シャドーAIとは

シャドーAIとは、会社のIT部門が把握・承認していないところで、従業員が勝手に業務へAIツールを使ってしまうことです。「シャドー（影）」は、管理の目が届かない影の利用を指す言葉です。便利だからと社員が個人の判断でChatGPTなどを業務に使う状態で、情報漏えいなどのリスクにつながります。

シャドーITのAI版

もともと「シャドーIT」という言葉があります。IT部門の承認を得ずに、現場が独自にソフトやクラウドを使うことを指し、シャドーAIはその新しいAI版です。生成AIは手軽に使える一方、入力した内容が社外のサービスへ渡るため、従来のソフトとは違うリスクをはらみます。IPA（情報処理推進機構）は、職場に使えるAIが用意されていない場合などに、従業員が個人で使っているAIサービスを仕事に持ち込むことをシャドーAIと説明しています。個人のアカウントで使われると、会社がその利用に気づけないこと自体もリスクだ、という指摘です。働く人の側から同じ現象を見ると、BYOAI（自前のAIの持ち込み）という呼び方になります。

なぜ経営の問題になるのか

最大の懸念は、機密情報や個人情報が、管理の外にある外部AIへ流れ出てしまうことです。IPAが毎年まとめる「情報セキュリティ10大脅威」の組織編では、2026年版で「AIの利用をめぐるサイバーリスク」が初めて選ばれ、いきなり3位に入りました。そこで最初に挙がるリスクが、許可なくAIを業務に使うことによる情報漏えいです。

被害の広がりは、数字にも表れています。IBMの調査（情報漏えいなどの被害を受けた世界の約600組織が対象）では、シャドーAIが絡むセキュリティ事故を報告した組織が、2025年版の20%から2026年版では43%へ増えました。そうした事故の約半数はデータの流出などにつながり、約2割は規制当局からの罰金に至っています。

会社はどう向き合えばよいのか？

「便利だから使う」現場の動きを、禁止だけで止めるのは簡単ではないでしょう。IPAも経営者層の対策の最初に「シャドーAI回避のため、AIサービス利用の検討」を挙げ、許可していないAIの利用を禁じることとセットにしています。使うなと言うだけでなく、会社として使えるAIを考える、という順番です。そのうえで、利用ルールを整えて個人アカウントでの業務利用を制限し、違反したときの対応も決めておく。外部のAIを使う場合は、入力したデータを学習に使わせない設定（オプトアウト）を徹底することも求めています。ルールづくりの参照先として挙がるのが、国のAI事業者ガイドラインです。

システム管理者の側では、通信の記録や、クラウドの利用状況を監視する仕組み（CASB）などを使い、会社が把握していないAIの利用を見つける対策が挙がっています。こうした仕組み全体で、組織としてAIの手綱を握る考え方がAIガバナンスです。シャドーAIは、ガバナンスが効いていない状態だと捉えると分かりやすいでしょう。

シャドーAIに関するよくある質問

自社でシャドーAIが起きているかどうかは、ルールを作れば分かりますか？

ルールだけでは見えてきません。IBMの2025年版の調査では、シャドーAIを管理・検知する方針を持つ組織は37%にとどまり、AIガバナンスの方針がある組織でも、承認していないAIの利用を定期的に監査しているのは34%でした。決まりを作ったあと、実際の使われ方を定期的に確かめる仕組みまで用意して、ようやく実態がつかめます。

シャドーAIが原因で情報漏えいが起きると、損失はどれくらい大きくなりますか？

IBMの2025年版の調査では、シャドーAIの利用が多い組織は、少ない・無い組織に比べて1件あたりの被害額が平均で約67万ドル（1ドル150円で換算すると約1億円）高くなりました。流出した情報の中身も重く、シャドーAIが絡む事故では顧客の個人情報が65%、知的財産が40%の事故で漏れており、全体平均の53%と33%を上回っています。