社員が生成AIを使っていることは分かっていても、どの業務で、どのデータを、どのサービスへ入れているか把握できているでしょうか。全面禁止を知らせても、便利な機能が既存SaaSへ組み込まれ、利用実態が見えないまま残ることがあります。
原因は、AI利用をツールの購入一覧だけで管理していることです。無料アカウント、個人契約、ブラウザ機能、既存ソフト内のAI、APIや自動化からの接続は、通常の申請台帳だけでは見落とされます。
この記事では、シャドーAIを単なる違反探しにせず、業務、扱うデータ、接続先、判断への影響を可視化し、許可条件と見直しを決める棚卸し手順を解説します。
株式会社ラクボは、デジタルマーケティング・DX支援の広告代理店として、SNS運用、LINE施策、SEO対策、採用マーケティングなど、様々なマーケティング課題に向き合ってきた実績があります。10年以上のデジマ経験と専門知識を活かし、中小企業様から大手企業様まで、実践的で信頼性の高い情報をお届けします。
シャドーAIは未承認ツールだけでなく管理外の使い方を含む
シャドーAIとは、会社が承認・把握していないAIツールや、承認済みツールを管理外の用途で使う状態です。たとえば、個人アカウントへ顧客資料を貼る、議事録AIを無断で会議へ入れる、AIエージェントへ必要以上の権限を渡す使い方が含まれます。
Barracudaは2026年9月、AI Data Securityを発表し、AI利用の可視化、プロンプトやアップロードの検査、データ保護、監査証跡を一体で扱う必要性を示しました。製品導入の前に、自社で何を可視化すべきか決めることが先です。
リスクは情報漏えいだけではありません。AIの出力が見積、採用、顧客回答、契約判断へ使われているのに、責任者や根拠が分からない状態も問題です。まず利用の有無ではなく、どの判断へ影響するかを確認します。
禁止から始めず業務・データ・接続先を棚卸しする
最初の一週間は、罰則を前面に出さず、部門ごとに『何を速くするためにAIを使うか』『どのサービスか』『何を入力するか』『出力を誰が確認するか』を聞きます。個人名や会話全文を集める前に、目的と必要範囲を明示します。
棚卸し表には、部門、業務、AIサービス、契約主体、入力データ区分、アップロード、外部接続、保存設定、出力の用途、確認者、頻度を記録します。SSOログ、経費、ブラウザ拡張、SaaS設定、APIキー台帳は補助証拠として使い、アンケートだけでゼロ件と判断しません。
個人情報や機密を入力前に分ける方法は生成AI入力前の個人情報マスキングを参考にします。AIが社内システムへ接続する場合は、AIエージェントのアクセス権棚卸しも同時に行います。
許可・条件付き・禁止を用途単位で決める
判断はツール単位ではなく用途単位で行います。同じ生成AIでも、公開情報の要約は許可、個人情報を除いた文案作成は条件付き、顧客データの投入や自動送信は原則禁止というように分けます。承認済みツールなら何をしてもよい、とはしません。
条件付き用途には、入力禁止データ、匿名化、保存設定、参照元、出力確認者、外部送信前の承認、ログ保持期間を付けます。禁止する場合は、安全な代替手段と相談先を示します。代替がなければ、便利さを求めて再び見えない利用へ戻りやすくなります。
重大度と対応は小さな会社向けAIリスク管理表へ整理します。即時停止が必要なのは、認証情報、決済情報、要配慮個人情報、契約で持ち出しを禁じた資料の入力や、無承認の外部書き込みです。
30日ごとに利用実態と例外を見直す
30日ごとに、新しいAIサービス、利用部門、入力データ区分、例外申請、事故、削減時間を見直します。検知件数の多さだけで担当者を評価せず、承認済み用途へ移せた割合、危険な入力を減らせた割合、相談から判断までの時間を測ります。
新しい利用が見つかったら、直ちに全社禁止へ広げず、業務上の目的、データ、接続、影響、代替を確認します。承認された用途は台帳と教育へ反映し、不要になったアカウントや権限は閉じます。停止と再開の判断を残すことで、次回の棚卸しが早くなります。
生成AIの利用実態を可視化し、業務を止めずに安全なルールへ移したい方は、ラクボのAI顧問・業務自動化支援をご覧ください。自社の棚卸し項目と許可基準を整理する場合は、シャドーAI対策の相談窓口をご利用ください。