シャドーAIとは？企業のリスクと対策・利用ルールの作り方

シャドーAIとは、会社が把握・許可していないまま、従業員が個人契約の生成AIサービスなどを業務に使っている状態を指します。

本記事は、企業の情報システム・管理部門と発注検討中の担当者に向けて、放置した場合のリスクと統制の作り方を解説します。

対応の基本は「禁止の通達」だけで終わらせず、会社として使ってよいAIと使い方のルールを先に用意することです。

個人情報を入力する利用には法令上の留意点があるため、一次情報として個人情報保護委員会の注意喚起も確認します。

出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」、総務省・経済産業省「AI事業者ガイドライン(第1.2版)概要」（いずれも2026年9月25日確認）。

シャドーAIとは何か。シャドーITとの違い

シャドーITは、会社の許可なく使われるクラウドサービスや私物端末全般を指す言葉です。シャドーAIはそのAI版で、無料の生成AIチャットや個人契約のAIツールを、会社の管理外で業務に使う状態を指します。

シャドーITと共通する問題に加えて、生成AI特有の論点があります。入力した内容がサービス側でどう扱われるかという問題です。個人情報保護委員会は、あらかじめ本人の同意を得ずに個人データを生成AIサービスに入力し、それが応答結果の出力以外の目的(機械学習など)で取り扱われる場合、個人情報保護法に違反する可能性があると注意喚起しています。利用にあたっては、サービス提供者が入力データを機械学習に利用しないことなどを確認するよう求めています。個人情報保護委員会の注意喚起（2026年9月25日確認）。

つまり、従業員が良かれと思って顧客情報を無料のAIチャットに貼り付けた時点で、会社が確認すべき条件を誰も確認していない、という状態が起こり得ます。これがシャドーAIを放置できない理由です。

なぜ発生するのか。禁止だけでは解決しない理由

シャドーAIは、多くの場合「業務を早く終わらせたい」という動機から生まれます。文章の下書き、翻訳、議事録の要約など、AIで短縮できる作業が現場にあるのに、会社が公式な手段を用意していないと、従業員は自分のアカウントで代用します。

このため、禁止の通達だけを出しても、業務上の必要が残っている限り、見えない場所での利用が続きやすくなります。対策は「使ってよい環境を用意すること」と「使い方のルールを決めること」の両輪で考えてください。

AI事業者ガイドライン(第1.2版)は、事業活動でAIを利用する企業(AI利用者)に対して、提供者が定めた利用範囲を守ること、機密情報の不適切な入力を防ぐセキュリティ対策、AIを活用している事実の関係者への情報提供などの取組を整理しています。社内ルールを作る際の項目立ての参考になります。AI事業者ガイドライン概要（2026年9月25日確認）。

対応方針は3つ。禁止・許可制・公式導入の比較

方針	内容	向いている場面	残る課題
全面禁止	業務での生成AI利用を認めない	取り扱う情報の性質上、例外を作れない業務	業務上の必要が残ると、見えない利用が続きやすい
許可制	申請されたツール・用途だけ認める	部署ごとに利用実態が異なる会社	審査基準と申請の手間の設計が必要
公式導入	会社契約のAI環境を全員に提供する	利用が広範囲で、統制と効率化を両立したい会社	費用と管理体制、教育が必要

この表は検討の整理用であり、どれか1つを選べば安全という意味ではありません。実際には「原則は公式環境を使う。例外は申請制。入力してよい情報の区分を全員に周知する」のように組み合わせて運用します。

会社契約でAI環境を用意する場合の費用感は、AI導入・AIエージェントの費用相場で内訳を整理しています。導入の進め方は中小企業が安全にAI導入を始める手順も参考にしてください。

利用ルールに入れておきたい項目

ルール文書は長くするより、従業員が判断に迷う場面を具体的に減らすことを優先します。最低限、次の項目を検討してください。

まず、入力してよい情報の区分です。顧客の個人情報、取引先との秘密保持契約の対象、未公表の社内情報は、無断で外部サービスに入力しない対象の代表例です。次に、利用してよいサービスの一覧と、個人アカウント利用の扱いを明記します。無料プランと法人契約では、入力データの取り扱い条件が異なる場合があるため、契約条件の確認を管理部門の作業として位置づけます。

運用開始後は、ルールを作って終わりにしないことも重要です。現場から「この用途は使ってよいか」と気軽に確認できる問い合わせ窓口を決めておくと、無断利用へ流れる前に把握できます。見直しの周期も決めてください。AIサービスは規約変更や新ツールの登場が早いため、年1回の点検では実態とずれやすくなります。

加えて、AIの出力をそのまま社外に出さないこと(事実確認と責任者の確認)、利用状況を定期的に見直すことも項目に入れます。漏洩が起きた場合の影響と対策の全体像はAIによる情報漏洩リスクの原因と対策で解説しています。

見落としやすい実務論点。退職・異動時のアカウント整理

発注者・管理部門の視点で追加しておきたいのが、人の入れ替わりに伴う整理です。個人アカウントで作られたチャット履歴やアップロード済みファイルは、本人が退職すると会社から確認できなくなります。許可制に移行する際は、既存の個人利用を申告してもらい、業務データを会社管理の環境へ移す手順もあわせて用意してください。

また、端末の変更や部署異動のタイミングで、不要になったAIサービスのアカウントと連携設定を棚卸しする運用を決めておくと、管理外の利用が再び増えることを抑えやすくなります。全社的なセキュリティ設計の考え方はAIセキュリティの課題と対策も参照してください。

シャドーAIに関するFAQ

シャドーAIはどうやって見つけるのですか？

まず従業員への申告依頼とヒアリングから始める方法があります。ネットワークやアクセスの記録から利用状況を把握する方法もありますが、監視の範囲は労務・法務面の確認が必要です。本記事では、特定ツールでの検知可否は確認していないため断定しません。

無料の生成AIを業務で使うのは必ず違法ですか？

一律に違法というわけではありません。個人情報保護委員会の注意喚起が示すのは、個人データを本人の同意なく入力し、機械学習などに利用される場合の法令違反の可能性です。入力する情報の種類と、サービス側の取り扱い条件によって判断が変わります。個別の判断は専門家への確認が必要です。

まず何から始めればよいですか？

「現状の把握」「入力してよい情報の区分の周知」「公式に使える環境の用意」の順で検討する進め方があります。全部門一斉ではなく、利用の多い部署から始めて運用を整える方法も取れます。

利用ルールと公式AI環境の整備から相談できます

ノーコード総研では、ノーコードやAIを活用した業務システムの受託開発をご相談いただけます。シャドーAIの背景には「現場が必要としている自動化・効率化が公式に提供されていない」という事情があるため、利用ルールの整理と、業務に合わせたAI活用環境の構築をあわせて検討できます。

まずは現在の利用状況と、AIで減らしたい作業を整理するところから、ノーコード総研に相談することから始めてみてください。