シャドーAIとは？正式導入を見送る会社が見落とすリスク

「AIは情報漏えいが怖いから、うちではまだ導入しない」。そう判断する前に、社員がすでに仕事でAIを使っていないかを確認してください。

会社として契約していなくても、個人で使っているAIに仕事を手伝わせることはできます。経営側は未導入のつもりでも、現場では別の状態になっているかもしれません。

私が危ういと思うのは、AIを使わないという判断そのものではありません。何が使われ、どんな情報が渡されているか分からないのに、「導入していないから大丈夫」で話を終えてしまうことです。

シャドーAIは会社から見えない利用

シャドーAIとは、会社の許可や管理の外で業務に使われるAIのことです。英国の国家サイバーセキュリティセンター（NCSC）も、許可なく使われるAIをシャドーITの一種として説明しています。NCSC：Shadow IT

たとえば、営業担当者が個人のAIアカウントに提案資料を読み込ませる。担当部署に確認せず、会議の録音を外部のAIサービスへ送る。こうした利用を、会社が把握していないケースを考えてください。これは説明のための想定例で、特定企業の事例ではありません。

「無料のAIだからシャドーAI」「有料なら問題ない」という分け方ではありません。見るべきなのは、その利用を会社が把握し、扱う情報や操作を管理できているかです。

逆に、会社が条件を確認して許可した利用まで、個人で選んだツールという理由だけで一律に無断利用として扱うのも違います。契約の有無だけでなく、実際の運用を見ます。

会社の判断を現場が待つとは限らない

MicrosoftとLinkedInの2024年の調査では、AI利用者の78％が、自分で選んだAIツールを仕事に持ち込んでいると回答しました。調査全体の対象は31か国のナレッジワーカー31,000人です。2024 Work Trend Index

これは日本企業の現在の無断利用率ではありません。持ち込み利用が、すべて会社に隠れた利用だったと示す数字でもありません。それでも、会社が提供する環境だけを見て、業務でのAI利用を判断できないことは読み取れます。

ここで「勝手に使う社員が悪い」で終わらせると、対策が注意喚起だけになります。もちろん、決めたルールを守る必要はあります。そのうえで、現場が何を解決したくて使ったのかも聞くべきです。

資料を探すのに時間がかかるのか。転記を減らしたいのか。会社が用意したツールでは終えられない作業があるのか。理由が分からなければ、正式なサービスを契約しても、同じ仕事で別のツールを使い続ける可能性があります。

怖いのは漏えいだけではない

最初に気になるのは情報の扱いでしょう。ただし、AIに入力した情報が必ず公開されたり、必ず学習に使われたりするわけではありません。サービス、契約、設定ごとの確認が必要です。

問題は、会社がその確認をする入口すら持っていないことです。誰のアカウントで、どの資料を、どこへ送ったかが分からなければ、何かあったときに調べるところから始まります。

私なら、情報の持ち出しに加えて、仕事を続けられるかも見ます。たとえば、担当者個人のアカウントに手順や成果物がまとまっている業務です。その人が休んだとき、ほかの人が同じ仕事を引き継げるでしょうか。

会社に残っているのが完成したファイルだけで、入力資料も処理方法も分からない。そうなると、次回もその人に頼ることになりかねません。これはAIの性能ではなく、仕事を個人の環境に置いていることの問題です。

さらに、AIにどこまで任せているかも確認したいところです。文章を作るだけなのか、社内資料を検索するのか、システムを書き換えたり外部へ送信したりするのか。同じ「AIを使っています」でも、間違ったときの影響は違います。

検索だけのつもりで許可した仕組みに、後から更新や送信の機能が加わるなら、その変更を確認する必要があります。ツール名の一覧だけで管理を終えず、業務で何をさせるかまで記録しておくことを勧めます。

禁止だけでなく使える方法を用意する

機密情報を扱う業務など、条件が整うまで利用を止める判断はあります。何でも許可すればいいという話ではありません。

ただ、禁止を知らせて終わりにするのは不十分です。現場には仕事が残ります。代わりの進め方や、使いたいときの相談先を用意しなければ、困りごとそのものは解消しません。

NCSCは、シャドーITへの対応で、利用者を責めると未承認の利用を申告しにくくなると指摘しています。利用の背景を把握し、必要な機能を会社が管理する方法で提供する考え方です。NCSC：利用実態の把握と対策

私なら、最初の聞き取りは「使っている人を探す」ではなく、「今どの仕事を、何で進めているかを整理する」と伝えます。ルール違反を無条件で容認するのではなく、会社が判断するための情報を集めるのが目的です。

一方、無断で重要な資料を渡した疑いがあるなら、通常の導入相談とは分けて対応します。関係する記録を勝手に消さず、社内の担当者へ連絡する。利用の実態を知ることと、事故への対応を曖昧にすることは別です。

正式導入は全員分の契約ではない

ここまで聞くと、「結局、全社員分の法人契約が必要なのか」と思うかもしれません。私は、そこから始める必要はないと考えています。

先に決めるのは、どの仕事を会社の管理下で進めるかです。たとえば商品資料から提案の下書きを作る業務なら、対象資料、利用者、AIの操作範囲、成果物の保存先を一つの流れとして整理します。

その条件を満たせるサービスやプランを選びます。法人向けという名前だけで安全と判断せず、利用者を管理できるか、外部連携を制限できるか、保存や削除の条件が自社の要件に合うかを確認します。必要な機能がどのプランにあるかも、契約前に調べる項目です。

導入を進める順番として、私は次の形を勧めます。

1. 使われているツールと、現場が減らしたい仕事を把握する。
2. 扱う情報と任せる操作を決め、条件が整わない用途は止める。
3. 対象業務と利用者を絞り、会社が管理する環境で試す。
4. 成果物を会社に残し、担当者以外でも引き継げるか確かめる。
5. 効果と運用上の問題を見て、対象を広げるか判断する。

契約後には、個人で使っていた環境からどう移るかも決めます。会社が新しいツールを用意しただけでは、過去のデータや連携が自動で整理されるとは限りません。残っている利用を確認し、必要な移行や停止を進めます。

相談の返事を誰がするかも外せません。「利用前に申請」とだけ決めても、返答する人がいなければ運用できません。判断する担当者、回答までの時間の目安、判断までに進めてよい作業を決めておきます。

未導入と放置は分けて考える

AIを導入しない判断はできます。ただし、会社として利用実態を把握しなくてよい、ということにはなりません。

要は、選択肢は「危険を承知でAIを導入する」か「何もせず安全でいる」かの二つではないということです。正式には導入していないのに、管理できない形で仕事に入り込んでいる状態もあります。

最初から大きな仕組みは要りません。まず、今の仕事で何が使われているかを確認する。そのうえで、止める用途と、会社として使えるようにする用途を決める。

私が経営側に考えてほしいのは、契約するかどうかだけではありません。現場で進んでいるAI利用を、会社として説明できる状態にするかどうかです。