社員が無断でAIを使う「シャドーAI」のリスクと対策とは？——禁止だけで防げない理由と実態のつかみ方

シャドーAIとは、会社が把握していないところで社員がAIを使うこと

シャドーAIとは、会社が認めていない、または把握していないところで、社員が仕事にAIを使うことです。「シャドー」は英語で「影」という意味で、会社の目の届かないところで使われている状態を指します。

たとえば、次のような使い方がシャドーAIにあたります。

• 個人で登録した無料のAIサービスに、お客様へのメールの文面を貼り付けて直してもらう
• 会議の録音や議事録を、個人のスマホのAIアプリで要約する
• 取引先から届いた見積書や契約書の内容を、AIに読ませて要点をまとめる
• 社内の売上の表をAIに渡して、分析や報告書の下書きを作らせる

どれも、社員にとっては「仕事を早く、上手に終わらせるため」の工夫です。悪意があるわけではなく、むしろ仕事熱心な社員ほど使っていることがあります。問題は、使うこと自体ではなく、会社がその使い方を知らず、どんな情報がどこに入力されているかを誰も確認できない点にあります。

シャドーAIで起きる4つのリスク

シャドーAIで起きやすいリスクは、大きく次の4つに分けられます。

特に見落としやすいのは「記録が残らない」こと

情報の持ち出しや誤った回答は、注意すれば気づくこともあります。一方で、記録が残らないことは、問題が起きたときに初めて困るリスクです。お客様から「この説明はどこから出てきたのか」と聞かれても、誰がどのAIで作ったのかがわからなければ、原因を調べることも、再発を防ぐこともできません。

また、社員が退職したときに、その社員の個人アカウントに入力された情報がどうなるかを会社は確認できません。会社のアカウントで使っていれば管理できたことが、個人のアカウントでは手が届かなくなります。

なお、入力した内容が学習に使われるかどうかは、サービスや契約の種類、設定によって異なります。詳しい確認のしかたは、当社の「AIに学習させない設定」の記事で説明しています。個人情報の扱いについては法令や指針が関係するため、最新の情報は個人情報保護委員会などの公式サイトで確認してください。

禁止するだけではシャドーAIを防げない理由

リスクを聞くと、「それならAIを全面的に禁止しよう」と考えたくなります。しかし、禁止だけでシャドーAIをなくすのは難しいのが実情です。理由は次の3つです。

1. 個人のスマホから使えてしまう：AIのサービスは、個人のスマホやパソコンから誰でもすぐ使えます。会社のパソコンで使えないようにしても、個人の端末で使われれば会社からは見えません
2. 便利さを知った人は使い続ける：一度AIで文章づくりや要約が早くなることを知ると、禁止されても「少しだけなら」と使い続けやすくなります。禁止によって使い方が隠れるだけで、使う量が減るとは限りません
3. 相談しにくくなる：禁止されている中で使っていると、誤って情報を入力してしまったときに報告しにくくなります。問題が起きても表に出ないことが、最も大きなリスクです

つまり、禁止だけの対策は「AIを使わせない」のではなく、「会社から見えない形で使わせる」ことになりやすいのです。社員の困りごとは「仕事を早く終わらせたい」なので、その困りごとに会社が応えない限り、シャドーAIは形を変えて残ります。

まずは責めずに実態を把握する

対策の最初の一歩は、社員がどんなAIを、どんな仕事に使っているかを知ることです。このとき大切なのは、聞き取りの目的を「犯人探し」ではなく「会社として安全な使い方を用意するため」と最初に伝えることです。責められると思えば、社員は本当のことを話してくれません。

10〜50名規模の会社であれば、次の手順で実態をつかめます。

1. 目的を伝える：朝礼や部署の打ち合わせで、「AIを禁止するためではなく、安心して使える道具を会社で用意するために、今の使い方を教えてほしい」と伝えます
2. 簡単な聞き取りをする：「使っているAIのサービス」「使っている仕事」「入力している情報の種類」「便利だと感じている点」の4つを、無記名のアンケートや短い面談で聞きます
3. 入力している情報を分ける：集まった答えを、「社外の人の情報を含むもの」「社内の数字や資料を含むもの」「一般的な文章づくりだけのもの」に分けます
4. 急いで止めるものを決める：お客様の個人情報や取引先の秘密情報を入力している使い方は、代わりの方法を用意するまで止めてもらいます
5. 便利な使い方を集める：社員が工夫している使い方は、会社の業務改善の種でもあります。どの仕事にAIが役立っているかを記録しておきます

聞き取りをすると、多くの場合、社員がAIを使っているのは「文章の下書き」「要約」「調べもの」など、決まった種類の仕事に集中していることがわかります。この結果が、次に会社が用意すべき道具を決める手がかりになります。

使ってよい道具と使い方を会社が用意する

実態がわかったら、社員が隠れて使う理由をなくすために、会社として「使ってよい道具」と「使い方」を用意します。ここで決めることは、主に次の3つです。

1. 会社として使うAIのサービスと設定を決める

会社で契約したアカウントを用意し、入力した内容を学習に使わない設定などを確認したうえで、社員に使ってもらいます。会社のアカウントであれば、誰が使っているかを把握でき、退職したときもアカウントを止められます。設定の確認方法は、当社の「AIに学習させない設定」の記事を参考にしてください。

2. 最低限の使い方のルールを決める

「入力してはいけない情報」「社外に出す前は必ず人が確認する」「迷ったときの相談先」など、これだけは守るという内容を短くまとめます。ルールに入れる項目や作り方は、当社の「社内のAI利用ルールの作り方」の記事で詳しく説明しています。

3. よく使われる仕事は、仕組みとして用意する

聞き取りで、多くの社員が同じ仕事にAIを使っているとわかった場合は、その仕事をAIに任せる仕組みを会社として作ると効果的です。たとえば、問い合わせへの返信の下書きや、受注書の入力など、決まった流れの仕事であれば、社員が一人ひとり工夫しなくても、決められた手順と範囲で安全にAIを使えます。

当社のAI社員は、使うサービスや入力する情報の範囲をあらかじめ決めたうえで、業務の担当として構築します。たとえば、製造業（従業員30名規模）の事務担当の方の受注書入力は1日2時間から15分に、不動産（従業員15名規模）の問い合わせ担当の方の初回返信は半日から10分になりました。料金は初期費用＋月5万円（税別、AI利用料は実費）で、初期費用はヒアリング後にお見積もりしています。運用中の使い方の相談も、月額の中で無制限に対応しています。

管理職が日ごろからできること

シャドーAIへの対策は、一度ルールや道具を用意して終わりではありません。現場に近い管理職が、日ごろから次のことを意識すると、隠れた利用が生まれにくくなります。

• 部下のAIの使い方を、ときどき話題にする：「最近どんな仕事にAIを使っている？」と気軽に聞くことで、使い方が見えるようになります
• 誤って入力したときは、責めずに報告を受ける：すぐに報告があれば、対応できることが増えます。報告した人を責めると、次から報告されなくなります
• 新しいAIのサービスを使いたいという声を拾う：会社の道具で足りない仕事があれば、それがシャドーAIの入り口になります。声を集めて、会社として検討する流れを作ります
• AIの回答を確認する習慣を見せる：管理職自身がAIの回答を確認してから使う姿を見せると、部下にもその習慣が広がります

シャドーAIは、社員の「仕事を早く終わらせたい」という前向きな気持ちから生まれます。その気持ちを止めるのではなく、安全な形に向けることが、管理職にできる一番の対策です。

半年に一度は、使い方をもう一度聞く

AIのサービスは次々に新しいものが出てくるため、一度聞き取りをしても、しばらくすると使われ方が変わっていることがあります。半年に一度など時期を決めて、最初と同じ簡単な聞き取りをもう一度行うと、新しく生まれたシャドーAIに早めに気づけます。聞き取りの結果は、会社で用意した道具やルールを見直す材料にもなります。社員から「この仕事にも使いたい」という声が多く集まった業務は、会社としてAIに任せる仕組みを作る候補になります。こうして聞き取りと見直しを繰り返すことで、会社が用意した道具が現場の仕事に合ったものになり、隠れて使う理由が少しずつなくなっていきます。