国内企業の7割超がシャドーAIを管理できず 生成AIの次の課題は「統制」へ
※本記事は2026/06/22時点での情報を基にしており、閲覧時点では内容や状況が変わっている可能性があります。
6月22日、ITmedia エンタープライズは、ガートナーの調査をもとに、国内企業の73％がシャドーAIを十分に管理できていないと報じた。従業員が会社の把握しないまま生成AIを業務に使う状態が広がり、その統制が追いついていないという実態である。
本記事では、シャドーAIが何を指し、なぜ問題になるのか、そして生成AI活用の焦点が「使うかどうか」から「誰がどう統制するか」へ移りつつある現状の論点を整理する。
シャドーAIとは何か、なぜ問題になるのか
会社が把握していない生成AI利用が広がっている
シャドーAIとは、企業の情報システム部門や管理部門が把握しないまま、従業員が個人の判断で業務に使う生成AIのことを指す。会社が正式に契約・許可したツールではなく、無料の対話型AIや個人アカウントのサービスを、目の前の仕事を早く片づけるために使ってしまう状態である。
便利だからこそ現場で自然に広がる一方で、誰が何の目的でどんな情報を入力しているのかを会社が追えなくなる。今回の調査が示す73％という数字は、この見えない利用が国内企業の大半で管理しきれていないことを表している。
情報漏えい・誤回答・コンプライアンスのリスク
管理できないシャドーAIには、大きく3つのリスクがある。1つ目は情報漏えいだ。顧客情報や社外秘の資料を外部の生成AIに入力すると、その情報が会社の管理の外へ出てしまう。2つ目は誤回答である。生成AIは事実と異なる内容をもっともらしく出力することがあり、その回答を確認しないまま業務に使えば、誤った判断や案内につながる。
3つ目はコンプライアンスだ。利用が把握できなければ、業界の規制や社内規程に沿っているかを確認するすべがない。これらは個々の従業員の不注意というより、利用を見える状態にできていない仕組みの問題として現れている。
課題は「使うかどうか」から「誰がどう統制するか」へ
導入を競う段階は終わりつつある
生成AIをめぐる企業の関心は、長らく「導入するかどうか」「どの業務で使うか」に向けられてきた。しかし利用が現場へ広く浸透した今、論点は次の段階へ移っている。すでに使われている前提に立って、その利用をどう管理し、誰が責任を持つのかが問われ始めている。
今回の調査結果は、この移行を裏づけるものといえる。多くの企業で生成AIはすでに日常的に使われており、課題は普及そのものではなく、広がった利用を統制できていない点に移っている。
全面禁止が機能しにくい理由
見えない利用を恐れて全面的に禁止する、という対応も考えられる。しかしこの方法は機能しにくいだろう。禁止しても現場の業務効率への期待は消えず、結果として利用がさらに見えないところへ潜るおそれがあるからだ。
禁止によって会社が把握できる範囲はかえって狭くなり、リスクの管理は難しくなる。利用を止めるのではなく、見える形にしたうえで管理する方向へ、対応の軸が動いている。
求められるのは部門別のガバナンス
一律のルールでは現場に合わない
全社で同じルールを敷く方法は、運用が単純な反面、部門ごとの実情に合いにくい。扱う情報の種類も、求められる正確さも、部門によって大きく異なるためだ。
たとえば顧客情報を多く扱う部門と、社内向けの資料作成が中心の部門とでは、警戒すべきリスクの重さが違う。一律の基準では、厳しすぎて使われないか、緩すぎてリスクを防げないかのどちらかに偏りやすい。
部門ごとに用途とリスクを見極める
そこで現実的な対応として浮かび上がるのが、部門別のガバナンスである。ガバナンスとは、利用のルールと責任の所在を定め、それが守られているかを確認する仕組みのことを指す。
部門ごとに、どの業務で生成AIを使ってよいか、どの情報は入力してはいけないかを具体的に定める。そのうえで、会社が認めたツールを用意し、利用状況を把握できる状態を作る。用途とリスクを部門単位で見極めることで、過度な禁止にも野放しにも陥らない管理が可能になる。
可視化と教育を両輪で進める
ルールを定めるだけでは、現場の利用は変わりにくい。会社が認めた安全なツールを使いやすい形で提供し、どこまでが許される使い方かを従業員に丁寧に伝えることが欠かせない。
利用を見える状態にする可視化と、なぜそのルールが必要かを理解してもらう教育は、どちらか一方では十分に機能しない。両輪で進めることで、現場が納得して使える統制の形に近づいていく。
日本企業とBtoB領域への示唆
シャドーAIの広がりは、特定の業界に限った話ではない。生成AIを業務に取り入れる企業であれば、規模や業種を問わず向き合うことになる課題である。
BtoBで事業を営む企業にとっては、自社の利用統制が取引先からの信頼にも関わってくる。顧客の情報をどう扱うか、どのツールをどんなルールで使っているかは、これからの取引条件として問われる場面が増えていくと考えられる。生成AIをどう統制するかは、リスク管理にとどまらず、企業の信頼を支える土台になりつつある。
