シャドーAIとは？企業のリスクと対策・社内ルールの作り方を解説
シャドーAIとは、会社が把握・承認していない生成AIを、社員が業務で使うことです。
便利さから広がりやすい一方、入力した機密情報が社外のサービスで処理・保存されるリスクがあります。
この記事では、リスクと実態、禁止だけに頼らない対策の手順、ツールと社内ルールの作り方を公式資料をもとに図解します。
この記事は以下のような人におすすめ！
- 社員の生成AI利用をどう管理するか悩んでいるIT担当者
- シャドーAIのリスクを上司や社内に説明したい人
- 社内のAI利用ルールを作る・見直す人
シャドーAIとは何か
1-1. 会社が把握していない生成AIの業務利用
シャドーAIは、情報システム部門や管理者の承認を受けずに、社員が生成AIのサービスやツールを業務に使うことを指す言葉です。
たとえば、会社が契約していない無料のチャットAIに会議の議事録を貼り付けて要約させる使い方が、典型的な例です。
個人のスマートフォンやアカウントでAIを使い、その結果を業務の資料に使う場合も、会社から見えない利用という点では同じです。
ブラウザーの拡張機能や、普段使っているアプリに後から加わったAI機能を、確認しないまま業務データに使うケースも含めて考えると、範囲がつかみやすくなります。
生成AIそのものの仕組みや基本的な使い方は、次の記事で紹介しています。
次の図は、会社が承認したAIと、承認していないAIの違いを1枚にまとめたものです。
承認したAIでは、契約や管理者の設定、アカウントの管理、利用の記録が会社の管理下にあります。
一方シャドーAIでは、入力した業務データの扱いがそれぞれのサービスの規約しだいになり、会社は何が入力されたかを把握できません。
多くの場合、社員に悪意はなく、「仕事を早く終わらせたい」という前向きな理由で使われている点が、この問題の難しいところです。
シャドーAIの問題は「AIを使うこと」そのものではなく、会社が把握・管理できない場所に業務データが渡ることです。
1-2. シャドーITとの違いと、利用の実態
会社が把握していないIT機器やクラウドサービスを社員が使うことは、以前から「シャドーIT」と呼ばれてきました。
シャドーITの定義や一般的なリスクは、次の記事でくわしく解説しています。
シャドーAIはシャドーITの一種ですが、生成AIならではの特徴があります。
ファイル共有サービスなら「どのファイルを置いたか」が問題になりますが、生成AIでは会話の中で文章を貼り付けるだけで、業務データが社外に送られます。
しかも要約や翻訳、文章作成など、ほぼすべての職種の仕事に使えるため、特定の部署だけでなく会社全体に広がりやすい点も違いです。
Microsoft Purviewの資料も、AIは情報を素早く探し出せるため、過剰な共有や情報漏えいの問題とリスクを大きくすると説明しています（参考3）。
2つの違いを表にまとめます。
| 比べる点 | シャドーIT | シャドーAI |
|---|---|---|
| 主な対象 | 未承認のクラウドサービス、私物の端末やアプリ | 未承認の生成AIサービス、AI機能、拡張機能 |
| 情報が出ていくきっかけ | ファイルの保存や共有 | 文章の貼り付け、ファイルの添付、AIへの依頼 |
| 広がり方 | 特定の業務や部署 | 要約や翻訳など、ほぼすべての職種 |
| 特有の問題 | 管理外の場所へのデータ保存 | 入力の保存や学習への利用、回答の誤り |
では、利用の実態はどうでしょうか。
MicrosoftのシャドーITのチュートリアルは、IT管理者が社員の使うクラウドアプリを30〜40個程度と見積もるのに対し、実際には平均で1,000を超えるアプリが使われていると説明しています（参考1）。
同じ資料では、社員の80%が、だれも確認していない未承認のアプリを使っているとも述べています（参考1）。
これらはAIに限らないクラウドアプリ全体についてのベンダーの説明で、調査の時期や方法は資料に書かれていないため、目安として受け止めるのが適切です。
それでも、管理者の想定と実際の利用に大きな差が生まれやすいという点は、生成AIにもそのまま当てはまります。
同じ資料は、未承認のアプリが、承認済みのアプリでは対応できていない正当な業務のために使われていることが多いとも指摘しています（参考1）。
つまりシャドーAIは、社員が必要としている機能を会社がまだ用意できていない、というサインでもあります。
シャドーAIの主なリスク
2-1. 入力した情報が社外で処理・保存される
いちばん大きなリスクは、生成AIに入力した情報が、会社の外にある提供元のサーバーで処理されることです。
次の図は、生成AIに入力したデータがどう扱われるかを、3つの行き先に分けて示したものです。
クラウド型の生成AIサービスでは回答を作るために入力が提供元へ送られ、問題になるのは「その後、保存されるか」「学習に使われるか」です。
例としてOpenAIのAPI（開発者がアプリからAIを呼び出すための接続口）の資料を見ると、2023年3月1日以降、APIに送られたデータは、利用者が明示的に同意しない限りモデルの学習や改善に使わないとしています（参考6）。
一方で同じ資料は、不正利用を監視するためのログが既定ですべてのAPI利用について作られ、入力や回答の内容を含むことがあり、最大30日保存されるとも説明しています（参考6）。
法律で必要な場合などには、それより長く保存されることがあるとも書かれています（参考6）。
監視ログの対象から自社の入力を外す設定は、事前に承認を受けた顧客に限られると説明されています（参考6）。
このように、同じ提供元でも「どの窓口から、どの契約で、どの設定で使うか」によって、データの扱いは変わります。
個人向けのアプリや他社のサービスが同じ扱いになるとは限らないため、シャドーAIでは、社員が使ったサービスでデータがどう扱われたかを会社が説明できなくなります。
取引先から預かった情報や個人情報を入力した場合は、契約や社内規程に反するおそれもあります。
学習に使われない設定でも、不正利用の監視などのために入力が一定期間保存される場合があるため、「学習されないから安全」とは言い切れません。
2-2. 権限の外への広がり、回答の誤り、記録が残らない問題
2つ目のリスクは、会社のアクセス権や機密ラベルで守られている情報が、その保護の範囲の外へ持ち出されてしまうことです。
会社が承認したAIには、利用者がアクセス権を持たないデータを返さないよう、既存の制御を使えるサービスがあります。
たとえばMicrosoft Purviewの資料では、対応するAIアプリは、利用者がアクセスできないデータを返したり大規模言語モデルに使わせたりしないよう、既存の制御を使うと説明しています（参考3）。
機密ラベルで暗号化された文書なら、閲覧と抽出の利用権を持つ利用者にだけ、AIが内容を返す仕組みです（参考3）。
シャドーAIでは、こうした会社のアクセス権やラベルの仕組みの外で、社員が手元の資料をそのまま貼り付けるため、権限による歯止めがききません。
アクセス権の基本的な考え方は、アクセス制御の記事で解説しています。
3つ目は、AIの回答の誤りです。
生成AIはもっともらしい誤った内容を答えることがあり、確認のルールがないまま顧客向けの文書や判断に使うと、誤りがそのまま社外に出てしまいます。
他人の著作物や、ライセンスの決まったソースコードを含む出力を、確かめずに使ってしまうおそれもあります。
4つ目は、記録が会社に残らないことです。
承認したAIなら、Microsoft Purviewの監査のように、プロンプトと回答を監査ログに記録し、いつどのサービスでAIを使ったか、どのファイルを参照したかを後から調べられる仕組みがあります（参考3）。
シャドーAIでは、情報漏えいが疑われても、だれが何を入力したかを会社側で確認できません。
個人のアカウントで使っていた場合は、社員が異動や退職をした後も、会話の履歴が個人のアカウントに残り続ける可能性があります。
ここまでのリスクと主な対策を、表に整理します。
| リスク | 起きること | 主な対策 |
|---|---|---|
| 社外での処理と保存 | 入力した機密情報が提供元で保存される | 入力ルール、DLPによる送信の制御 |
| 権限の外への広がり | 権限やラベルで守られた情報が社外へ持ち出される | 承認したAIへの集約、アクセス権の管理 |
| 回答の誤りと権利 | 誤りや他人の権利を含む出力が使われる | 人による確認、出力の扱いのルール |
| 記録が残らない | 事故が起きても調査できない | 見える化、承認したAIの監査ログ |
シャドーAI対策の進め方
3-1. 禁止するだけでは、かえって見えなくなる
シャドーAIのリスクを知ると、まず「生成AIは全面禁止」としたくなるかもしれません。
しかし、社員が必要としている機能を代わりに用意しないまま禁止すると、個人のスマートフォンなど、さらに見えにくい場所で使われるおそれがあります。
Microsoftのチュートリアルも、あるアプリの利用者がマーケティング部門に集中しているなら業務上の必要がある可能性があり、リスクが高い場合はブロックする前に代わりの手段を話し合うべきだとしています（参考1）。
同じ資料は、同じ業務の機能を持ち、会社の方針に合う、より安全な代わりのアプリを探すことも勧めています（参考1）。
現実的なのは、使ってよいAIと使ってはいけないAIをはっきり分け、使ってよいAIを用意したうえで、そこへ利用を集めていく方法です。
社外に出してよい情報とそうでない情報もあわせて分けておくと、禁止の範囲を必要な分だけに絞れます。
「禁止」とだけ伝えるルールは、守られているかを確かめる手段がないと、利用が見えなくなるだけで終わりやすい点に注意しましょう。
3-2. 見える化から始める5つのステップ
シャドーAI対策は、次の5つの段階で進めると、抜けや手戻りが少なくなります。
この流れは、Microsoftのチュートリアルが示すシャドーIT対策の段階（検出と特定、評価と分析、アプリの管理、承認済みアプリの制御など）を、シャドーAI向けに整理し直したものです（参考1）。
- 見える化：社内でどの生成AIが、だれに、どれだけ使われているかを通信の記録などから調べる
- 評価：見つかったAIごとに、データの扱いや認証、記録の有無などのリスクと、業務上の必要性を確かめる
- 線引き：承認・条件付き・禁止に分け、使ってよいAIの一覧と申請の方法を公開する
- データ保護：機密情報が未承認のAIへ貼り付け・送信されないよう、警告やブロックを設定する
- 教育と見直し：ルールと理由を社員に伝え、新しいAIや使い方の変化を定期的に確認する
Microsoftの資料は、クラウドアプリは毎日のように更新され、新しいアプリも次々に現れるため、利用状況の確認と方針の更新を続けることが重要だとしています（参考1）。
一度ルールを作って終わりではなく、5つ目から1つ目に戻って繰り返すことが前提になります。
次の章では1〜5の段階で使えるツールを、その次の章では線引きと教育に必要な社内ルールを、順に説明します。
ツールでできるシャドーAI対策
4-1. 社内で使われているAIを見える化する
最初の段階では、社内のPCやネットワークの通信から、どのクラウドサービスが使われているかを調べます。
この役割を担う代表的な製品がCASB（クラウドアクセスセキュリティブローカー）で、Microsoft Defender for Cloud Appsもその1つです。
CASBの基本的な仕組みは、次の記事で解説しています。
Defender for Cloud Appsのクラウド検出は、Windows 10・11のPCに入れたMicrosoft Defender for Endpointと連携すると、社内外での通信のデータをすぐに集め始められると説明されています（参考1）。
ネットワークにつながるすべての機器を対象にするには、ファイアウォールやプロキシにログの収集機能を置き、通信の記録を分析に送る方法が案内されています（参考1）。
クラウド上で通信を中継するクラウドプロキシやSWG（セキュアWebゲートウェイ）の記録も、こうした見える化の材料になります。
同じ資料によると、アプリのカタログには31,000を超えるアプリが登録され、90以上のリスク要因で評価されています（参考1）。
リスク要因には、提供元の本社の所在地や発行元といった基本情報から、保存データの暗号化や利用者の操作の監査ログへの対応といったセキュリティの項目までが含まれます（参考1）。
Microsoft Purviewの資料では、ブラウザーでの利用から検出され、このカタログで「生成AI」に分類されたアプリを「その他のAIアプリ」として扱うとしています（参考3）。
ただし、既定ではカタログにないアプリは検出できないとも書かれているため、新しいAIサービスが一覧に出てこない可能性も考えておく必要があります（参考1）。
見つかったアプリは、部署や地域ごとにレポートを分け、カテゴリー別に見ると傾向をつかみやすくなります（参考1）。
アプリを選ぶと利用者数や通信量がわかり、具体的な利用者まで確認できるため、どの部署のどんな業務で必要とされているかを聞き取る手がかりになります（参考1）。
4-2. 承認・非承認を決めて、ブロックや警告をする
見える化と評価が済んだら、AIごとに「承認」か「非承認」かを決めます。
Defender for Cloud Appsでは、安全なアプリを「承認済み（Sanctioned）」、望ましくないアプリを「非承認（Unsanctioned）」として管理できます（参考2）。
非承認にするだけでは利用はブロックされず、検出画面で利用を監視しやすくなるだけである点に注意が必要です（参考2）。
資料では、非承認のアプリの利用者に通知して安全な代わりのアプリを勧めることや、ブロック用のスクリプトを作ってすべての非承認アプリをブロックすることが案内されています（参考2）。
Defender for Cloud AppsとMicrosoft Defender for Endpointを連携し、必要な前提設定を有効にした環境では、非承認にしたアプリをブロックでき、対象の端末グループを絞ったり、危険なアプリにアクセスした利用者へ警告して教えたりする機能も使えます（前提条件の詳細は参考2で確認してください）。
既存のファイアウォールなどの機器向けには、ブロック用のスクリプトを書き出して読み込ませる方法もあり、すべての通信をプロキシへ転送する必要はないと説明されています（参考2）。
手作業での承認・非承認と、ポリシーによる自動の設定がぶつかった場合は、最後に適用した操作が優先されるとされています（参考2）。
複数の担当者がばらばらに設定すると意図しない状態になりうるため、だれが判断して設定するかを決めておくと安全です。
新しく見つかったリスクの高いアプリや、利用が急に増えたアプリを通知するポリシーを設定しておくと、増え続けるAIサービスにも対応しやすくなります（参考1）。
承認したAIは、シングルサインオンと多要素認証で会社のアカウントから使う形にそろえると、退職者のアカウント停止なども会社側で管理できます。
Defender for Cloud Appsの資料も、Microsoft Entra IDと連携して、見つかったアプリにシングルサインオンを適用して管理する方法を紹介しています（参考1）。
4-3. 機密情報の貼り付けとアップロードを止める（DLP）
承認・非承認を決めても、ブロックしていないAIのサイトに機密情報を貼り付けることまでは防げません。
そこで役立つのが、DLP（Data Loss Prevention、情報漏えい対策）です。
Microsoft Purviewの資料では、DLPは内容の詳しい検査と文脈の分析で機密情報を見つけ、財務記録や健康情報、知的財産などを守るポリシーを適用すると説明しています（参考3）。
次の図は、端末のDLPが生成AIのサイトへの貼り付けやアップロードを確認し、動作を選ぶ流れを示したものです。
同じ資料によると、Microsoft Purviewに登録したWindowsのPCでは、ブラウザーから使う外部の生成AIサイトへ機密情報を共有しようとしたときに、警告やブロックを行うエンドポイントDLPのポリシーを設定できます（参考3）。
例として、クレジットカード番号をChatGPTに貼り付けるのを防いだり、利用者が上書きして続行できる警告を表示したりできるとしています（参考3）。
エンドポイントDLPの資料では、制限したサービスのドメインへの貼り付けを検知する機能は、貼り付ける内容そのものを検査し、元のファイルの分類とは関係なく判定すると説明しています（参考5）。
制限したクラウドサービスのドメインへのファイルのアップロードも、ブロック・警告・監査のいずれかで制御できます（参考5）。
許可していないブラウザーを使った場合はアップロードがブロックされ、Microsoft Edgeを使うよう案内されたうえで、Edgeがポリシーに従って許可またはブロックする仕組みです（参考5）。
対象はWindows 10・11やmacOSの最新3バージョンなどで、操作ごとに対応状況が異なるため、資料の表で確認する必要があります（参考5）。
導入するときは、いきなりブロックするより、まず監査で記録だけを取り、誤検知や業務への影響を見ながら警告、ブロックへと強めていくと混乱を抑えられます。
DLPは「どのAIを使うか」ではなく「どの情報を出さないか」で守る対策なので、承認したAIへの入力ルールとあわせて使うと抜けが少なくなります。
4-4. AIの利用状況と入力内容を記録して確かめる
対策が働いているかを確かめるには、AIの利用状況を続けて記録し、確認する仕組みが必要です。
Microsoft PurviewのDSPM for AI（AI向けのデータセキュリティ態勢管理）は、AIの利用状況の分析、AIへのプロンプトからのデータ損失を防ぐ既製のポリシー、過剰な共有を見つけるリスク評価などをまとめて提供する管理画面です（参考4）。
外部の生成AIサイトの利用を把握するには、Microsoft Purviewのブラウザー拡張機能の導入と、端末のMicrosoft Purviewへの登録が前提条件とされています（参考4）。
用意されたポリシーを有効にすると、外部の生成AIサイトを訪れた利用者や、機密情報を送った操作の情報を集められます（参考4）。
結果が画面に表示されるまでには少なくとも24時間かかるとされているため、有効にした直後に結果がなくても慌てる必要はありません（参考4）。
アクティビティエクスプローラーでは、操作の種類と利用者、日時、AIアプリの分類とアプリ名、機密情報の種類、参照されたファイルなどを確認できます（参考4）。
なお参考4は旧版（classic）の資料で、現在は機能を広げた新しいData Security Posture Managementに置き換えられていると明記されています（参考4）。
インサイダーリスク管理の「Risky AI usage」ポリシーのテンプレートで、プロンプトインジェクション攻撃や保護された資料へのアクセスを含む危険なAI利用を検知できることも紹介されています（参考3）。
集めた記録をほかのセキュリティの記録とまとめて分析したい場合は、Defender for Cloud Appsの検出ログをMicrosoft Sentinelに取り込み、クエリやダッシュボードで調べる方法も案内されています（参考1）。
記録は社員を罰するためではなく、ルールが現実に合っているかを確かめ、必要なAIを承認に加えるための材料として使うと、社員の協力を得やすくなります。
シャドーAIを防ぐ社内ルールの作り方
5-1. 生成AIの利用ルールに入れたい項目
ツールで見える化と制御をしても、何を許可するか、どんな情報なら入力してよいかは、社内ルールで決める必要があります。
生成AIの利用ルール（ガイドライン）には、少なくとも次の項目を入れておくと、社員が判断に迷いにくくなります。
- 目的と対象：どの業務で、どの社員が、どのAIを使ってよいか
- 使ってよいAIの一覧：承認したサービスと、会社のアカウントで使うこと
- 入力してはいけない情報：個人情報、顧客から預かった情報、未公開の財務情報、パスワードなどの認証情報
- 出力の扱い：事実や数字の確認、社外に出す前の人による確認、権利への配慮
- 申請の手順：一覧にないAIを使いたいときの申請先と、判断までの目安
- 困ったときの窓口：誤って入力したときの報告先と、報告した人を責めない方針
- 見直しの時期：ルールと一覧を見直す頻度と担当者
入力してよい情報の範囲は、社内の情報の分類（公開・社内限り・機密など）と結びつけると、AIのためだけに新しい基準を作らずに済みます。
報告した人を責めない方針を明記するのは、誤って入力したことを隠されると、会社が影響を調べたり提供元に削除を相談したりする機会を失うからです。
情報の分類や管理の仕組みを整える土台として、ISMSの考え方も参考になります。
机の上や画面の情報の扱いなど、日々の情報漏えい対策の習慣づくりはクリーンデスクの記事も参考にしてください。
5-2. 申請・教育・見直しで「隠れて使う理由」をなくす
ルールを作っても、申請に何週間もかかるようでは、社員は再び隠れてAIを使うようになります。
申請の窓口を1つにまとめ、判断の基準と結果が出るまでの目安を公開しておくと、社員は「申請したほうが早い」と感じやすくなります。
教育では、使ってはいけない理由と、承認したAIなら何ができるのかをセットで伝えることが大切です。
Defender for Cloud Appsの資料にある、危険なアプリにアクセスした利用者へ警告して教える機能は、こうした教育を利用の場面で行う仕組みの例です（参考2）。
見直しでは、見える化で見つかった新しいAIや申請の多いAIを確認し、承認の一覧に加えるか、条件付きにするかを判断します。
社外のAIサービスは機能や規約がよく変わるため、承認済みのAIについても、データの扱いや管理者の設定を定期的に確認し直しましょう。
アクセスのたびに利用者と端末を確かめるゼロトラストの考え方で認証や端末の管理を整えておくと、AIを含むクラウドサービス全体の管理もしやすくなります。
よくある質問とまとめ
6-1. よくある質問
Q1. シャドーAIとシャドーITの違いは何ですか？
シャドーAIはシャドーITのうち生成AIの利用に当たるもので、文章を貼り付けるだけで業務データが社外に送られ、保存や学習への利用、回答の誤りといったAI特有の問題が加わる点が違います。
Q2. 生成AIを全面禁止すればシャドーAIは防げますか？
必要な機能を代わりに用意しないまま禁止すると、個人の端末など、さらに見えにくい場所で使われるおそれがあるため、承認したAIを用意して線引きと見える化を組み合わせるのが現実的です。
Q3. ChatGPTを業務で使うのはシャドーAIになりますか？
会社が承認し、会社の契約やアカウントで使っているならシャドーAIではありませんが、承認されていない個人のアカウントで業務データを入力するなら、ChatGPTのような有名なサービスでもシャドーAIに当たります。
Q4. CASBやDLPを導入できない小さな会社は、どうすればよいですか？
まず使ってよいAIの一覧と入力してはいけない情報のルールを決め、ファイアウォールやプロキシの通信記録で利用状況を確かめるなど、今ある仕組みでできる見える化から始めましょう。
Q5. 公的機関のガイドラインはどこで確認できますか？
国内のAI利用やセキュリティに関する指針は、IPA（情報処理推進機構）やNISC（内閣サイバーセキュリティセンター）など公的機関の公表資料で、最新版を確認してください。
6-2. まとめ
シャドーAIとは、会社が把握・承認していない生成AIを、社員が業務で使うことです。
悪意がなくても、入力した業務データが社外で処理・保存され、権限の外への広がりや回答の誤り、記録が残らないといった問題につながります。
禁止するだけでは利用が見えなくなるため、見える化、評価、線引き、データ保護、教育と見直しの5段階で進めることが大切です。
ツールでは、CASBによる検出と承認・非承認の管理、DLPによる貼り付けやアップロードの制御、AIの利用状況の記録が役立ちます。
まずは社内でどのAIが使われているかを確かめ、使ってよいAIの一覧と入力のルールを社員に示すところから始めましょう。
参考1：Tutorial: Discover and manage shadow IT（Microsoft Learn）
参考2：Govern discovered apps in Microsoft Defender for Cloud Apps（Microsoft Learn）
参考3：Microsoft Purview data security and compliance protections for generative AI apps（Microsoft Learn）
参考4：Learn about Data Security Posture Management for AI (classic)（Microsoft Learn）
参考5：Learn about Endpoint data loss prevention（Microsoft Learn）
