シャドーAIとは

シャドーAIとは

シャドーAIとは、会社の情報システム部門や経営者が把握・許可していないAIツールを、従業員が個人の判断で業務に使っている状態のことです。たとえば、個人アカウントの無料版ChatGPTに顧客との商談メモを貼り付けて要約させる、許可されていないAI翻訳サービスに契約書をアップロードする、といった使い方が典型です。

悪意があるケースはほとんどありません。「早く仕事を片付けたい」という善意から始まることが多いため、禁止するだけではなくなりにくいのが特徴です。

シャドーITとの違い

似た言葉に「シャドーIT」があります。シャドーITは、許可されていないクラウドストレージやチャットツールなど、IT全般の無断利用を指します。シャドーAIはその一種ですが、次の点でリスクの性質が異なります。

• 入力した内容そのものが外部に渡る: 文章や資料を「貼り付ける」使い方が中心で、機密情報が1回の操作で社外に出る

• 学習に使われる可能性がある: サービスや設定によっては、入力データがAIモデルの改善に使われる

• 出力の誤りが業務に混入する: AIのハルシネーションを含んだ文書が、確認されないまま顧客に届くおそれがある

シャドーAIのリスク

IBMが2025年に公表した「Cost of a Data Breach Report 2025」では、調査対象組織の約5社に1社がシャドーAIに関連する情報漏洩を経験しており、シャドーAIの利用が多い組織では漏洩時の損失額が平均で約67万ドル高くなったと報告されています。

また、IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編では、「AIの利用をめぐるサイバーリスク」が初選出で3位に入りました。生成AIの利用が広がる一方で、ルール作りが追いついていない企業が多いことを示しています。

中小企業での対策

実態を把握する: まず無記名アンケートで「どのAIを、何の業務に使っているか」を聞く。叱らないことが前提です

使ってよいツールを用意する: 入力データが学習に使われない法人プランなどを会社として契約し、「こちらを使ってください」と代わりの選択肢を示す

入力してはいけない情報を決める: 個人情報、顧客の機密、未発表の数字など、具体例つきでルール化する（生成AIガイドラインの作り方を参照）

定期的に見直す: 新しいAIツールは毎月のように登場するため、半年に1回はルールと許可リストを更新する

具体例

従業員30名ほどの専門商社で、営業担当の半数以上が個人アカウントの生成AIで見積書の文面を作っていたことがアンケートでわかりました。会社として法人プランを契約し、「顧客名と金額は伏せて入力する」というルールと短い研修をセットにしたところ、無断利用はほぼなくなり、業務効率化の効果はそのまま残りました。

生成AIのリスクの全体像は生成AIのセキュリティリスクと対策、実際の漏洩事例は生成AIの情報漏洩事例と対策で詳しく解説しています。

関連サービス

Swaaabでは、社内のAI利用実態の把握から、利用ルールの策定、従業員研修までをAIセキュリティ対策支援として提供しています。