シャドーAIとは｜情シスが把握していない生成AI利用
シャドーAIとは、会社（情報システム部門）が把握・承認していない生成AIの業務利用のことです。典型的な5つのパターン、起きる理由、情報漏えい・費用・統制の面でのリスク、シャドーAIの兆候の見つけ方、把握の進め方までを、情シス・DX推進の担当者向けに解説します。
シャドーAIとは、会社（情報システム部門）が把握・承認していない生成AIの業務利用のことです。社員が個人のアカウントで無料版のチャットサービスを使う、部署が独自にクレジットカードで API を契約する、といった形で起こります。本人に悪気はなく、業務を効率化したいという動機で使っていることがほとんどです。
問題は、利用そのものより会社が把握できていないことにあります。何の情報が入力されているか、費用がいくらかかっているか、誰の手元に APIキーがあるかが分からなければ、リスクの評価も対策もできません。この記事では、シャドーAIの典型的なパターン、起きる理由、リスク、見つけ方を説明します。対策は「シャドーAI対策｜禁止ではなく公式経路への誘導」、全体像は「生成AIの全社導入 完全ガイド」を参照してください。
シャドーAIの典型的な5つのパターン
| # | パターン | 例 |
|---|---|---|
| 1 | 個人アカウントの無料版 | 社員が私用のアカウントでチャットサービスを使い、業務の文章を入力する |
| 2 | 個人契約の有料版 | 社員が自費で有料プランを契約し、業務に使う |
| 3 | 部署独自の契約 | 部署が会社のクレジットカードで、情シスを通さずにサービスや API を契約する |
| 4 | 管理されていない APIキー | PoC で発行したキーが、そのまま本番や別の用途に使われ続ける |
| 5 | 生成AIを組み込んだ外部サービス | 翻訳・議事録・資料作成などのサービスが、内部で生成AIを使っている |
見落とされやすいのは3〜5です。会社の費用で払っているのに情シスが把握していないという状態は、個人利用よりも規模が大きくなりやすいパターンです。
シャドーAIが起きる理由
| 理由 | 具体例 |
|---|---|
| 会社の経路がない | 生成AIの利用が禁止されている、または会社のサービスが用意されていない |
| 会社の経路が使いにくい | 使える機能が限られる、申請の手続きが面倒 |
| 承認に時間がかかる | 利用申請から承認まで数か月かかる |
| ルールが分からない | 何が許されているかが不明で、聞く先も分からない |
| 手軽さ | 個人のアカウントなら数分で使い始められる |
多くの場合、シャドーAIは「使いたいのに、会社の経路がない・使いにくい」ことの裏返しです。禁止を強めるほど、見えないところでの利用が増えます。
シャドーAIのリスク
| 観点 | リスク |
|---|---|
| 情報漏えい | 機密情報・個人情報が、学習に使われる設定のサービスや、規約を確認していないサービスに入力される |
| 費用 | 部署独自の契約や管理されていない APIキーで、会社の費用が把握されないまま増える |
| APIキー | 持ち主不明のキーが残り、漏えいしても気づけない |
| 統制 | ルールや監査の対象外になり、インシデントが起きても把握・対応ができない |
| 品質 | 確認の手順を経ずに生成物が業務に使われる |
シャドーAIの兆候の見つけ方
シャドーAIは、直接見つけるのが難しいため、兆候から推測するのが現実的です。
| 兆候 | 見る場所 |
|---|---|
| 生成AI関連の支払い | 経費精算・法人カードの明細に、生成AIのサービス名がある |
| 会社の経路の利用が少ない部署 | 会社の経路の部署別の利用量で、使われていない部署がある |
| 知らない APIキー | プロバイダの管理画面や利用量のデータに、台帳にないキーがある |
| 通信の記録 | ネットワークの記録に、生成AIのサービスへのアクセスがある |
| 社員の声 | アンケートや聞き取りで、個人のアカウントでの利用が分かる |
会社の経路の利用量から推測する
会社の経路の利用量を部署別に見ると、業務内容から考えて使っていそうなのに、利用が少ない部署が見つかることがあります。そうした部署では、会社の経路が業務に合っていないか、個人のアカウントで使っている可能性があります。責めるのではなく、理由を聞くきっかけにします。
台帳にない APIキー
会社として契約している API の組織・アカウントの中に、台帳にないキーがあれば、それは把握されていない利用です。利用量のデータにキーの一覧が出るようにしておくと、新しいキーが使われ始めたことにすぐ気づけます。
把握の進め方
| 段階 | やること |
|---|---|
| 1. 実態の棚卸し | 経費・カード明細の確認、部署への照会、アンケートで利用の実態を集める |
| 2. 経路の整理 | 会社として契約している経路と、個人・部署独自の経路を分ける |
| 3. 会社の経路の利用状況を見る | 部署別の利用量を見て、使われていない部署を確認する |
| 4. 継続的に見る | 月次で、新しいキー・利用量の少ない部署・新しい支払いを確認する |
棚卸しの段階で、利用を申告した社員や部署を責めないことが大切です。責めると次から申告されなくなり、実態がさらに見えなくなります。
シャドーAIの実態を把握するアンケートの例
利用実態を集めるアンケートの設問の例です。匿名で回答できるようにし、回答した内容で責めないことを明記します。
| 設問 | 選択肢・記入の例 |
|---|---|
| 業務で生成AIを使ったことがありますか | 毎日／週に数回／月に数回／使ったことがない |
| 使っているサービスは何ですか | 会社のサービス／個人アカウントの無料版／個人契約の有料版／その他（自由記入） |
| 何の業務に使っていますか | 文章の作成／要約／翻訳／調べもの／プログラム／その他 |
| 会社のサービスを使わない理由は | 知らなかった／機能が足りない／手続きが面倒／その他 |
| 会社に用意してほしいものは | 自由記入 |
「会社のサービスを使わない理由」の回答は、公式経路を改善するための最も重要な情報です。
情シスと利用部門の認識のずれ
シャドーAIが広がる背景には、情シスと利用部門の認識のずれがあります。
| 情シスの認識 | 利用部門の認識 |
|---|---|
| 申請すれば使える | 申請の方法が分からない、時間がかかる |
| 個人アカウントは禁止している | 禁止とは知らなかった、少しなら大丈夫だと思った |
| 会社のサービスで十分 | 機能が足りない、使いにくい |
ずれを埋めるには、ルールの周知と、利用部門の声を公式経路の改善に反映する仕組みが必要です。
よくある質問
Q. シャドーAIを完全になくすことはできますか？ 完全になくすのは困難です。目標は、会社の経路を使いやすくして大半の利用を移し、残りを兆候から把握できる状態にすることです。
Q. 生成AIを組み込んだ外部サービスも対象ですか？ 対象として考えます。サービスの内部で生成AIが使われていれば、入力した情報がどこで処理されるかを確認する必要があります。サービスの導入時の審査で確認します。
Q. 通信を遮断すればよいのでは？ 会社のネットワークで遮断しても、個人のスマートフォンや自宅からの利用は防げません。遮断だけに頼ると、かえって見えない利用が増えます。
まとめ
- シャドーAIは、会社が把握・承認していない生成AIの業務利用。問題は利用より「把握できていないこと」
- 個人の無料版・個人の有料版・部署独自の契約・管理されていないキー・生成AIを組み込んだ外部サービスの5パターン
- 起きる理由の多くは、会社の経路がない・使いにくい・承認が遅いこと
- 兆候は、支払い・会社の経路の利用量が少ない部署・台帳にないキーから推測する。申告を責めない
ManageAIは、会社として契約している5プロバイダの利用量を部署別に可視化し、収集で見つかった新しいAPIキーを自動で一覧に載せます。会社の経路が使われていない部署や、台帳にないキーから、シャドーAIの兆候をつかめます。モニター企業を募集中です。
関連記事
次に読む
この記事を書いた人
モニター企業募集
初期費用0円・月額5万円（税別）
先着5社・2026年11月末まで
5プロバイダの利用量と費用を部署・利用者・APIキー別に可視化。読み取り専用キーの登録だけで当日から始められます。
募集要項を見る資料請求・お問い合わせ