シャドーAIへの対策

執筆：石田誠更新 2026-11-12制度の最終確認 2026-11-12出典 5件図解 2点

この記事の結論

シャドーAIへの対策は、禁止だけに頼らず、会社として使えるAIを用意し、利用ルールと入力してよい情報を決め、利用状況を把握して見直す流れで進めると定着します。

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

シャドーAIとは、会社が許可・把握していないAIサービスを、社員が業務に使うことです。便利な道具を早く使いたいという前向きな動機から起きることが多いため、叱るだけでは解決しにくい問題です。この記事では、IPA（情報処理推進機構）の資料と個人情報保護委員会の注意喚起にそって、対策の進め方を整理します。

この記事でわかること

シャドーAIで起きやすい問題と、起きる理由
「把握する・用意する・決める・伝える・見直す」の5つの対策
個人情報を扱う場合に確かめること

シャドーAIは、なぜ問題になるのですか？

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。解説書では、その中のリスクの一つとしてシャドーAIが挙げられています。社員が個人的に利用しているAIサービスを業務に使い、社外への持ち出しが禁じられたデータを入力してしまうこと、そして会社の側が個人のアカウントでの業務利用を把握しにくいことが説明されています。

整理すると、問題は次の3つです。

問題	内容
情報の流出	社外秘の資料や顧客の情報が、会社の管理外のサービスに入力される
出力の確かめ不足	AIがもっともらしい誤り（ハルシネーション）を出し、確かめずに使われる
見えないこと	どのサービスに何が入力されたかを会社が説明できず、事故のときに対応が遅れる

シャドーAIは、なぜ起きるのですか？

起きる理由は、多くの場合、悪意ではありません。

会社として使えるAIがない：使ってよい道具がないため、個人のアカウントで試します。
ルールが分からない：何を入力してよいか、どのサービスならよいかが示されていません。
申請の手間が大きい：導入を申請しても時間がかかるため、手元で始めてしまいます。

もともと、会社が把握していないITサービスの利用は「シャドーIT」と呼ばれてきました。総務省のクラウドの設定に関するガイドラインも、事業部門が独自にクラウドを使う場合のルールを定め、無許可の利用を把握し抑えることを挙げています。シャドーAIは、シャドーITと同じ考え方に、AIに特有の「入力した情報の扱い」と「出力の確かめ」を加えて備えると整理できます。

シャドーAIへの備え方

シャドーAIへの備えシャドーITと同じ考え方を土台にします

＝

シャドーITと同じ備え独自に使う場合のルールを定め、無許可の利用を把握し抑える

入力した情報の扱いAIに特有の論点

出力の確かめAIに特有の論点

何から対策すればよいですか？

IPAの解説書が挙げる対策をもとに、5つの手順に整理します。

① 把握する。 まず、いまの利用の状況を知ります。聞き取りやアンケートで、誰がどのサービスを何に使っているかを集めます。IPAの解説書は、IT資産と構成を管理し、通信の記録やCASB（クラウドの利用を見える化する仕組み）などでAIサービスの利用状況を把握することを挙げています。把握の目的は責めることではなく、必要な道具を知ることだと伝えると、正直な回答が集まりやすくなります。

② 用意する。 会社として使えるAIサービスを用意します。法人向けのプランでは、入力した情報を学習に使わない設定（オプトアウト）や、管理者が利用者を管理できる機能を確かめます。IPAの解説書は、外部のサービスで入力データを学習に使わない設定を徹底すること、契約のときに約款を確かめることを挙げています（「法人向けの生成AIツールの選び方」参照）。

③ 決める。 利用ルールを定めます。IPAの解説書は、利用を許可するAIサービスを検討したうえで未承認のサービスの利用を禁止すること、個人のアカウントでの業務利用を制限すること、規程に違反したときの対応を明確にすることを挙げています。あわせて、入力してはいけない情報の一覧を作ります（「生成AIの利用ルールの作り方」参照）。

④ 伝える。 研修で、社内の秘密情報を安易に入力しないこと、AIの出力が正しいとは限らないこと、AIに頼りすぎないことを伝えます。新しいサービスを使いたいときの申請の窓口も、あわせて知らせます。

⑤ 見直す。 利用状況を定期的に確かめ、要望の多いサービスや機能を検討の候補に加えます。ルールは一度作って終わりにせず、サービスの変化に合わせて直します。

シャドーAIへの対策の5つの手順

把握する誰がどのサービスを何に使っているかを集める。目的は責めることではなく、必要な道具を知ること
用意する会社として使えるAIサービスを用意し、学習に使わない設定と約款を確かめる
決める許可するサービス、個人のアカウントでの業務利用の制限、違反時の対応、入力してはいけない情報
伝える秘密情報を安易に入力しない、出力が正しいとは限らない、頼りすぎない。申請の窓口も知らせる
見直す利用状況を定期的に確かめ、要望の多いサービスを検討の候補に加える

AIサービスのアカウントには、多要素認証も使います。IPAの解説書は、AIを悪用した不正アクセスやなりすましに備えて、多要素認証を徹底することを挙げています。

個人情報を扱う場合は、何を確かめますか？

個人情報保護委員会は、2023年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しています。事業者向けには、次の点が示されています。

個人情報を含む指示（プロンプト）を入力するときは、特定した利用目的を達成するために必要な範囲に収まるかを十分に確かめること
本人の同意なく個人データを含む指示を入力し、その個人データが応答の出力以外の目的で扱われた場合、個人情報保護法に違反するおそれがあること。そのため、入力の前に、サービスの提供者が個人データを機械学習などに使わないことを確かめること

会社が把握していないサービスでは、こうした確認ができません。 個人情報を扱う部署（営業・人事・顧客対応など）から先に、使えるサービスとルールを用意すると、リスクを下げやすくなります。詳しくは「生成AIと個人情報の扱い」をご覧ください。個別の判断は、専門家にご確認ください。

チェックリスト

よくあるご質問

QシャドーAIとシャドーITは、何が違いますか？

AシャドーITは、会社が許可・把握していないITサービスの業務利用を広く指す言葉です。シャドーAIは、そのうちAIサービスに当たるものです。AIでは、入力した情報がサービスの側で扱われる点や、出力を確かめずに使う点が加わるため、利用ルールに入力してよい情報と出力の確かめ方を入れておくことが大切です。

Q生成AIの業務利用を全面的に禁止すれば、シャドーAIはなくなりますか？

A禁止だけでは、個人のアカウントでの利用が見えにくくなることがあります。IPAの解説書は、利用を許可するAIサービスを検討したうえで未承認のサービスの利用を禁止し、利用規程を整える対策を挙げています。使える道具を用意することと、ルールを決めることを組み合わせると定着しやすくなります。

Q社員が個人情報を生成AIに入力してしまった場合、どう考えればよいですか？

A個人情報保護委員会は、個人データを含む指示を本人の同意なく入力し、それが応答の出力以外の目的で扱われた場合、個人情報保護法に違反するおそれがあると注意を促しています。入力したサービスの学習への利用の設定や規約を確かめ、社内の報告の流れにそって対応します。判断に迷う場合は、専門家にご相談ください。

この記事に出てくる用語

「基盤とセキュリティ」のほかの記事

この柱の解説 →

広げる　／　基盤とセキュリティAIと社内システムをAPIでつなぐ基本：仕組み・手順・安全の確かめ方石田誠2026-11-12 広げる　／　基盤とセキュリティAIのセキュリティの基本：AIへの攻撃とAIを使った攻撃への備え石田誠2026-10-26 定着させる　／　基盤とセキュリティAIの運用（MLOps・LLMOps）の基本：作った後に品質を保ち続ける仕組み石田誠2026-11-12

出典

最終確認日：2026-11-12

次の一歩

測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。