目次（タップで開く）

「うちの社員は、仕事でAIを使っているのだろうか」。そう聞かれて、はっきり答えられる経営者は多くありません。会社が知らないところで、社員が個人のアカウントのAIに仕事の資料を入れている。これが「シャドーAI」です。

結論から言うと、シャドーAIは、禁止では止まりません。会社が「安全に使える入口」を用意することで減らせます。社員は悪気があって隠しているのではなく、仕事を早く終わらせたいのに、会社のルールも道具もないから、手元のスマホで使っているだけだからです。

この記事では、シャドーAIとは何か、何が危ないのか、そして中小企業が今日から始められる対策を5つに絞って、スキルティ代表の中塚が解説します。

シャドーAIとは

シャドーAIとは、会社が許可していない、または把握していないAIツールを、社員が仕事で使うことです。会社が知らないIT機器やサービスを使う「シャドーIT」の、AI版にあたります。

よくあるのは、次のような場面です。

  • 個人で契約したChatGPTやClaude、Geminiに、顧客への提案書を貼りつけて直してもらう
  • 会議の録音を、無料の文字起こしAIにそのまま上げる
  • 取引先から届いた契約書を、個人のスマホのAIアプリで要約する
  • 社員の評価コメントを、AIに書かせる

どれも、仕事を早く・良くしようとした結果です。問題は、会社がそれを知らず、止めることも確かめることもできない点にあります。

どのくらい広がっているのか

エルテスが2026年1月に発表した調査（会社員・公務員300人）では、仕事で生成AIを使っている人は34.3%。そのうち少なくとも約5人に1人が、勤務先が許可していないAIツールを使っていました（全体の6.7%）。

同じ調査で、勤務先に生成AIの利用規程が「ない」と答えた人は45%で最も多く、「ある」「策定中」は合わせて28.4%、「分からない」が26.7%でした。そして、規程がない職場ほど、許可のないAIの利用が多い傾向が出ています。

会社の側はどうでしょうか。総務省の令和8年版 情報通信白書によると、生成AIを「活用する方針」を定めている日本企業は68.9%まで増えましたが、中小企業では58.1%にとどまります（大企業は74.0%）。社員は使い始めているのに、会社の方針が追いついていない。このすき間に、シャドーAIが生まれます。

何が危ないのか：4つのリスク

リスクどうなるか
① 情報が学習に使われる個人向けのAIサービスは、利用者の設定しだいで、入力した内容がAIの学習に使われる。会社は設定を確かめられない
② 情報が会社の外に残る会話の記録は社員個人のアカウントに残る。退職しても、会社からは消せない
③ 法律・契約に触れる顧客の個人情報や、取引先から預かった機密を入れると、個人情報保護法や秘密保持契約に触れるおそれがある
④ 起きても気づけない誰が、何を、どのAIに入れたのか、記録がない。問題が起きても、調べることも説明することもできない

2023年には、海外の大手電機メーカーで、社員が業務のプログラムを生成AIに入力していたことが分かり、社内での利用を制限したと報じられました。大企業でも起きることです。そして中小企業の場合、取引先から「御社はAIの利用をどう管理していますか」と聞かれて、答えられないこと自体が、信用の問題になります。

個人情報保護委員会も、2023年6月の注意喚起で、本人の同意なく個人データを生成AIに入力し、それが回答以外の目的に使われると、法律に違反するおそれがあるとしています。

なぜ「禁止」では止まらないのか

シャドーAIに気づいた会社が最初にやりがちなのが、「生成AIの利用を禁止する」という通達です。しかし、これはほとんど効きません。

  • スマホは止められない：会社のパソコンで止めても、個人のスマホで使える
  • 便利さを知っている：1時間かかる仕事が10分で終わると知った人は、戻れない
  • 言い出せなくなる：禁止されると、使っていることを隠す。会社はますます実態が見えなくなる

禁止で減るのは「利用」ではなく「報告」です。しかも、AIを使わない会社は、使う会社に生産性で差をつけられていきます。目指すのは「使わせない」ではなく、「会社が見えるところで、安全に使ってもらう」ことです。

中小企業が今日からできる対策5つ

順番やることかかる時間の目安
1責めずに、実態を聞く1週間
2会社のアカウント（安全な入口）を用意する1日
3入れてよい情報のルールを、1枚にまとめる半日
4相談先（推進役）を決めるその日のうちに
53か月ごとに見直す続ける

1. 責めずに、実態を聞く

最初にやるのは、取り締まりではなく聞き取りです。「これまでの利用は問わない。これから安全に使えるようにしたいので教えてほしい」と先に伝えてから、次の5つを聞きます。無記名でかまいません。

【AIの利用についてのアンケート】（これまでの利用は問いません）

1. 仕事でAIを使ったことがありますか（はい／いいえ）
2. 使っているAIの名前（ChatGPT、Claude、Gemini、Copilot、その他）
3. アカウントは（会社のもの／個人のもの・無料／個人のもの・有料）
4. どんな仕事に使っていますか（文章の下書き、要約、調べもの、表づくり、その他）
5. 会社にしてほしいこと（使ってよいAIを決めてほしい、ルールがほしい、使い方を教えてほしい）

多くの会社で、経営者の想像より多くの社員が、すでに使っています。それは問題であると同時に、AIを使いこなせる社員が、もう社内にいるという良い知らせでもあります。

2. 会社のアカウント（安全な入口）を用意する

「個人のアカウントはやめて、こちらを使ってください」と言える入口を、会社が用意します。法人向けのプランは、初期設定で会話の内容が学習に使われず、退職者のアカウントを会社で止められます。

たとえばClaudeのTeamプランは2人から契約でき、標準の席は年払いで1人 月20ドル（1ドル150円で約3,000円・税抜）です。すでに使っている数人から始めれば、費用は月に数千円〜1万円台で済みます。プランの違いは「Claudeの料金プラン比較」、データの扱いは「Claudeは安全？」で解説しています。

3. 入れてよい情報のルールを、1枚にまとめる

長い規程は読まれません。最初は、次の1枚で十分です。

【AI利用ルール（第1版）】

1. 使うアカウント
   会社が契約したアカウントだけを使う。個人のアカウントで会社の情報を扱わない。

2. 入れてよい情報
   ○ 公開済みの情報、社内の一般的な資料、個人を特定しない数字
   △ 顧客名の入った資料・見積書・契約書（会社のアカウントに限る）
   × パスワード、マイナンバー、口座番号、契約で外に出せないと決められた情報

3. 確かめること
   社外に出すものは、送る前に必ず人が読む。数字・固有名詞・日付は元の資料と照らす。

4. 困ったとき
   推進役（○○さん）に聞く。迷ったら、入れる前に聞く。

5. 見直し
   3か月ごとに見直す。

社内ルールのくわしい作り方と、導入の進め方は「Claudeの法人導入ガイド」にまとめています。

4. 相談先（推進役）を決める

ルールがあっても、「これは入れていいのか」と迷う場面は必ず出ます。そのときに聞ける人がいないと、社員は自分で判断するか、また隠れて使います。アンケートで「すでに使っている」と答えた人の中から、推進役を1〜2人決めてください。社内でAI活用を進める人の育て方は「AXマネージャーとは？」で解説しています。

5. 3か月ごとに見直す

AIのサービスは数か月で変わります。最初から完璧なルールを目指すと、いつまでも始められません。「3か月ごとに見直す」と決めておけば、使いながら足りないところを足していけます。見直しのときに、アンケートをもう一度取ると、個人アカウントの利用が減ったかどうかも確かめられます。

会社でClaudeを使うときの検討資料（役員向け・21枚）を無料でお渡ししています。
個人アカウントのAI利用をそのままにしておく危険と、会社のアカウントへ切り替える手順、最初の90日の進め方をまとめました。「AI社員 導入伴走プログラム」のページから受け取れます。

やってはいけない対応

  • 犯人さがしをする：使っていた人を責めると、次から誰も正直に言わなくなります。
  • 全面禁止だけで終わらせる：代わりの入口がなければ、隠れて使われ続けます。
  • 分厚い規程を作って配るだけ：読まれず、守られません。1枚から始めてください。
  • 道具だけ配って終わる：何に使うかが決まっていないと、会社のアカウントは使われず、使い慣れた個人のアカウントに戻ります。

シャドーAIは「AIを雇う準備ができていない」というサイン

シャドーAIが起きている会社は、見方を変えれば、社員がすでにAIの力を知っている会社です。足りないのは、会社としての受け入れ方です。

人を雇うときは、席を用意し、仕事を決め、見てよい資料を決め、相談する上司を決めます。AIも同じで、アカウントを用意し、任せる仕事を決め、入れてよい情報を決め、推進役を決める。私はこの考え方を、『Claudeを雇えば、利益が跳ねる。』にまとめました。シャドーAIを「禁止する問題」ではなく「会社の戦力に変える機会」として扱いたい方に、読んでいただきたい本です。

よくある質問（FAQ）

Q. シャドーAIとは何ですか？

会社が許可していない、または把握していないAIツールを、社員が仕事で使うことです。個人で契約したChatGPTやClaudeに、仕事の資料を入れて使う場合などが当たります。

Q. シャドーAIは、どのくらい広がっていますか？

エルテスが2026年1月に発表した調査（300人）では、仕事で生成AIを使う人のうち、少なくとも約5人に1人が、勤務先が許可していないツールを使っていました。利用規程がない職場ほど多い傾向があります。

Q. シャドーAIの何が問題ですか？

入力した内容がAIの学習に使われるおそれ、会話の記録が社員個人のアカウントに残ること、個人情報保護法や秘密保持契約に触れるおそれ、そして問題が起きても会社が気づけず調べられないことです。

Q. 生成AIの利用を禁止すれば解決しますか？

解決しません。個人のスマホでの利用は止められず、禁止すると社員は使っていることを隠すようになります。会社のアカウントという安全な入口を用意し、入れてよい情報のルールを示す方が効果があります。

Q. 中小企業は、まず何から始めればよいですか？

責めずに実態を聞くことからです。そのうえで、会社のアカウントを用意し、入れてよい情報のルールを1枚にまとめ、相談先を決めます。すでに使っている数人から始めれば、費用は月に数千円〜1万円台です。

Q. 社員に個人アカウントをやめてもらうには、どう伝えればよいですか？

「これまでの利用は問わない。これからは会社のアカウントを使ってほしい」と伝え、同時に会社のアカウントを渡します。理由（学習に使われない、退職時に会社で管理できる）を添えると納得されやすくなります。

あわせて読みたい

参考（2026年11月12日に確認）：生成AI利用者の約2割が「シャドーAI」リスクに該当（＠IT・エルテス調査）／令和8年版 情報通信白書「生成AIの活用方針等」（総務省）／生成AIサービスの利用に関する注意喚起等について（個人情報保護委員会・2023年6月2日）／Plans & Pricing（Claude公式）