シャドーAIは、会社が認めていない生成AIのサービスを、社員が自分の判断で仕事に使っている状態を指す言葉です。総務省の「情報通信白書」（令和8年版）は、社員が個人の判断で AI を業務に使う「シャドーAI」には、入力した機密情報が外に出るなどのリスクがあるとしています。
禁止するか、使い方を決めて認めるかは、使うサービスの契約や設定を確かめたかどうかで分けて決められます。白書は、情報漏えいの対策をした生成AIの環境を会社が用意し、使うときのルールを決めて社内に知らせれば、個人の作業の効率化に安全に使えるようになるとしています。
シャドーAIとは何か
情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026 解説書［組織編］」（2026年3月）は、職場で使える AI サービスが無い場合などに、社員が個人で使っている AI サービスを仕事に使うことを、シャドーAIと呼んでいます。会社が、社員の個人のアカウントでの利用に気づけないことも、リスクとして挙げています。
この解説書は、IPA が毎年選ぶ「情報セキュリティ10大脅威」の2026年版の解説です。2026年版では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。IPA は、この順位は危険度の順ではないと断っています。
起きるきっかけ
IPA の解説書は、きっかけの例として、職場で使える AI サービスが無い場合を挙げています。仕事で使いたい社員がいるのに、会社が使えるものを用意していなければ、社員が個人で使っているサービスで間に合わせることがあります。
会社として生成AIに取り組んでいない企業もあります。白書が引く総務省の調査は、2026年1〜2月に、2025年までにデジタル化に取り組み始めた企業の管理職以上に聞いたもので、日本の有効回答は515です。利用を禁止している企業を除くと、生成AIに「組織的な取組はない」と答えた日本企業は27.0%で、米国、ドイツ、中国より高い割合でした。組織的な取組が無い会社では、使うかどうかや何を入力するかを、社員が個々に判断する場面が増えます。
この27.0%は、無断で使っている社員の割合ではありません。無断利用がどれだけあるかを示す公的な調査は、確認した範囲では見つかりませんでした。
何が起きるおそれがあるか
おもに、入力した情報が会社の外に出ること、個人情報の扱いが法律に触れるおそれがあること、AI の答えを確かめずに使うことの3つです。
入力した情報が会社の外に出る
IPA の解説書によれば、持ち出しが禁止されている業務のデータや資料を AI サービスに入力すれば、情報漏えいにつながります。入力した内容がどう扱われるかは、サービスの規約と設定によって変わります。社員が個人のアカウントで使っていると、会社はその規約も設定も確かめにくくなります。
個人情報の扱いが法律に触れるおそれがある
個人情報保護委員会は2023年6月2日の注意喚起で、本人の同意なく個人データを含む指示文（プロンプト）を入力し、それが応答を出す以外の目的で扱われると、個人情報保護法に違反する可能性があるとしています。そのうえで、提供元がそのデータを機械学習に使わないことなどを十分に確かめるよう、事業者に求めています。入力した内容を学習などに使うサービスに、本人の同意なく顧客の名前や連絡先を貼り付けて文面を作らせる使い方は、これに当たり得ます。
AIの答えを確かめずに使う
AI をよく理解しないまま使って起きる問題として、IPA は情報漏えいのほかに、他人の権利の侵害と、AI が作った結果を確かめずにうのみにして起きる問題を挙げています。生成AIは、実在しない情報を作ることがあります（ハルシネーション）。社員が個人で使っていると、その答えを誰が確かめたのかが残りにくくなります。
禁止するか、使い方を決めるか
使えるサービスを用意しないまま全面的に禁止すると、仕事で使いたい社員が個人のアカウントに戻るおそれがあります。禁止と許可は会社全体で1つに決めず、使うサービスで分けられます。
- 契約や設定を確かめていないサービス、個人のアカウント仕事の情報は入力しない。違反したときの対応まで規程に書く
- 契約や設定を確かめた、会社が用意したサービス入力してよい情報の範囲と、答えの確かめ方を決めて使う
IPA の人材育成プログラムの成果物として公開された手引書（2026年7月）も、厳しすぎるルールは社員がルールを避けて使うことを招き、かえってリスクを高める可能性があるとして、禁止だけでなく代わりの手段とセットでルールを作るよう勧めています。この手引書は、IPA の見解ではないと断っています。
IPA の解説書も、経営者が取る対策として、使うサービスの規定を整えることと、個人のアカウントでの業務利用を制限することを並べています。
最初に決める社内ルール
最初のルールは、次の5つが決まっていれば動き出せます。どれも IPA の解説書が挙げる対策に対応しています。入力する情報と出力の確かめ方は、総務省と経済産業省の「AI事業者ガイドライン」（第1.2版、2026年3月）も、AI を使う側に求めています。
1. 仕事で使ってよいサービスはどれか
会社として契約するサービスか、会社のアカウントで使うサービスを決め、社員に名前で知らせます。個人のアカウントは会社が規約も設定も確かめにくいので、仕事には使わないと決めておきます。
2. 入力してはいけない情報は何か
会社が用意したサービスでも、入力してよい範囲を決め、入力しない情報を例を挙げて書きます。顧客の個人情報を入れてよいかは、利用目的の範囲に収まるかと、提供元が学習などに使わないかを確かめて決めます。取引先から預かった資料は、取引先との取り決めも確かめます。ガイドラインも、個人情報や機密情報を不適切に入力しないよう注意を求めています。
3. 学習に使われない設定と、規約を確かめたか
入力したデータを学習に使わない設定（オプトアウト）があるサービスでは、その設定を全員分そろえます。契約するときは、約款も読みます。
4. AIの答えを、誰がどこまで確かめるか
社外に出す文書や、お金や契約に関わる判断に使う場合は、人が確かめてから使う、というように線を引きます。業務ごとの線の引き方はAXとは？DXとの違いと、中小企業が最初に決めることでも書いています。
5. 迷ったときの相談先と、守られなかったときの対応
入力してよいか迷ったときに聞く相手を、1人決めておきます。規程に違反したときにどうするかも、先に書いておきます。IPA の解説書は、違反時の対応をはっきりさせることと、トラブルに備えて専門家や相談窓口を確保することを挙げています。
生成AIを社内の資料やツールにつなぐ段階に進むと、AI に読ませる範囲や使う権限も決めることになります。そのときに確かめることはMCPとは？AIを社内のツールやデータにつなぐ仕組みと、使う前に確かめることで扱っています。
よくある質問
社員がシャドーAIを使っているか、どうすれば分かりますか
システムの管理者がいる会社では、通信の記録や、クラウドサービスの利用を見える化する仕組み（CASB）で、管理されていない AI サービスの利用を把握する方法を IPA の解説書が挙げています。そうした仕組みが無い会社では、どの業務で何を使っているかを社員に聞くところから始められます。
無料の生成AIは、仕事で使わせない方がいいですか
無料か有料かより、入力した内容が学習に使われるかと、規約で何が決まっているかで判断します。個人情報保護委員会も、利用者に規約やプライバシーポリシーを十分に確かめて判断するよう求めています。学習に使わない設定（オプトアウト）があるサービスなら、その設定で扱いが変わります。
ルールづくりを外に頼むことはできますか
Nue の生成AI導入支援では、業務に生成AIを入れる仕事の一部として、何を入力してよいか、出力をどこまで信じるかを書いた社内向けの利用ガイドラインも作ります。