「うちの会社は大丈夫」と思っていたら、実は従業員がこっそり無料の生成AIツールに顧客データを貼り付けていた──そんな話が珍しくなくなってきました。
株式会社ISOプロが2026年7月22〜23日に企業の経営者・役員・情報システム部門従事者1,023人を対象に実施した調査によると、AIの利用状況を「十分に把握・管理できている」と答えた企業はわずか25.3%。残りの多くは、一部でも従業員が会社の許可なくAIツールを使う「シャドーAI」が発生している、あるいは発生している可能性を否定できない状態にあります。いわゆる「シャドーAI未対策企業」がちょっとした話題になっているのは、この数字が背景にあります。
派手な見出しに反応して慌てる前に、そもそもシャドーAIとは何なのか、なぜ対策が追いつかないのか、そして実際に何をすればいいのかを整理してみます。
そもそも「シャドーAI」とは何か
シャドーAIとは、会社が公式に許可・導入していないAIツールやサービスを、従業員が業務のために独断で使ってしまうことを指します。「シャドーIT」（会社が把握していない私物端末やクラウドサービスの利用）のAI版と考えると分かりやすいでしょう。
具体的には、次のような行為がシャドーAIにあたります。
- 会議の議事録作成のために、無料の文字起こしAIに社内会議の音声を丸ごとアップロードする
- 資料作成を効率化するため、契約書や顧客リストを個人契約の生成AIチャットに貼り付けて要約させる
- 会社支給ではないスマホアプリ版のAIアシスタントに、社外秘のコードやデータを入力する
- 部署単位で「便利だから」と、情報システム部門を通さずに海外の生成AIサービスと契約してしまう
いずれも従業員に悪意はなく、むしろ「仕事を早く終わらせたい」「最新のAIを使いたい」という前向きな動機から生まれているのが特徴です。今回の調査でも、無断利用の理由として「業務効率を上げたい」（40.1%）、「最新AIをすぐ使いたい」（32.1%）が上位に挙がっており、社内ルールの整備不足（28.9%）がそれを後押ししている構図が見えます。
なぜ「対策できていない」企業がこれほど多いのか
今回の調査結果を見ると、企業側の認識と実態にズレがあることが分かります。
- 「利用状況を把握・管理でき、大きな問題はない」：25.3%
- 「把握はしているが、一部シャドーAIが発生している」：44.5%
- 「十分に把握できておらず、発生している可能性がある」：20.6%
合わせて6割超の企業が、何らかの形でシャドーAIの発生を認めている、あるいは否定できない状態です。ガイドラインの整備状況についても、「最新のAIに十分対応できるガイドラインがある」と答えた企業は23.9%にとどまり、「ガイドラインはあるが対応が不十分」（41.9%）、「最低限のルールしかない」（18.8%）が合わせて6割を占めています。
背景には、生成AIの進化と普及のスピードに、社内ルールの整備が単純に追いついていないという事情があります。新しいAIサービスが次々と登場し、しかも無料で誰でもすぐ使えてしまうため、情報システム部門が把握・審査する前に現場で使われ始めてしまう、というのが実態に近いでしょう。「禁止すればいい」という単純な話にもならないのが悩ましいところで、業務効率化のメリットを享受したい現場と、リスクを管理したい情報システム部門との間で綱引きが起きています。
放置するとどんなリスクがあるのか
シャドーAIを放置した場合に企業が想定しているリスクは、調査では次のような順に挙がっています。
- 誤った判断・誤情報の生成（35.8%）：AIがもっともらしい誤情報を出力し、それに気づかず業務判断や顧客対応に使ってしまうリスク
- 機密情報・個人情報の漏えい（34.2%）：入力した顧客データや未公開の契約情報が、AIサービス提供元のサーバーに保存されたり、モデルの学習に使われたりするリスク
- AIの自律的な誤動作・制御不能（30.9%）：AIエージェントが想定外の操作を自動で実行してしまうリスク
特に情報漏えいは、一度起きてしまうと取り返しがつきません。無料の生成AIツールの多くは、入力内容を規約上サービス改善やモデル学習に利用できるとしており、削除を依頼しても完全に消せる保証はありません。個人情報保護法や、業種によっては金融庁・厚生労働省などの業界ガイドラインへの抵触、取引先との秘密保持契約（NDA）違反にもつながりかねず、レピュテーションリスクも軽視できません。
どう対策していくか
「禁止」だけでは現場の実態に合わず、かえって隠れて使われる状況を悪化させかねません。実務としては、次のようなステップで「使ってよいAI」を明確にし、可視化と教育をセットで進めるのが現実的です。
- 利用実態の可視化：まず自社でどのAIツールがどれだけ使われているかを把握します。アンケートやネットワークログ、SaaS利用状況の棚卸しツールなどを使い、「知らないところで何が使われているか」を洗い出すのが第一歩です。
- 公式に使えるAIの用意：現場が求めているのは「AIを使えないこと」への不満ではなく、多くの場合「会社が用意したAIが使いにくい・遅い・機能が古い」ことへの不満です。業務に見合った生成AIツールを会社として契約・提供し、「これを使えばよい」という受け皿を作ることが、シャドーAIを減らす一番の近道になります。
- 利用ガイドラインの整備・見直し：入力してよい情報とダメな情報の線引き（個人情報・機密情報・未公開の財務情報など）、利用してよいAIサービスの一覧、承認フローなどを具体的に定めます。今回の調査でも、企業が今後の対策として最も重視しているのは「既存ガイドラインの見直し・厳格化」（46.1%）で、次いで「ルール・利用規程の新規策定」（42.9%）でした。
- 従業員教育の実施：ルールを作るだけでなく、なぜそれが必要なのかを繰り返し伝える教育が欠かせません。情報漏えいの実例や、悪意なく起きた失敗事例を共有することで「自分ごと」として意識してもらいます。
- 技術的な検知・制御の仕組み導入：ルールと教育だけに頼らず、未承認AIサービスへのアクセスを可視化・制御する仕組みを技術的に組み合わせることで、実効性を高めます。
- 第三者認証の取得検討：調査では「ISO42001（AIマネジメントシステムの国際規格）の取得」を今後の対策として挙げた企業も33.1%あり、社内体制を対外的に示す手段として関心が高まっています。
ポイントは、情報システム部門だけで抱え込まず、経営層が「AI活用を推進する」姿勢と「リスクを管理する」姿勢の両方を示すことです。どちらか一方に偏ると、現場の反発か、シャドーAIの拡大かのどちらかを招きやすくなります。
対策に使えるツールの種類
シャドーAI対策向けのツールは、大きく次のようなカテゴリに分けられます。自社の課題がどこにあるかに応じて、組み合わせて検討するとよいでしょう。
- CASB（Cloud Access Security Broker）：社内ネットワークから、どのクラウドサービス・AIサービスにアクセスしているかを可視化し、未承認サービスの利用を検知・制御するツール群です。Skyhigh Security、Netskope、Zscaler、Microsoftのセキュリティ製品群などに、この機能を持つものがあります。
- SaaS管理（SSPM／IT資産管理）ツール：社内で契約・利用されているSaaSやAIツールを棚卸しし、野良契約（シャドーIT・シャドーAI）を洗い出すためのツールです。国内ではAdmina（マネーフォワード）などが挙げられます。
- DLP（Data Loss Prevention）：機密情報や個人情報が、社外のAIサービスに入力・送信されようとした際に検知・ブロックする仕組みです。既存のDLP製品の多くが、生成AIサービスへの通信を検知対象に含めるようアップデートを進めています。
- 生成AIゲートウェイ／プロキシ：従業員がAIを使う際に必ず経由させることで、入力内容のログ記録・機密情報のマスキング・利用可能なAIサービスの制限などを行う専用の仕組みです。
- AIガバナンス・ポリシー管理ツール：社内のAI利用ルールの策定・周知・遵守状況の管理を支援するツールで、ISO42001など認証取得の支援を兼ねるものもあります。
いずれのツールも、導入すれば終わりというものではなく、前章で挙げたガイドラインや教育とセットで運用して初めて効果を発揮します。「ツールを入れたから安心」ではなく、「可視化してわかったことをルールと教育に反映し続ける」運用の継続が本質的な対策になります。
まとめ
「シャドーAI未対策企業が7割超」という数字は、決して一部の意識の低い企業だけの話ではありません。生成AIの普及スピードに社内ルールが追いついていないのは、多くの企業に共通する構造的な課題です。
大切なのは、シャドーAIの発生を「従業員のせい」にして禁止で終わらせるのではなく、なぜ使われているのかを理解した上で、公式に使えるAIの整備・ガイドラインの明確化・教育・技術的な可視化をセットで進めることです。この記事をきっかけに、自社の利用実態を一度棚卸ししてみることをおすすめします。
本記事は、株式会社ISOプロが2026年7月22〜23日に実施した「次世代AIとガバナンス実態調査」（対象：企業の経営者・役員・情報システム部門従事者1,023人）の結果、および関連報道をもとに、一般向けに整理したものです。具体的な社内対策やツール選定にあたっては、自社の業種・規模に応じて専門家にご相談ください。
