シャドーAI対策とは、会社が把握・許可していない生成AIを社員が業務で使っている状態（シャドーAI）を見つけ、安全に管理できる形へ移していく取り組みです。「うちはAIを導入していない」と考えている経営者ほど、実は対象になっている可能性があります。
USEN ICT Solutionsが2026年6月に公表した調査（全国のビジネスパーソン549名）では、27.1%が「会社として生成AIを導入していないのに、個人の判断で業務に使っている」と回答しました。本記事では、この数字を手がかりに、中小企業が今週から始められるシャドーAI対策を4ステップで整理します。
シャドーAI対策が中小企業で急務になっている理由
シャドーAIとは、情報システム部門や経営者の許可を得ずに、社員が個人アカウントの生成AIを業務に使う状況を指します。かつてのシャドーIT（私物のクラウドストレージなど）と同じ構造です。
数字で見る「個人利用」の実態
同じUSEN ICT Solutionsの調査では、生成AIを業務で使う上での最大の障壁として、セキュリティ・情報漏洩への懸念が挙がっています。つまり「不安はあるが、便利なので使っている」人が一定数いることになります。
kotukotuが過去に整理した別の調査でも、傾向は重なります。
| 調査 | 内容 |
|---|---|
| USEN ICT Solutions（2026年6月） | 27.1%が会社未導入でも個人判断で利用 |
| エフアンドエムクラブ（2026年7月、2,503社） | 約70%が業務利用、ルール整備は約1割 |
| 東京商工会議所（2026年7月） | 43.2%が無料ツールのみ利用 |
出典は各調査の公表資料です。調査ごとに対象や設問が異なるため単純比較はできませんが、「使われているのにルールがない」という点は共通しています。
中小企業ほどリスクが顕在化しやすい
大企業は情報システム部門が通信を監視できます。一方、従業員30名の会社で、全員が私物スマホと個人アカウントを使えば、誰が何を入力したかを会社は確認できません。専任の担当者がいないぶん、気づいたときには取引先の情報が入力済みだった、という事態が起こり得ます。
シャドーAIで実際に起きうる3つのリスク
1. 取引先・顧客情報の入力
見積書の下書きを頼むとき、取引先名や金額をそのまま貼り付ける。悪気はなく、時短のためです。個人アカウントの無料版では、設定次第で入力内容がモデルの改善に使われる場合があります。守秘義務契約を結んでいる取引先の情報であれば、契約違反になる恐れもあります。
2. 誤情報の業務利用
AIの回答には誤りが含まれます。会社が把握していなければ、確認の手順も決められません。たとえば法令に関する説明をそのまま顧客向け資料に使い、誤りが後から見つかる、といったケースです。ハルシネーション（もっともらしい誤り）への備えは、生成AIのハルシネーション対策で詳しく扱っています。
3. 退職時のデータ残存
業務の履歴が個人アカウントに残ったまま、社員が退職する問題もあります。会社は履歴を削除させることも、引き継ぐこともできません。
シャドーAI対策の4ステップ
禁止は有効に見えますが、使う人がいる以上、地下に潜るだけになりがちです。kotukotuが推奨するのは「禁止」より「公認」への切り替えです。
ステップ1: 現状を責めずに聞く（所要1週間）
匿名のアンケートを取ります。聞くのは次の4点だけで十分です。
- 業務で生成AIを使ったことがあるか
- どのツール（無料版／有料版）か
- どんな業務で使ったか
- どんな情報を入力したか
「使っていたら処分」という空気があると、正直な回答は得られません。目的は把握であり、犯人探しではないと最初に伝えます。
ステップ2: 入力してよい情報を3段階に分ける（所要半日）
細かい規程より、まず3色の区分を作るほうが現場に浸透します。
| 区分 | 例 | 扱い |
|---|---|---|
| 入力OK | 公開済みの情報、一般的な文章の下書き | どのAIでも可 |
| 条件付き | 社内資料、匿名化した顧客情報 | 会社が認めたツールのみ |
| 入力NG | 個人情報、取引先の機密、未公開の財務情報 | どのAIでも不可 |
規程の書き方は生成AIの社内ルール整備ガイドが参考になります。
ステップ3: 会社が認めるツールを1つ決める（所要1〜2週間）
「禁止」を成立させるには、代わりの安全な選択肢が必要です。法人向けプランは、入力内容をモデルの学習に使わない設定が標準であることが多く、管理者がアカウントを一括管理できます。月額は1人あたり数千円台のものが中心です。費用感は生成AI料金プラン2026年9月版を参照してください。
全員分をいきなり契約する必要はありません。まず利用頻度の高い3〜5名で試し、効果を見てから広げれば、費用の無駄を抑えられます。
ステップ4: 設定確認を習慣にする（月1回15分）
導入後も、次の項目を月に1回確認します。
- 学習への利用設定（オフになっているか）
- 退職者・異動者のアカウント整理
- 入力NGの区分を破った事例がなかったか
無料版を使い続ける場合の設定確認は、生成AI無料版の使い方に手順をまとめています。
禁止だけで終わらせない：運用のコツ
相談窓口を1人決める
「これは入力して大丈夫か」を聞ける人がいないと、現場は自己判断します。社長や総務の担当者など、1人を窓口に決め、質問を歓迎する姿勢を見せます。
成功例を共有する
公認したツールで時短できた例（議事録の要約、メール下書きなど）を週1回、社内チャットで共有します。安全な使い方のほうが得だと実感できれば、個人アカウントに戻る理由が薄れます。
経営者自身が使う
経営者が使っていない会社では、現場は「黙認されている」のか「隠すべき」なのか判断できません。まず経営者が公認ツールを使う姿勢が、定着の近道です。
よくある質問
Q1: シャドーAI対策は何名規模の会社から必要ですか？
A: 人数の基準はありません。社員が1人でも、個人アカウントで取引先情報を入力すれば同じリスクがあります。従業員が5〜10名でも、ステップ1のアンケートとステップ2の3区分は半日で始められます。
Q2: 生成AIの利用を全面禁止にするのは有効ですか？
A: 短期的には抑止になりますが、私物端末での利用までは会社が確認できません。上で紹介した調査でも、会社未導入のまま個人判断で使う人が27.1%いました。禁止だけでは把握できない領域が残るため、公認ツールの用意とセットで進めるほうが現実的です。
Q3: 対策にかかる費用はどのくらいですか？
A: ステップ1〜2は社内作業のみで、追加費用はかかりません。ステップ3で法人向けプランを少人数で試す場合、月数千円から数万円の範囲が目安です。サービスごとに料金は変わるため、契約前に各社の最新の公式ページで確認してください。
Q4: すでに情報を入力してしまっていた場合はどうしますか？
A: まず入力した内容と日時、使ったツールを本人から聞き取ります。次に、そのツールのチャット履歴を削除し、学習への利用設定をオフにします。個人情報や取引先の機密が含まれていた場合は、契約書を確認し、必要に応じて専門家に相談してください。
まとめ
シャドーAI対策の要点は次の3つです。
- 27.1%という数字は、「導入していない会社」にも当てはまる
- 責めずに現状を聞き、入力できる情報を3区分に分ける
- 禁止ではなく、会社が認めたツールを用意して公認へ移す
kotukotuでは、中小企業のAI利用ルールづくりやツール選定を、現場に合わせて伴走支援しています。「自社の現状をどう確認すればよいか分からない」「まず3区分の叩き台がほしい」という段階でも、無料相談でお話を伺います。
自社の労働生産性が業界平均と比べてどの位置にあるか確認したい方は、無料の「生産性ベンチマーク」を使ってみてください。1人あたり売上・粗利を業界データと比較分析します。