シャドーAI対策4手順｜情シスがいない会社が今日からできること
「うちの社員が、勝手にAIを使っているかもしれない」
そんな不安を感じたことはありませんか？
会社が認めていないAIを従業員が業務で使っている状態をシャドーAIと呼びます。解説記事の多くは利用状況を可視化するツールの導入を前提にしていますが、情報システム担当がいない会社にはそもそも実行できません。
この記事では、ツールを買わずに今日から始められるシャドーAI対策を、4つの手順に整理して解説します。
もくじ
シャドーAIとは？いま中小企業で起きていること
シャドーAIとは、会社が把握・承認していないAIサービスを、従業員が業務で使っている状態を指します。悪意があるわけではなく、「作業が早く終わるから」という善意で始まっているケースがほとんどです。
問題になるのは、次のような場面です。
- 顧客からの問い合わせメールを、そのまま無料のAIサービスに貼り付けて返信文を作らせている
- 見積書や図面の内容を、AIに読ませて要約させている
- 個人のスマートフォンに入れたアプリで、業務のやり取りを処理している
いずれも会社側は何が入力されたかを確認できません。情報が漏れていないかを後から調べる手段がない、という点がシャドーAIの本質的な怖さです。
この問題は、いま公的にも重く見られています。
IPA（情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの第3位に初めて選出されました。ランサム攻撃やサプライチェーンを狙った攻撃に続く順位です。「AIはまだうちには関係ない」と考えている会社ほど、現場が先に使い始めている可能性があります。
禁止ではなく「把握」から
多くの会社が最初に「業務でのAI利用を禁止する」と決めます。しかし、これは対策としてはほぼ機能しません。
禁止しても使う人は使い続け、ただ会社に言わなくなるだけだからです。
結果として、実態はさらに見えなくなります。
シャドーAI対策の出発点は、禁止ではなく把握です。順番としては次のようになります。
- 把握する：誰が、どんなAIを、何に使っているかを知る
- 公認のものを用意する：会社として「これを使ってよい」というAIを決めて配る
- 線引きを示す：入れてよい情報とだめな情報を、具体例で伝える
この順番が大事です。ルールだけ先に配ると、現場は「使うなと言われた」と受け取り、隠れて使う方向に戻ります。代わりの手段を用意してから制限する、と考えてください。
情シスがいない会社のシャドーAI対策4手順
事前に準備するものは、聞き取りをする時間（1人あたり5分程度）と、公認ツールを決めるための予算判断だけです。ツールの購入は必須ではありません。
手順1：聞き取りで実態を把握する（1〜2週間）
朝礼や個別の面談の場で、「業務でAIを使っている人はいますか。責めるつもりはなく、会社として使えるものを用意したいので教えてほしい」と伝えます。責めない姿勢を先に示すのが、正直に答えてもらうコツです。ここで叱ると、二度と本当のことは出てきません。
聞くのは3点だけで十分です。「何というサービスか」「どんな作業に使っているか」「会社の情報を入力しているか」。従業員10名規模なら、1週間もあれば一通り集まります。
手順2：使ってよいAIを1つ決める（1週間）
集まった内容をもとに、会社として公認するAIを1つだけ決めます。複数を認めると、どれに何を入れてよいかの説明が複雑になり、結局守られません。
選ぶ基準は「入力した内容が学習に使われない扱いになっているか」です。多くのサービスは法人向けプランでこの扱いになっています。契約中のプランの規約を確認してください。すでにGoogle WorkspaceやMicrosoft 365を使っている会社なら、それに付属するAI機能を公認ツールにするのが、追加費用も手続きも一番少ない選択です。
手順3：A4一枚のルールを配る（1日）
長い規程は読まれません。A4一枚に、次の内容だけを書いて配ります。
- 会社が認めているAIの名前（1つ）
- 入れてよい情報の例（3つ程度）
- 入れてはいけない情報の例（3つ程度）
- 判断に迷ったときの相談先（担当者名）
手順4：半年に一度見直す（半日）
AIサービスは仕様変更が早く、決めたルールはすぐ実態と合わなくなります。半年に一度、手順1の聞き取りだけをもう一度行うと決めておいてください。カレンダーに予定として入れておくのが確実です。
つまずきやすいポイントは、手順2で完璧なツールを選ぼうとして止まってしまうことです。比較検討に何か月もかけている間、現場は無認可のAIを使い続けます。まず1つ決めて配り、合わなければ半年後に変える、という進め方のほうが安全です。
「使ってよい／だめ」の線引きはどう作るか
ルールが守られない一番の原因は、抽象的すぎて現場が判断できないことです。
「機密情報の入力は禁止」と書いても、何が機密なのかは人によって違います。
自社の実際の書類名で書いてください。
たとえば製造業の会社なら、次のような形になります。
- 入れてよい
一般的な加工方法の調べもの、社内向け作業手順書の下書き、展示会の案内文の下書き - 入れてはいけない
図面データ、取引先ごとの単価表、不良の発生状況をまとめた社内報告
士業の事務所であれば、相談者の氏名や案件の具体的内容は当然入れてはいけない側になりますが、「一般的な制度の調べもの」「セミナー資料の構成案」は使ってよい側に置けます。
迷ったときの原則を1行添えておくと、書ききれない場面にも対応できます。おすすめは「その内容を、社外の人が見ているホワイトボードに書けるか」という基準です。書けないものは入力しない、と伝えれば、多くの人が判断できます。
禁止だけで済ませたときに起きる3つのこと
最後に、対策を「禁止」で終わらせた場合に実際に起きることを挙げておきます。
- 私物の端末に移る
会社のパソコンで使えないなら、個人のスマートフォンで使うだけです。会社からはさらに見えなくなります - 業務効率で差がつく
AIを使いこなす同業他社との差は、時間が経つほど開きます。禁止は安全策のようでいて、競争上の判断としてはリスクを取っている状態です - 相談されなくなる
「AIの出した内容が正しいか自信がない」といった相談が上がってこなくなり、誤った情報がそのまま資料に載る事故が起きやすくなります
シャドーAI対策の目的は、AIを使わせないことではなく、安全に使える形に置き換えることです。禁止よりも、公認ツールを1つ用意するほうが、結果として情報も守られます。
まとめ
- シャドーAIとは会社が把握していないAI利用のこと。IPAの「情報セキュリティ10大脅威 2026」でもAIの利用をめぐるリスクが組織向け3位に初選出された
- シャドーAI対策は禁止からではなく、聞き取りによる把握から始める。責めない姿勢を先に示すのが要点
- 公認するAIを1つ決め、A4一枚のルールを配り、半年に一度見直す。この4手順ならツールを買わずに始められる
- 線引きは自社の実際の書類名で書き、「社外の人が見えるホワイトボードに書けるか」を迷ったときの基準にする
社内の生成AIの使い方を整理したい、ルールを作りたいという段階でお悩みなら、株式会社アドクルーへお気軽にご相談ください。愛知県の中小企業さまを中心に、いまお使いの環境の中で無理なく始められる形をご提案しています。
