「生成AIの業務利用は禁止」と決めた会社で、従業員が個人契約のAIにお客様データを貼り付けてしまった。2026年9月から10月にかけて、国内でこの種の情報漏えいの公表が続きました。禁止ルールを作るだけでは、シャドーAIは減りません。

シャドーAI対策の勘所は、承認済みのAIを使える状態にすること、利用ルールを決めること、利用実態を見つけること、教育で定着させることの組み合わせです。10月23日にはSophosが、承認されていないAIツールも検知する「Sophos AI Defense」の一般提供を始めました。検知の仕組みが製品として出そろい始めた今は、自社の進め方を見直す好機です。

2026年10月時点の公開情報をもとに、定義、リスク、国内事案、検知手段の比較、対策の手順までを一本でたどれるように整理しました。

この記事でわかること

  • シャドーAIの定義と、シャドーITとの違い
  • 情報漏えい・法令・誤情報・権利侵害の4つのリスク
  • 国内で公表された2件の事案と、そこから読み取れる共通点
  • AIエージェントやブラウザ拡張など、2026年に増えた新しい形
  • 検知手段の比較、禁止に頼らない対策の6ステップ、役割別の分担表

全部を順に読む必要はありません。情シス・セキュリティ担当は「見つける手段」と「対策の6ステップ」から、経営層は「国内で起きた事案」と「分業モデル」から、人事は「役割別の分担」と「教育」から読み始めると、目的の情報に早く着きます。

シャドーAIとは会社が把握していないAI利用で、シャドーITより見つけにくい

シャドーAIは、会社が承認していない、またはIT部門が把握していないAIツールを、従業員が業務に使うことです。シャドーITの一種ですが、入力した内容が外部の事業者に渡り、出力の間違いまで業務に入り込む点で、従来のシャドーITとは性質が違います。

使う人に悪意はなく、便利だから使っている

シャドーITは、無断で入れたクラウドストレージやチャットアプリのように、承認されていないソフト・ハード・クラウド全般を指します。シャドーAIは、その中でAI固有のツールや使い方に絞った呼び方です。

違いが出るのは、ツールが「入力を受け取って考える」ことです。ファイル共有サービスなら、置いたファイルは置いた人のものとして扱われます。生成AIでは、貼り付けた文章が回答の生成に使われ、設定によっては学習に使われる可能性があります。しかも出力には誤りが混ざります。

ここで誤解しやすい点があります。「AIに入れた情報は学習されて取り消せない」と断定する解説がありますが、実際は事業者ごとの設定で変わります。後述の国内事案でも、論点になったのは「学習機能が無効だったか」「履歴を削除できたか」「事業者側の担当者が閲覧できた可能性があるか」でした。断定せず、設定と契約を確認する姿勢が正確です。

リスクは4つに分けて考える

シャドーAIのリスクは、次の4つに整理できます。

リスク何が起きるか典型的な場面
情報漏えい個人情報・顧客情報・未公開の技術情報が外部の事業者に渡る顧客リストを表計算ごとアップロードして集計させる
法令・契約違反委託契約や個人情報保護法上の取り扱いを外れる預かった個人データを、委託先が個人契約のAIに入力する
誤情報の混入存在しない根拠や誤った数字が、確認されないまま成果物に入る出力を検証せず、そのまま報告書や契約書案に使う
権利侵害生成物が他者の著作物に似る、または第三者の資料を無断で入力する取引先の資料を要約させる

誤情報の項目は軽く見られがちです。IPAの情報セキュリティ10大脅威 2026では、組織向けの第3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。想定リスクには、AIへの理解不足による情報漏えいや権利侵害に加えて、出力を検証せずに信用してしまう問題が挙げられています。詳細はIPAの発表で確認できます。

国内企業の7割強が十分に管理できていない

管理の実態も数字に出ています。国内企業を対象にした2026年2月の調査では、シャドーAIを十分に管理できていない企業が73%でした。内訳は、利用を把握できていない企業が43%、把握しているが有効な対策がない企業が30%です。有効な対策まで進んでいる企業は24%にとどまります（ITmedia AI+の報道）。

同じ調査で、IT部門が選んだもの以外のAI利用を「審査の上で認める」企業が67%、「自由に認める」企業が8%でした。合計75%は、すでに何らかの形で容認しています。「全面禁止」はもはや多数派の運用ではありません。

国内の事案は通常業務の中で、禁止や周知があっても起きている

直近の国内事案は2件あり、どちらも悪意ではなく業務中の操作が発端でした。ここで書く内容は、公表と報道で確認できた範囲に限ります。特定の企業を評価する目的ではなく、自社で同じ状況が起きうるかを点検する材料として読んでください。

RIZAPの事案は私用アカウントへの誤アップロード

2026年9月3日、RIZAPグループは、子会社の社員が特定保健指導のデータ集計中に、個人で使用する外部の生成AIサービスへ顧客情報を誤ってアップロードしたと公表しました。報道によると、対象は1月1日から8月19日に登録された対象者データの一部で、氏名、生年月日、保険証記号番号、疾患情報などが含まれていました（ITmedia NEWSの報道）。

件数は、委託元の健康保険組合の公表として210名と報じられています。判明のきっかけは社員の自己申告だったと報じられています。対応として、チャット履歴の削除と学習利用の停止、個人情報保護委員会への報告が行われ、再発防止として、許諾していない生成AIの業務利用禁止の再周知、教育の継続、AIマネジメントシステムの導入検討が示されています。

パナソニックの事案は禁止されていたAIへのアップロード

2026年10月23日、パナソニック オペレーショナルエクセレンスが公表した件は、報道によると、子会社の人事情報システム導入プロジェクトのメンバーが、社内で利用が禁止されている外部の生成AIにデータをアップロードしたものです。対象は従業員、元従業員、その家族の4区分で、報道が区分ごとの人数を足し合わせると約33万人規模になります。アップロード時点でAIの学習機能は無効だったとされています（Innovatopiaの解説）。

なお、公式発表の本文は本稿の執筆時点で確認できていません。人数などの数字は、引用する前にパナソニックの公式ページで確認してください。

2件から読み取れるのは禁止だけでは足りない点

2件を並べると、次の共通点が見えます。

  • 悪意のある持ち出しではなく、集計や導入作業という通常業務の中で起きた
  • 個人情報や人事情報など、取り扱いに注意が必要なデータが対象
  • 論点に「学習機能が無効だったか」「履歴を削除できたか」「事業者側の閲覧可否」が挙がった（事業者側の閲覧可否はRIZAPの事案）
  • RIZAPの再発防止として、禁止の再周知と教育の継続が示された

パナソニックは禁止されていたAIへのアップロードでした。RIZAPが禁止ルールを明言していたかは、報道の範囲では確認できません。再周知と教育の継続を再発防止に挙げている点は、周知だけでなく日々の業務で使える手段や教育が要ることを考える材料になります。各社の実際の運用は、公表内容から分かる範囲を超えて推測しないでください。

もう一つの示唆は、データを扱うプロジェクトや委託の現場にこそ、承認済みで使える代替手段が必要ということです。集計や要約は、AIが最も便利に使える作業です。手元に承認済みの手段がなければ、個人のアカウントに流れます。

AIエージェントやブラウザ拡張など、見えにくい形が増えた

2026年は、シャドーAIが「ブラウザのチャット画面に貼り付ける」形だけではなくなりました。

新しい形何が見えにくいか
AIエージェント指示を受けると自律的にツールを呼び、ファイルやSaaSに触れる。誰の権限で何をしたかが追いにくい
ローカルのエージェントとMCP端末上のAIがMCPサーバー経由でローカルファイルやSaaSに直接触れる。ブラウザ型と監視の仕方が違う
AI関連のブラウザ拡張画面の内容を読む権限を持つ拡張が、従業員の判断で入る
個人契約・無料プラン業務用IDではなく個人アカウントで使うため、会社のログに残らない

数字も出ています。ベンダーのブログが引用する調査では、AI関連のブラウザ拡張の約75%が高度または重要な権限を要求し、企業のAI関連のやり取りの47%が個人のアカウント経由でした（Akamaiのブログ）。母数と期間は示されていないため、傾向を示す参考値として扱ってください。

Sophosの発表では、シャドーAIエージェントを自環境で見つけた組織が82%とされていますが、この数字も母数が不明です。確かなのは、検知製品の側がエージェントを対象にし始めたという事実です。

公的な枠組みも動いています。経済産業省と総務省のAI事業者ガイドライン（PwCの解説）は、2026年3月公表の第1.2版でAIエージェントを追加したとされています。連携先と権限の適切な制限、人間の判断を介在させる仕組み、操作履歴の定期確認が利用上の留意点です。ただし従業員の私的な利用の管理を直接論じる記述は確認できていないため、社内ルールは自社で設計する必要があります。エージェントの権限設計はAIエージェントの権限管理の記事で詳しく扱っています。

シャドーAIを見つける手段は端末・通信・ID・ブラウザの4層で、見える範囲が違う

検知は1つの製品で完結しません。端末、通信、ID、ブラウザの4つの層のうち、自社が何をすでに持っているかを確認し、足りない層から補うのが現実的です。

検知手段ごとの見える範囲と弱点

検知の層見えるもの見えにくいもの前提になりやすい仕組み
通信（SWG・CASB）社内ネットワークや管理端末から生成AIサイトへのアクセス社外ネットワークの私物端末、暗号化された通信の中身プロキシ、ゲートウェイ、CASB
ID（IdP・SaaS管理）業務IDで連携したAIサービス、OAuthで許可された外部アプリ個人のメールアドレスで作ったアカウントIdP、SaaS管理ツール
端末（EDR・拡張機能管理）インストールされたAIアプリ、ローカルのエージェント、ブラウザ拡張私物端末、ブラウザ内だけで完結する利用EDR、MDM、拡張機能の管理
ブラウザ（DLP・拡張）貼り付けやアップロードの瞬間、入力内容の検査ブラウザ以外の経路ブラウザ拡張、エンドポイントDLP

通信は「どこにつないだか」、IDは「誰の権限でつないだか」、端末は「何が動いているか」、ブラウザは「何を入力したか」を見ます。1層だけでは、必ず死角が残ります。

どの層から補うかは、手元の資産で決めます。すでにプロキシやCASBがあるなら、まず通信ログで生成AIサイトへのアクセスを集計します。IdPを使っているなら、OAuthで許可された外部アプリの一覧を出すだけでも、業務IDと連携したAIが見つかります。どちらもない会社は、端末の拡張機能の一覧と匿名アンケートが最も安く始められる入口です。入力内容そのものを見たいときは、ブラウザ層のDLPに進みます。

公式ドキュメントに書かれた導入条件

製品の資料には、機能の前に条件が書かれています。確認できた範囲で整理します。

Microsoft PurviewのDSPM for AI（従来版の解説ページ）では、サードパーティ生成AIサイトへの機密情報の共有を可視化するために、端末をPurviewにオンボードする必要があります。Edge連携にはEdgeの構成ポリシー、WindowsでChromeのエンドポイントDLPを使うにはPurviewのブラウザ拡張が必要です。既定のポリシー例には、AIサイトへの貼り付けやアップロードの検出（監査モード）があります（Microsoft Learn）。M365 Copilot以外のAIアプリの扱いには従量課金の設定が必要です。画面や名称は更新されているため、導入時は最新の公式ドキュメントで条件を確認してください。

Sophos AI Defenseは、デバイス、ネットワーク、アイデンティティ、ブラウザの4層からシグナルを集め、承認されていないAIツールも含めて検知し、ポリシーを適用すると説明されています。プロンプトやアップロードを発生時点で検査する仕組みもあります。Sophos Fusion経由で提供され、既存のSophos XDR/MDRのワークフローで調査・対応します（プレスリリース）。価格や提供条件は、公開情報からは確認できていません。

CASB/SSE製品の多くも、生成AIアプリの発見と統制、DLPによる機密情報の流出防止を機能に掲げています。ただし、製品ごとの検知範囲や精度を第三者が比較した公開情報は、現時点で確認できていません。導入を検討する場合は、自社の環境で試用して、検知できる範囲を確かめるのが確実です。

ツールを入れても止められない範囲がある

正直なところ、製品を入れるだけでは解決しません。止められる範囲には限りがあります。

  • 私物のスマートフォンから個人のアカウントで使われると、会社の通信にも端末にも残りません
  • 検知は「使われた」ことを教えるだけで、「なぜ使ったか」は教えてくれません
  • 検知した利用をすべてブロックすると、現場は別の経路を探します

検知の目的は、取り締まりではなく実態の把握です。何がどの部門で使われているかが分かれば、承認済みツールで代替すべき用途の優先順位が決まります。

禁止に頼らない対策は承認・ルール・検知・教育の組み合わせで作る

シャドーAI対策は、禁止ルールを一つ置くのではなく、使える手段、使い方のルール、見つける仕組み、教育を同時に整えることで成立します。順番を間違えなければ、特別な製品がなくても着手できます。

管理を3つの区分に分ける分業モデル

国内企業向けの提言では、「IT部門が選んだAIだけを使う」方針の見直しと、完全な管理から責任ある活用への転換が示されています。具体的には、利用を3つの区分に分けます。

  1. 全社標準: IT部門が契約・設定・管理を一貫して行うAIです。全社員が使えます
  2. 部門ごとの審査: 必要性に応じて部門が審査・運用するAIです。専門業務向けです
  3. 認定ユーザーの個人利用: 研修やテストで認定された人だけが個人で使うAIです。リテラシーとリスク感覚の高い人が多い企業に限り、慎重に進めます

3つ目は、誰にでも開く区分ではありません。運用は、採用時の審査と許可、利用中のモニタリング、定期的な棚卸しの3段階で回します。

全員に同じルールを課すと、厳しすぎて破られるか、緩すぎて意味がなくなります。区分を分けると、「ここまでは自由」「ここからは審査」という線を引けます。

6ステップで進める導入手順

進め方を番号順に示します。

  1. 現状を測る: 通信ログ、ID連携の一覧、端末の拡張機能を調べ、すでに使われているAIを洗い出します。あわせて匿名の利用アンケートを取ります。聞くのは「使っているAI」「用途」「入れたデータの種類」の3点で十分です。「責めない」と明示しないと、正直な回答は返ってきません
  2. 扱うデータを3段階に分ける: 公開情報、社内限定情報、個人情報・機密情報に分け、それぞれ入力してよいAIを決めます。ここが利用ルールの核です
  3. 承認済みツールを用意する: 現場で多い用途（要約、文章作成、集計、コード補助）を先に洗い出し、会社契約のAIで代替します。入力データを学習に使わない設定と履歴の保存期間は、契約で確かめます
  4. 利用ルールを1枚にまとめる: 使ってよいツール、入れてはいけないデータ、新しいツールを使いたいときの申請先を、1枚で読める量に絞ります
  5. 検知とモニタリングを入れる: 前章の4層から、自社にない層を補います。まず監査モードで実態を見て、ブロックは影響の大きい用途から段階的に始めます
  6. 棚卸しを定期化する: 四半期ごとに、新しく使われ始めたAI、承認済みの利用状況、申請の件数を確認します。AIエージェントやブラウザ拡張も対象に入れます

ステップ3を後回しにすると、禁止だけが先にあり代わりの手段がない状態になりがちです。その状態では、集計や要約のような便利な作業が、個人のアカウントに流れやすくなります。

コーディング用のAIエージェントのように、端末上で動く承認済みツールを使う場合は、権限や設定ファイルでの制限も欠かせません。具体例はClaude Codeのセキュリティルールの記事にまとめています。

AIセキュリティの方針づくりでは、ガイドラインの文面だけでなく、承認済みツールの選定、権限設計、検知の運用まで一体で設計する必要があります。当協会は、AIセキュリティ対策・生成AIガイドライン策定支援で、自社の利用実態の整理からルール整備までを一緒に進めています。

役割別に何をやるか

誰が何を持つかが曖昧だと、対策は誰のものでもなくなります。

役割持つもの最初にやること
経営層方針と予算、リスクの許容範囲の決定「全面禁止」か「管理しながら使う」かを明言し、承認済みツールの予算を確保する
情シス・セキュリティ承認済みツール、検知、棚卸し、初動対応利用実態の洗い出しと、データ区分ごとの利用ルール作成
人事入社・異動時の教育、就業規則、懲戒の考え方入社時と異動時に利用ルールの説明を組み込み、規程に位置づける
部門長・プロジェクト責任者部門内の用途の審査、委託先への周知委託先や外部メンバーを含め、AI利用の可否を契約・キックオフで確認する
法務・個人情報の担当契約と法令の確認、事案時の報告判断個人データを扱う業務で使えるAIの条件を整理する

パナソニックの事案はプロジェクトのメンバーによるものでした。部門長の行は、委託先や外部メンバーが多い現場ほど外せません。

教育は禁止事項の暗記ではなく判断力を育てる

ルールを配るだけでは、従業員は「何が危ないのか」を判断できません。教育では、データを3段階に分けて「このデータはこのツールに入れてよいか」を判断する練習が効きます。

  • 顧客名簿を集計したいとき、どのAIなら使えるか
  • 個人のアカウントでAIを使っている同僚を見たとき、誰に何を伝えるか
  • AIの出力を、顧客への提出物にそのまま使ってよいか

こうした場面を題材にした演習なら、現場の行動が変わります。社内研修の設計は生成AIの社内研修カリキュラムの記事を参考にしてください。外部の研修を使う場合は、非エンジニアの職種を含めて利用ルールを浸透させる非エンジニア向けAI導入・DX法人研修が選択肢になります。

見つかったときの初動は責める前に範囲を確かめる

利用が見つかったときの対応も、事前に決めておきます。

  1. 利用を止めさせる前に、いつから、誰が、どのAIに、何を入力したかを聞き取ります。画面のスクリーンショットや履歴が残っているうちに集めておくと、後の確認が楽です
  2. 入力されたデータに個人情報や取引先の機密が含まれていないか確認します
  3. 事業者の設定（学習への利用、履歴の保存、削除の可否）を確認し、履歴の削除や学習利用の停止を依頼します
  4. 個人データが含まれる場合は、法務と連携し、個人情報保護委員会への報告などの要否を判断します
  5. 代替できる承認済みツールを案内し、原因となった業務の手段を整えます

最初に責めると、次の利用者は隠します。隠される状態が、最も検知しにくいシャドーAIです。

よくある質問

Q. シャドーAIとシャドーITは何が違いますか？

シャドーITは未承認のソフトやクラウド全般、シャドーAIはその中のAIツールの無断利用です。AIは入力内容が事業者に渡り、出力の誤りも業務に混ざる点が追加のリスクになります。

Q. 生成AIの業務利用を全面禁止にすればよいですか？

禁止だけでは減りません。国内企業の75%が、IT部門以外が選んだAIを何らかの形で容認しています。承認済みのツールを用意し、データ区分ごとのルールと組み合わせるのが現実的です。

Q. シャドーAIの検知には何から始めればよいですか？

すでにある通信ログ、IdPのログ、端末の管理情報から、使われているAIを洗い出すところからです。次に、足りない層をブラウザのDLPや検知製品で補います。

Q. 従業員が個人のアカウントで業務データを入力してしまったらどうしますか？

利用を責める前に、入力された内容を聞き取り、事業者の学習設定と履歴の削除を確認します。個人データが含まれる場合は、法務と報告の要否を判断します。

Q. AIエージェントやブラウザ拡張もシャドーAIに含まれますか？

含まれます。会社が把握していないAIエージェントや、AI機能を持つ拡張機能も対象です。棚卸しの対象に入れ、連携先と権限を確認する運用が必要です。

まとめ

最初の一手は、利用実態の洗い出しと、現場で多い用途の承認済みツールでの代替です。禁止の再周知より先に、使える手段を用意してください。

次に、データを3段階に分けた利用ルールを1枚にまとめ、監査モードで検知を始めます。ブロックや処分の議論は、実態が見えてからで間に合います。

最後に、四半期ごとの棚卸しにAIエージェントとブラウザ拡張を加えます。新しい形は毎月増えるため、仕組みは一度作って終わりにはなりません。

自社の利用実態の整理からルール整備、検知の運用設計までは、AIセキュリティ対策・生成AIガイドライン策定支援で一緒に進められます。

次に読みたい関連記事