「社員が個人契約のChatGPTに、顧客リストを貼り付けているかもしれない」。そう思ったとき、確かめる手段を持っている会社はほとんどありません。会社が把握しないまま従業員が生成AIを業務に使う状態は「シャドーAI」と呼ばれ、国内企業の73%が有効に管理できていないという調査結果が2026年6月に出ました。この記事では、全面禁止でも黙認でもない第三の道として、中小企業が社内ルールで引くべき3本の線をまとめます。想定しているのは、IT専任者のいない従業員10〜100名規模の会社です。

承認なしのAI利用、73%の企業が管理できていない

オフィスで働く社員たちのうち数人が、机の陰や個人のスマートフォンでこっそりAIチャットを使っており、離れた席の管理者からは仕切りに遮られてその様子が見えない状態を俯瞰で描いた概念図。マスタード/ゴールドの濃淡とオフホワイトの陰影で統一し、文字は入れない

シャドーAIとは、IT部門や経営者の承認を通さずに、従業員が個人契約のChatGPTなどの生成AIを業務に使うことを指します。シャドー（影）の名のとおり、会社側からは見えません。

ガートナージャパンが2026年6月18日に公表した調査によると、国内企業の75%は、ユーザー部門が自分で選んだ生成AIの利用を一定の範囲で容認しています。ところが同じ調査で、シャドーAIを有効に管理できていない企業が73%にのぼりました。内訳は「利用実態を把握できていない」が43%、「把握はしているが有効な対策を取れていない」が30%。使わせてはいるものの、把握か対策のどちらかが欠けている。この組み合わせが今の多数派です。

しかも対策に着手できている企業は3割にとどまります。社員の善意が、統制の届かないところで日々動いている状態です。

怖いのは悪意ではなく善意です。議事録を早くまとめたい、英文メールを整えたい。仕事熱心な社員ほど手元のAIに頼ります。そこに顧客名や取引条件が混ざったとき、会社は漏えいした事実にすら気づけません。

「全面禁止」がいちばん危ない

大きな禁止の壁が道を塞いでいるように見えるが、壁の下の隙間から水の流れが地下へ潜り込み、管理者の目が届かない場所で流れ続けている断面図ふうの概念図。マスタード/ゴールドの濃淡とオフホワイトの陰影で描き、文字は入れない

それなら社内のAI利用を全部禁止すればいい、と考えたくなります。筆者は逆効果だと考えます。禁止は利用を消すのではなく、見えなくするだけだからです。

会社のパソコンで塞いでも、個人のスマートフォンまでは塞げません。禁止された社員は黙って使い続け、利用は完全に地下へ潜ります。管理不全73%という数字は「容認しているのに見えていない」状態を表していますが、全面禁止はそれを「禁止したのに見えていない」に置き換えるだけ。会社が関与できる余地はかえって減ります。

国の機関も警戒を強めています。IPA（情報処理推進機構）が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」では、組織向け脅威の第3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。初登場でいきなり3位という順位は、AI利用のリスクが「将来の話」ではなく「今年の話」になったことを示しています。承認を通らないAI利用が広がる状況は、この脅威と地続きの問題だと筆者は見ています。

ガートナーの提言も「禁止せよ」ではありません。AI活用を進める部門と、リスクを統制する部門で役割を分ける分業への移行を勧めています。大企業向けの言い回しですが、方向は中小企業も同じです。推進と統制を両立させる。つまり、使わせながら線を引くことです。

中小企業が引く3本の線

1枚のルール表を中心に、鍵のかかった箱（入力してはいけない情報）、会社が用意した整った門構えのAIの入口（法人契約）、その外側に広く取られた自由に使える領域、という3つの要素が線で区切られて並ぶ概念図。マスタード/ゴールドの濃淡とオフホワイトの陰影で統一し、文字は入れない

従業員100名以下の会社なら、分厚い規程は要りません。A4一枚に収まる3本の線で足ります。

線1: 入力してはいけない情報を名指しで決める

最初に決めるのはAIツールの選定ではなく、「何を入力してはいけないか」です。例えば次の3つ。

  • 個人情報（顧客・従業員の氏名、連絡先、マイナンバー）
  • 取引先が特定できる見積書・契約書・メール文面
  • 未公開の財務情報・技術情報・人事情報

「機密情報を入れない」という抽象的な書き方では、現場は判断できません。名指しで書くから守れます。

線2: 会社として使えるAIを用意する

禁止だけして代わりを渡さなければ、社員は個人のAIに戻ります。ChatGPTの法人向けプランやMicrosoft 365 Copilotなどの企業向けサービスは、入力したデータをAIの学習に使わせない契約条件を選べます。1人あたり月数千円の負担で利用を「会社が見える場所」に引き上げられるなら、漏えい一件の後始末よりずっと安い投資です。

線3: 禁止リスト以外は「使ってよい」と言い切る

線1と線2を決めたら、それ以外の利用は認めると明文化します。ここを曖昧にすると、社員は結局こっそり使う道を選びます。「文章の下書き、アイデア出し、公開情報の要約は自由」と書いてあれば、利用は表に出てきます。表に出れば、困りごとも相談も会社に届くようになります。

例えば従業員20名の製造業なら、こうなります。朝礼で「AIは使っていい。ただし図面と取引先名は入れない。会社契約のアカウントを使う」と伝え、A4一枚のルール表を事務所に貼る。かかる手間は、叩き台づくりに半日と周知の15分。73%の側から抜け出すのに、システム投資は要りません。

まとめ: 「見えるようにする」が対策の第一歩

  • 国内企業の75%が部門選定の生成AI利用を容認する一方、73%はシャドーAIを有効に管理できていない（内訳: 把握できていない43%・把握しても対策が取れていない30%。ガートナージャパン・2026年6月調査）
  • 全面禁止は利用を地下に潜らせるだけ。IPA「情報セキュリティ10大脅威 2026」でも組織向け第3位に「AIの利用をめぐるサイバーリスク」が初選出
  • 中小の社内ルールは3本の線から。入力禁止情報の名指し・法人契約AIの用意・それ以外は使ってよいと明文化

ククルデザインでは、群馬県内の中小企業さま向けにAI導入と社内ルールづくりのご相談を承っています。「何を禁止して何を許せばいいのか、そこから決めたい」という段階のご相談も歓迎です。お気軽にお問い合わせください。