社員が勝手に使うAI（シャドーAI）に、禁止以外で向き合う

こんにちは、コマルです。先月、こんな相談がありました。「うちはAIを全面禁止にしているのに、なぜか現場の仕事が妙に速く終わる社員がいる。おかしいと思って理由を聞いたら……」というものです。禁止しているはずなのに、会社が把握していないところでこっそり使われているAI——これをシャドーAIと呼びます。今回は、シャドーAIにどう向き合えばいいかを、よくある相談の流れに沿って整理します。

「うちはAI禁止だから大丈夫」のはずだった

その会社は、半年前に「業務でChatGPTなどの生成AIを使うのは禁止」と決めていました。理由は情報漏洩が怖いから。社長も総務担当も、「禁止したのだから、もう使われていないはず」と思っていました。

マル

禁止したら、もうみんな使わなくなるんじゃないの?

タイガー

そう思うよね。でも実際は、「禁止した」と「使われなくなった」はイコールじゃないんだ。この相談、まさにそこでつまずくパターンだよ。

気づいたきっかけは、地味な違和感だった

きっかけは、ある社員が作った提案書でした。いつもより仕上がりが早く、しかも文章が妙に整っている。総務担当は最初「がんばったんだな」くらいにしか思いませんでした。ところが別の日、雑談の中でその社員がぽろっと「さっきAIに聞いたら」と口にしたのです。

マル

えっ、そんな一言だけで気づいちゃうものなの?

タイガー

きっかけは、たいていこのくらい地味だよ。「なんとなく変」がサインの正体で、大げさな決定的証拠が出てくるわけじゃないんだ。よくある型を整理しておくね。

• 文章の書き方が急に整う、言い回しがいつもと変わる
• 作業のスピードが、いつもより不自然に速い
• 「念のため確認したところ」「調べたところ」の説明がやたら詳しい
• 経費精算や請求明細に、見慣れないAIツールの名前が出てくる

調べてみたら、1人だけの話じゃなかった

総務担当は、その社員を問い詰める前に、まず周りにそれとなく聞いてみました。すると、他にも2人、同じように個人のスマホでAIを使っている社員がいることが分かりました。誰も悪気はなく、「禁止されているのは知っていたけど、仕事が早く終わるから」というのが共通の理由でした。

マル

えー、1人だけかと思ったら……。禁止してたのに、そんなに広がってたんだ。

タイガー

実はこれ、珍しい話じゃないんだ。ISOプロが2026年7月に企業の経営者・役員・情報システム部門の担当者1,023人に行った調査では、「一部シャドーAIが発生している」と回答した企業が44.5%にのぼる。従業員が無断で使う理由の1位は「業務効率を上げたい」で40.1%。悪意じゃなくて、単純に便利だからなんだ。

マル

それだけ広がってるなら、会社側もちゃんと気づけてるの?

タイガー

それがそうでもなくて。同じ調査で、「最新のAI活用に対応したガイドラインがある」と答えた企業は23.9%だけ。気づく手段も、対応するルールも、追いついていない会社のほうが多いんだ。

なぜ「禁止」だけでは止まらないのか

総務担当は最初、「見つけた3人を注意して終わり」にしようとしました。しかしComaruに相談したところ、返ってきたのは「それだと、また潜るだけです」という指摘でした。

マル

怒って終わらせちゃダメなの? 悪いのはルールを破ったほうだよね。

タイガー

気持ちは分かる。でも叱って終わらせると、次からはもっと見つからないように使うだけなんだ。実際、業務で生成AIを使っている担当者1,365人を対象にしたスマートキャンプの調査（2025年12月）では、「特にルールはなく、個人の判断に任されている」が31.9%、「会社はAIを導入していないのに、個人で使っている」も14.4%ある。禁止や未整備は、使わせないんじゃなくて、見えなくするだけなんだよ。

マル

見えなくなるのって、そんなに困ること?

タイガー

困るよ。国も動き出しているくらいだから。IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの脅威として2026年に初めてランクインして、いきなり3位になった。理由の一つが、まさに会社が把握できないところでAIが使われることによる情報漏洩なんだ。

どうすべきだったか——向き合い方を変える

Comaruが勧めたのは、犯人探しをやめて、「実態を教えてくれたらありがとう、と言える形」に変えることでした。総務担当は次の3つを、その場で決めました。

1. 申告制にする——今使っている人は、名乗り出れば咎めない。まず実態を知ることを優先する
2. 安全に使える場を用意する——個人のアカウント任せにせず、会社として法人向けプランを1つ用意する
3. 「今日から使っていい範囲」だけ先に示す——完璧なルールを待たず、まず「ここまでは大丈夫」を1行決める

マル

怒られると思ってたのに、逆に「教えて」って言われたら、社員側もびっくりしそう。

タイガー

びっくりするだろうね。でもそれくらいの落差がないと、正直に話してもらえないんだ。3人のうち1人は「実はもっと前から使ってました」って、この流れでようやく話してくれたらしいよ。

マル

それで、もう安心なの?

タイガー

うーん、正直まだ分からない。申告制にしたのは最初の一歩で、法人プランへの切り替えや、入れていい情報の線引きは、これから詰めるところなんだ。

マル

……なんだ、まだ終わってないんだ。

Comaruの実務でも、同じ考え方をしている

Comaruは1人の事業なので、「社員のシャドーAI」という形では起こりません。ただし、外注先や協業先に仕事を渡すときに、似た構造の問題は起こりえます。相手がどんなAIをどう使っているか、Comaruが把握できていないケースです。

マル

1人の会社でも、関係あるの?

タイガー

あるよ。Comaruでは、外部に作業を依頼するときに「どのAIをどう使っているか」を先に聞くようにしている。禁止するためじゃなくて、何が入力される可能性があるかを把握するためだよ。疑っているんじゃなくて、事故が起きたときに「知らなかった」を防ぐための確認なんだ。

マル

聞くだけで、そんなに変わるものなの?

タイガー

変わるよ。聞かれた側も、隠す必要がなくなるからね。会社の規模が違っても、「先に聞く」という向き合い方は同じなんだ。

まとめ：禁止は、見えなくするだけ

「AIを禁止しているから安全」というのは、多くの場合、確認できていないだけです。企業の経営者・情シス担当者を対象にした調査では4割以上が「一部シャドーAIが発生している」と答え、実際に使っている担当者側の調査でも3割が「ルールなし・個人判断」で使っていると答えています。禁止は利用をゼロにするのではなく、見えないところに追いやるだけです。

見つけたときにやるべきことは、犯人探しではありません。まず実態を知り、安全に使える場を用意し、今日から使っていい範囲だけでも先に示す——この3つが、禁止に戻らないための最初の一歩です。完璧なルールづくりは、そのあとで十分間に合います。

見つけた後、禁止から限定的に解禁するまでの具体的な進め方はChatGPT禁止の会社で、限定解禁までの4ステップに、最低限のルールを1枚にまとめる手順は小さな会社の生成AI利用ルールにまとめています。何を入れてよいかの線引きに迷ったときはAIに入れていい情報はどこまで？、もし社員がすでに機密を入力してしまっていたらAIに情報を入れてしまった、と気づいたら最初にやることを参考にしてください。

30分無料相談では、「うちの会社でも、実はこっそり使われているかもしれない」という段階から、実態の確認の仕方と、禁止に戻さない向き合い方を一緒に整理できます。問い詰める前に、まずご相談ください。

参考（一次情報）：IPA 情報セキュリティ10大脅威2026／株式会社ISOプロ「次世代AIとガバナンス実態調査」／スマートキャンプ株式会社 生成AI利用実態調査（BOXIL Magazine）

※本記事は一般的な情報提供であり、法的助言ではありません。社内での対応は、状況に応じて専門家にもご確認ください。

この記事は、みなさんの“困る”を解決する猫の手「コマル」がお届けしました。 「うちの場合はどうなる？」は 30分無料相談 でどうぞ。