シャドーAI 対策｜社員が無許可で生成AIを使う問題と会社のルール整備

この記事でわかること
シャドーAIとは何か・会社が把握しないAI利用で起きやすい問題・すぐに正式導入できない会社が決めておきたい暫定ルール

生成AIを会社として導入していなくても、社員が個人で使い始めていることがあります。

提案書の文章を整える。メール文面を考える。議事録を要約する。求人文のたたき台を作る。こうした使い方は、すでに珍しいものではありません。

一方で、会社が把握していないところで使われていると、何をAIに入力しているのか、出てきた内容を誰が確認しているのかが分かりません。このように、会社が把握しないまま生成AIが業務に使われている状態が「シャドーAI」です。

シャドーAIとは、会社が把握していない生成AI利用のこと

シャドーAIとは、会社が許可していない生成AIを、社員が個人の判断で業務に使っていることを指します。

たとえば、会社としてChatGPTやGemini、Claudeなどを導入していないのに、社員が個人アカウントで業務文書を整えたり、資料を要約したりするケースです。

問題は、生成AIを使うこと自体ではありません。会社が、どの業務で、どのように使われているのかを把握できていないことです。

たとえば、顧客名、担当者名、見積情報、契約内容、社内資料、会議メモなどを個人アカウントでAIに入力すると、会社として後から確認しにくくなります。

また、AIが出した内容をそのまま使ってしまうことにも注意が必要です。生成AIの文章は自然に見えても、数字、制度、固有名詞、条件などが間違っていることがあります。社外向け資料、採用文、顧客への返答などに誤った内容が混ざると、会社の信用に関わります。

個人アカウントで業務に使っている場合、履歴や設定を会社が確認しづらい点も課題です。退職後にどう扱うのか、入力した内容がどこに残るのかも分かりにくくなります。

会社として生成AIを使うなら、まずは利用するツールを決めることが大切です。

どのツールを使うのか。誰が使えるのか。会社でアカウントを管理できるのか。入力した情報が学習に使われるのか。履歴を会社で確認できるのか。退職時にアクセスを止められるのか。

こうした点を確認して、会社として使える環境を用意できれば、社員が個人アカウントに頼る必要は少なくなります。

ただし、すぐに法人向けの生成AIを導入できない会社もあります。費用の問題もありますし、どのサービスを選べばよいか迷うこともあるでしょう。

その場合でも、何も決めないままにしておくのは避けたいところです。正式導入までの間は、暫定ルールを決めておくことが大切です。

まず決めたいのは、「入力してはいけない情報」です。顧客名、個人情報、契約書や見積書の中身、未公開の売上や原価、社外秘の会議メモ、IDやパスワードに関わる情報などは、AIに入力しないようにします。

次に、「使ってよい業務」を決めます。公開情報をもとにした文章の下書き、社内向けのお知らせ文のたたき台、会議アジェンダの整理、文章の言い換え、アイデア出し、誤字脱字の確認などは、比較的始めやすい使い方です。

一方で、顧客対応の最終回答、契約や法務の判断、採用の合否判断、見積金額の判断などは、AI任せにしないほうが安心です。

あわせて、社外に出す前の確認ルールも決めておきます。事実が合っているか。会社の考え方とずれていないか。出してよい情報だけになっているか。この3つを確認するだけでも、危ない使い方を防ぎやすくなります。

最後に、迷ったときの相談先も必要です。「この資料をAIで要約してよいか」「顧客名を消せば使ってよいか」などを聞ける人がいれば、社員が一人で判断しなくて済みます。最初は、代表、総務、管理職、ITに少し詳しい人など、社内で判断しやすい人を一人決めるだけでも始められます。

社員が個人で生成AIを使い始めるのは、仕事を早く進めたい、文章を整えたい、調べものを楽にしたいといった理由からです。

その動き自体をすべて止めるよりも、会社として扱い方を決めることが大切です。

まずは会社として使う生成AIを決める。すぐに導入できない場合は、暫定ルールを決める。小さくても基準があれば、社員も判断しやすくなります。

禁止するだけでも、放置するだけでもなく、会社として使い方を整える。これが、シャドーAIへの現実的な対策です。

Q1. 社員がすでに個人でAIを使っていた場合、どう聞けばよいですか？

まずは責めるのではなく、「安全に使える形を決めたいので、今どんな場面で使っているか教えてほしい」と伝えるのがよいでしょう。便利だった使い方もあわせて聞くと、禁止ではなく、使い方を整える話として進めやすくなります。

Q2. 会社で導入する前に、個人利用を認めてもよいですか？

認める場合でも、自由に使える状態にはしないほうが安心です。正式導入までの間は、入力してよい情報、使ってよい業務、社外に出す前の確認だけは決めておきましょう。

Q3. ルールを作っても守られない場合はどうすればよいですか？

最初から細かく決めすぎると、現場では使いにくくなります。まずは「大事な情報は入れない」「社外に出すものは人が見る」など、守りやすいルールに絞ることが大切です。実際の使われ方を見ながら、少しずつ直していくほうが続けやすくなります。