果として、禁止する前より危ない状態になってしまいます。

もう1つの理由は、何を入れてはいけないかが決まっていないことです。線が引かれていなければ、社員はそれぞれの感覚で判断するしかなく、人によって入れる情報がばらばらになります。

シャドーAIのリスク

シャドーAIで困ることは、大きく3つあります。

1つ目は情報の漏洩です。個人向けの無料のサービスには、入力した内容をサービスの改善や学習に使う設定のものがあり、顧客の情報や社内の数字が、会社の知らないところで外に渡るおそれがあります。総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」も、AIを使う事業者に向けて「AI システム・サービスに機密情報等を不適切に入力することがないよう注意を払う」ことを求めています。

2つ目は誤りがそのまま社外へ出ることです。生成AIはもっともらしい文章で事実と違うことを書くことがあり、確かめる決まりの無いまま見積書や顧客への回答に使われると、間違いの責任は会社が負います。

3つ目は、あとから説明できないことです。顧客から「うちの情報をAIに入れていないか」と聞かれたときに、誰が何をどこに入れたかを会社が把握していなければ、答えようがありません。これが、取引先からの信用に一番響きます。

シャドーAIの見つけ方

見つけ方というと監視の製品を思い浮かべるかもしれませんが、製品を入れる前にできることがあります。まずは次の3つで、おおよその実態をつかめます。

1. 聞いて回る（責めない前提で）

いちばん早くて確かなのは、部署ごとに「どのAIを、何に使っているか」を聞くことです。このとき、答えた人を責めないと先に約束することが欠かせません。責められると分かれば、誰も本当のことを言わなくなります。短いアンケートでもよく、使っているサービス名と、入れている情報の種類が分かれば十分です。

2. 経費と請求を見る

有料のAIサービスを個人のクレジットカードで払い、経費で精算している社員がいれば、経費の明細に名前が出てきます。会社のカードの請求も同じです。お金が動いている使い方は、業務に深く入り込んでいる使い方なので、優先して確かめます。

3. 今あるログを見る

会社で使っているメールやグループウェア、ネットワーク機器には、多くの場合、ログイン先や通信先の記録が残っています。外部のサービスに会社のアカウントでログインした記録や、AIのサービスへの通信が多いパソコンを見れば、使われている場所の見当がつきます。

全社で人数が多い、扱う情報の機密性が高いといった事情があれば、そのあとで、通信を見て未承認のサービスを洗い出す製品（CASB や SWG と呼ばれるもの）を検討すれば十分です。ただし、製品で見えるのは会社の機器と会社のネットワークの中だけで、個人のスマートフォンでの使い方は見えません。だからこそ、次の「安全な道を用意する」ことが本題になります。

対策は禁止ではなく「安全な道」を用意すること

シャドーAIを減らすいちばんの方法は、隠れて使う理由をなくすことです。会社が用意した道の方が便利で安全なら、社員はわざわざ個人のサービスを使いません。次の4つの手順で進めます。

1. 実態をつかむ

上の3つの見つけ方で、どの部署が何に使っているかをつかみます。ここで分かった使い方は、そのまま「会社として用意すべき使い道」の一覧になります。

2. 会社で使えるAIを用意する

聞き取りで多かった使い道に合わせて、会社として使ってよいサービスを決め、会社で契約します。法人向けのプランには、入力した内容を学習に使わない設定や、管理者が利用者を管理できる機能を備えたものが多くあります。学習に使わせない方法の選び方は「生成AIに機密情報を学習させない方法」で、外へ出せない情報が多い場合の社内に置くAIは「社内に置くAI（ローカルLLM）の導入」で詳しく説明しています。

社内の規程やマニュアルを探して答えさせたい、という使い道が多ければ、社内資料で答えるAIを用意するのも1つの道です。作り方は「社内資料で答えるAIの作り方」にまとめています。

3. 短いルールを配る

使ってよいサービスと、入れてよい情報・入れない情報の線を、1枚に収まる短いルールにして配ります。禁止の一覧ではなく、使ってよい範囲を決めるのがこつです。ルールに書くことと、直して使えるひな型は「生成AIの社内ルールの作り方」で紹介しています。

4. 相談の窓口を作り、見直す

「このサービスは使ってよいか」「この情報は入れてよいか」を気軽に聞ける窓口を決めます。相談が集まる場所ができれば、新しく使われ始めたサービスにも早く気づけます。集まった相談をもとに、半年に1回などの時期を決めて、使ってよいサービスとルールを見直します。

当社がAIを使うときに決めていること

デイワンでは、社内の多くの業務を毎日AIに任せていて、AIに作業させるときの決まりを文書にして持っています。たとえば、パスワードやAPIキーの値はAIとのやり取りに貼らないこと、メールの送信や外部のサービスへの書き込みは内容と件数を示して承認を得てから行うこと、確かめていない事実を確かめたかのように書かないこと、を決めています。

当社の業務用AI「相棒AI」でも、回答の生成には Claude、資料を探す補助には OpenAI の埋め込みモデルを使っていて、どのサービスにどの情報が渡るのかを決めたうえで使っています。シャドーAIの対策も、出発点は同じで、どのツールに何が渡っているのかを会社が分かる状態にすることです。

まとめ｜シャドーAIは表に出して、安全な道に乗せる

シャドーAIは、AIで仕事を速くしたい社員と、使ってよい道を用意していない会社のすき間で起きます。禁止しても見えなくなるだけなので、責めない聞き取りや経費・ログで実態をつかみ、会社で使えるAIと短いルール、相談の窓口を用意して、隠れて使う理由をなくしていきます。

• シャドーAIは、会社が把握していないまま業務に使われているAIのこと
• 禁止しても使われ続け、会社から見えなくなるだけ
• 見つけ方は、聞いて回る・経費と請求を見る・今あるログを見るの3つから
• 対策は、実態をつかむ・会社で使えるAIを用意する・短いルールを配る・相談の窓口を作り見直すの4つ

デイワンでは、AIをどの業務に使うかの棚卸しから、会社で使えるAIの用意、社内資料で答えるAIの開発までをご支援しています。社内でどのようにAIが使われているかの整理からでも、お気軽にご相談ください。

社内で安全に使えるAIの用意について相談する

---

FAQ 案（microCMS の FAQ の欄に入れる）

1. Q: シャドーAIとは何ですか？

A: 会社のIT部門や管理する立場の人が承認・把握していないまま、社員が自分の判断で業務に使っているAIのことです。個人のアカウントの生成AIのほか、翻訳や文字起こしのサービス、ブラウザの拡張機能なども含まれます。

2. Q: シャドーITとシャドーAIの違いは何ですか？

A: シャドーAIはシャドーITの一種ですが、入れた情報がAIの学習や処理に使われ、出てきた答えがそのまま仕事の成果物になる点が違います。情報が出ていく量と、間違いが社外へ出る速さが大きくなります。

3. Q: 生成AIの利用を全面的に禁止すればシャドーAIは防げますか？

A: 防げません。使うこと自体は個人のスマートフォンなどで続き、会社から見えなくなるだけです。会社で使えるAIと短いルールを用意して、隠れて使う理由をなくす方が効果があります。

4. Q: 監視の製品を入れないとシャドーAIは見つけられませんか？

A: 製品の前に、責めない前提で部署ごとに聞いて回る、経費と請求の明細を見る、メールやネットワーク機器に残っている今あるログを見る、の3つでおおよその実態をつかめます。

5. Q: シャドーAIを使っていた社員にはどう対応すればよいですか？

A: 責めずに、何に使っていたかを聞き、その使い道を会社で用意するAIの候補にします。責めると次から報告が上がらなくなり、実態が見えなくなります。