シャドーAIとは？リスク・判定フロー・企業の実務対策

結論（要点）：シャドーAIとは、組織が承認・把握・管理していない状態で業務に利用されるAIツールやAI機能です。情報の外部送信だけでなく、生成物の誤り（ハルシネーション）、権利侵害、自動実行による誤操作などAI固有のリスクを伴います。現実的かつ効果的な対策は「可視化→ルール設計→承認済み環境提供→教育→監査」を組み合わせることです。

シャドーAIとは

シャドーAIとは、組織が承認・把握・管理していないAIを業務に利用することです。

• 対象はチャット型生成AIだけでなく、文字起こし、翻訳、画像生成、ブラウザ拡張、SaaS組み込みAI、AIエージェントなど広範です。
• 重要なのは「業務目的での利用か」「組織が管理できているか」です。個人の趣味利用は基本的に本稿の「シャドーAI」対象外になります。

どこからがシャドーAI？5つの質問で判定（実務フロー）

判定の結論例：「業務目的かつ承認や管理がされていない場合」にシャドーAIと考える。外部送信の有無は必須条件ではなく、リスク評価項目です。

1. 業務目的で使っているか？
   いいえ：原則、本稿の対象外（ただし業務データが混入する可能性は別途確認）。はい：次へ。
2. 生成・要約・分析・判断・自動実行などAI機能を含むか？
   いいえ：シャドーIT等として別管理。はい：次へ。
3. 会社が当該ツールと利用方法を正式に承認しているか？
   いいえ：シャドーAIの可能性が高い。はい：次へ。
4. 承認された用途・データ・アカウント・連携・権限の範囲内か？
   範囲外ならシャドーAIの疑い。範囲内なら次へ。
5. 管理者は利用者・連携先・ログを把握できるか？
   把握できなければ追加調査・是正が必要。把握できれば「管理下の利用」と判断。

注：外部送信（クラウドへアップロード）・学習利用・人手レビュー等は、別途リスク評価項目として必ず確認してください。

部門別の具体例（実務で起きやすいケース）

営業

個人契約の生成AIで商談メモを要約し提案書を作成。商談メモに顧客の非公開要件が含まれていると、契約違反や顧客信用の毀損につながる。

開発

エラーログや一部ソースを外部AIに貼り付け。APIキーや接続情報が含まれると認証情報漏洩のリスク。

人事・総務

履歴書や面接録音を無料サービスで文字起こし。個人情報保護の観点で注意が必要。

発見・可視化のステップ（手順）

推奨順序（短期～中期）：

1. 従業員アンケートと部門ヒアリング（ツール名・用途・アカウント種別を収集）
2. SSO・IDログ、SaaSログ、DNS/プロキシログの棚卸しで未承認ログを検出
3. OAuth連携とブラウザ拡張の権限を一覧化
4. DLP・CASB・SSEで機密データ送信の検知ルールを設定
5. 発見後は処罰ではなく是正と代替手段提供を優先（現場の利便を損なわない）

企業が整備すべき主要対策（実務優先）

基本方針：全面禁止ではなく、安全に使える公式環境を提供し、現場の利便性とガバナンスを両立する。

AI利用規程（条文例：コピー可）

第○条（目的）
本規程は、組織における生成AI等の安全かつ適切な利用を定める。

第○条（入力禁止情報）
利用者は、会社の書面による承認がある場合を除き、以下の情報を外部の生成AIサービスへ入力してはならない。
1. 個人情報（個人情報保護法に定義されるもの）
2. 営業秘密・未公開の技術情報
3. 認証情報（パスワード、APIキー等）
4. 契約上秘匿が求められる顧客情報

第○条（生成物の確認）
生成AIの出力を業務に用いる際は、利用者は事実関係・出所・第三者権利の侵害を確認し、必要に応じて上長または法務へ確認を行う。

承認済み環境の要件

• 法人プラン・SSO・MFAを必須化
• 管理者によるユーザー管理と監査ログの取得
• 重要操作（メール送信、データ更新）は人の承認を介す設定

AIサービス審査のチェックポイント（要約）

• データ利用：学習利用の有無、オプトアウト可否、保存期間、保存地域
• セキュリティ：通信・保存の暗号化、SSO/MFA対応、監査ログ提供
• 契約：サブプロセッサー公開、インシデント通知義務、SLA
• 機能：外部連携の権限制御、重要な自動実行に承認ゲートを設定可能か

発覚時の初動（手順・注意点）

1. まずは利用を一時停止（端末やアカウントを勝手に消去しないこと）
2. 利用者・アカウント・端末を特定し、関係ログを保全する
3. 入力データと生成物を速やかに確認し、影響範囲を評価する
4. 必要に応じてOAuthトークンやAPIキーを失効（ただしログ保全後）
5. AI事業者へデータ削除の可否を確認（証拠確保の順序に注意）
6. 法務・セキュリティ・経営へ速やかに報告し、顧客報告の要否を判断する

よくある質問（FAQ）

Q：個人情報を入力しなければ安全ですか？

A：必ずしも安全とは言えません。営業秘密、未公開設計、認証情報、ソースコード等も重大なリスクとなります。送信先の保存・利用条件を必ず確認してください（参考：個人情報保護委員会）。

Q：有料版・法人版なら安全ですか？

A：プランによって管理機能が充実しますが、契約条件・設定次第です。SSOやデータ削除条項、サブプロセッサー開示を確認してください（参考：経済産業省）。

Q：全面禁止が解決策ですか？

A：現場の効率化ニーズが残るため限定的です。まずは可視化して承認済の代替手段を提供することを優先してください。

まとめ（実務アクション）

最初の30日で行うべきは「利用実態の可視化（アンケート＋ログ確認）→入力禁止カテゴリの明文化→承認済みツールの1～2種類選定→相談窓口設置」です。その後、承認フロー整備・SSO導入・DLP設定・教育を進め、監査で改善を回してください。一次情報（ガイドライン）は IPA、NISC、文化庁 の公開資料を参照のうえ、法務と連携してください。