シャドーAIエージェントの棚卸し手順｜何を止め、何を公認にするか

シャドーAIエージェントとは、会社が把握・承認しないまま、社員が自分で作ったり業務のアカウントにつないだりして動いているAIエージェントのことです。見つけたときに最初に行うのは、作った社員を責めることではなく、棚卸し表で全部を書き出す作業になります。そのうえで、個人情報を外へ送るもの・パスワードなどを抱えているもの・作った本人しか止められないものから止め、残りは条件付きで続けるか会社の公認に切り替えます。禁止だけで終わらせず、使ってよいAI環境を会社が配ることで、申告されないエージェントを減らすことが出来ます。

シャドーAIエージェントとは｜チャット型のシャドーAIと違う点

シャドーAIエージェントは、IT担当者や経営者が把握していないところで、社員の代わりに作業を進めているAIを指します。会社が把握していないAI利用の全体はシャドーAI（野良AI）と呼ばれ、定義やリスク全般、対策の一覧はシャドーAI（野良AI）とは｜定義・リスク・対策の記事で整理しています。ここから先は、その中でも社員が自分で作った・つないだエージェントに気づいたとき、何を棚卸しし、何を止め、何を公認にするかに絞ってお伝えします。

Microsoftは、Microsoft 365 管理センターの解説ページで、シャドーAIをITの可視性や承認なしに組織全体に広がった消費者向けのAIアプリとスタンドアロンのエージェント、と説明しています。チャット型のシャドーAIでは、社員が文章を貼り付けた瞬間にだけ情報が外へ出ます。エージェントの場合は、一度つないでしまうと、本人が画面を見ていない間もメールやファイルを読み、別のサービスへ書き込み続けることになります。そのため、何を入力したかより、どこにつながり、どんな権限を持っているかを先に確かめる必要があります。

社員10〜200名の会社で見つかりやすい形

• ブラウザの拡張機能やAIブラウザで、閲覧中のページやメール画面を読み取り、要約や返信の下書きを作るもの
• Microsoft 365のCopilotで社員が作り、同僚に共有したエージェント（Microsoftの管理画面では「作成者が共有」という種類に分けられます）
• ノーコードの自動化サービスに生成AIを組み込んだフロー（受信メールを要約してチャットに流す、問い合わせフォームの内容をAIで分類して表に書き込む、など）
• 個人で契約したChatGPTやClaudeに、GmailやGoogleドライブ、社内で使うSaaSをコネクタ（MCPを含む）でつないだもの
• パソコンに入れて動かすデスクトップ型のAIエージェント（MicrosoftはOpenClaw、Claudeデスクトップ、ChatGPT デスクトップなどを検出の対象に挙げています）

シャドーAIエージェントという言葉は、まだ標準の用語ではありません。ラックの解説記事も、企業が把握・管理していない状態で利用・運用されるAIエージェントを指す便宜的な表現、と断ったうえで使っています。以下も同じ意味で使い、チャット型を含む全体の話は先ほどの記事にお任せします。

シャドーAIエージェントのリスク｜漏えい・規程違反・後から追えない状態

リスクの中心は、社員本人の権限をそのまま借りたAIが、会社の知らない経路でデータを動かし続ける点にあります。Microsoftも、管理されていないエージェントのリスクとして、データ漏えい、コンプライアンス違反、セキュリティの脆弱性、監査可能性とガバナンスの欠如を挙げています。

データ漏えい：同意画面を1回押すだけで、メールやファイルが外へ

Microsoft Entra ID（Microsoft 365のアカウントを管理する仕組み）の説明によると、既定の設定では、社員は管理者の同意が要らない範囲のアクセス許可であれば、自分でアプリに同意できます。例として、アプリが自分のメールボックスにアクセスすることを許可できる、と書かれています。社員がAIエージェントの同意画面で、メールの読み取りを求めるアクセス許可を承認すると、その時点からエージェントは本人のメールを読める状態となってしまいます。許可したアクセスは、取り消すまで残ります。

規程違反：個人情報を外部のAIへ渡してしまう

顧客や従業員の個人情報を扱う業務にエージェントをつなぐと、個人情報保護法との関係が問題になります。個人情報保護委員会は2023年6月2日の注意喚起で、本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答の出力以外の目的で扱われる場合、個人情報保護法の規定に違反することとなる可能性があると示しました。そのうえで、提供事業者が個人データを機械学習に使わないことなどを十分に確認するよう求めています。社員が個人で契約したAIでは、この確認を会社として行うことが出来ません。

追跡できない：作った人が辞めると、誰も止め方を知らない

Microsoftは、社員が作って共有したエージェントについて、作成したユーザーを組織から削除すると所有者がいなくなる可能性がある、と説明しています。所有者のいないエージェントは、何をどこへ送っているのかを誰も説明できないまま動き続けることになります。取引先から問い合わせを受けても、記録がなければ経緯をたどれず、説明に困ってしまいます。

MCPなどの外部ツール連携

MCP（AIを外部のツールやデータにつなぐための共通の仕組み）で社外のサーバーにつなぐ場合は、さらに注意が要ります。Anthropicのヘルプは、悪意のあるMCPサーバーが、Claudeに意図しない操作をさせようとする隠れた指示を含む場合があると注意を促しています。信頼できる組織のサーバーだけにつなぎ、外部のアプリに書き込む操作をするツールは無効にするよう勧めている点も覚えておきましょう。エージェントのつなぎ方全般の対策はAIエージェントのセキュリティ｜MCP連携の前に決める対策で詳しく扱っています。

最初の一歩は見える化｜AIエージェント棚卸し表のひな形

対策の第一歩は、社内にどんなエージェントがあり、どこにつながり、何が出来るのかを1枚の表に書き出すことです。止めるか許すかの判断は、表がそろってからでも遅くはありません。下のひな形は、そのまま表計算ソフトに写して使えるように列を決めてあります。

※表の行は記入の例です。実在の製品や事例ではありません。

記入するときのコツ

作った人の欄は、退職や異動のときに引き継ぐ相手を決めるための欄になります。つながる先と権限は、本人の記憶に頼らず、同意画面や連携の設定画面を一緒に開いて書き写してもらいましょう。止めた時の影響は、業務が何日止まるかで書くと、止める順番を決めやすくなります。1行も書けない部署があっても、それ自体が実態を知る手がかりです。

MCP・外部ツール連携のつながる先も1行ずつ書く

コネクタやMCPでつないだ先は、1つのエージェントに複数ぶら下がっていることがよくあります。つながる先ごとに行を分け、読み取りだけか、書き込みや送信まで出来るのかを分けて書いておきましょう。APIキーのような固定の認証情報で接続している場合は、その鍵がどこに保存され、誰と共有されているかも書き添えてください。Anthropicのヘルプは、TeamやEnterpriseのプランで固定の認証情報を使うコネクタは、使う全員が同じ認証情報でサービスにつながると説明しています。1人のために作った鍵が、気づかないうちに部署全員の鍵になっている場合があります。

申告してもらう｜処分しない猶予期間つきの呼びかけ文

棚卸しを早く終わらせるには、管理画面で探すより先に、作った本人から申告してもらうのが近道です。IPAの中核人材育成プログラムの成果物として公開された手引書は、シャドーAIの多くは悪意ではなく業務上の必要から生まれ、禁止を先に打ち出すだけでは申告されない利用が増え、実態がつかみにくくなると指摘しています。期限内に申告されたものは処分の対象にしない、と文面の最初に約束しましょう。次のひな形は、社内のチャットやメールにそのまま貼れる形にしてあります。

期限は2週間ほどに区切り、期限後の扱いも同じ文面に書いておくと、先延ばしを防げます。処分しない約束は、就業規則や社内規程との関係を社会保険労務士などの専門家に確かめてから出すと安心です。

隠れたままでも、いずれ見つかる経路

申告を呼びかける文面には、隠しても見つかる経路があることを、脅しではなく事実として添える方法もあります。

• 端末の管理（Microsoft Defender for Endpoint などが、パソコンに入ったAIエージェントを検出する）
• アカウントの同意の記録（Microsoft EntraやGoogle 管理コンソールに、社員が許可したアプリが残る）
• ブラウザのレポート（会社で管理しているChromeでは、入っている拡張機能の一覧を管理者が見られる）
• 経費精算やカード明細（AIサービスや自動化サービスの課金が残る）
• 退職・異動の引き継ぎ（本人がいなくなった後に止まる業務から見つかる）

いずれも後の節で扱う管理画面や台帳で、実際に確かめることが出来ます。後から見つかるより、先に申告したほうが本人も楽になる、と伝わる書き方を選んでみてください。

止める・続ける・公認にする｜4つの問いで決める判断表

判断は、個人情報、外部への送信、認証情報の保管、作成者がいなくなったときに止められるか、の4つの問いで決めると迷いが減ります。棚卸し表の行ごとに、左の列から順に当てはまるかを見ていきます。

4つの問いのうち1つでも左の列に当てはまれば、ほかがどれだけ便利でも止める側に入れます。迷ったときは、作った本人が明日いなくなっても止められるかで決めましょう。止めるときは、エージェントを消す前に、連携の同意を取り消し、保存されていた鍵を無効にする順番で進めることになります。先に消してしまうと、どの鍵がどこに残っているのかが分からなくなってしまいます。

止める順番と、現場への伝え方

今すぐ止める行が複数あるときは、扱うデータの重さで並べ、同じ重さなら止めた時の影響が小さいものから手を付けていきましょう。影響が大きいものは、代わりの方法を先に用意してから止めると、現場の反発を抑えられます。止める理由は、作った人の判断の誤りではなく、会社の確認が済んでいないことにある、と伝えるのが大切です。

渡している権限とアカウント（非人間ID）を確かめる

エージェントが何を出来るかは、エージェントの性能ではなく、つなぐときに渡した権限で決まります。多くのエージェントは、社員本人のアカウントで同意した権限を借りて動くか、エージェント専用のアカウントやAPIキーを持って動いています。後者のように人ではないアカウントを、非人間ID（NHI）と呼ぶこともあります。Oktaは、シャドーAIエージェントを見つけて人間の責任者を割り当てる「Shadow AI Agent Discovery」という機能を発表しており、発表文の中では、AIエージェントが広範で長期的な権限を持つ複数の非人間アイデンティティを使う、という同社幹部の見方を紹介しています。

Microsoft 365を使っている会社は、Entraの同意の一覧を見る

Microsoft Entra 管理センターでは、[Entra ID]→[エンタープライズ アプリケーション]→[すべてのアプリケーション]でアプリを選び、[アクセス許可]を開くと付与済みの権限を確認できます。社員が自分で同意した分は[ユーザーの同意]タブに表示されますが、Microsoftの説明では、このタブの権限は管理センターの画面からは取り消せず、Microsoft Graph APIかPowerShellで取り消す必要があります。既定の設定のままでは、社員が自分のメールボックスへのアクセスをアプリに許可できます。今後の同意を絞る場合は、[同意とアクセス許可]→[ユーザーの同意設定]で、検証済みの発行元のアプリだけに同意を許す設定が推奨されています。

Google Workspaceを使っている会社は、API の制御を見る

Google 管理コンソールでは、[セキュリティ]→[アクセスとデータ管理]→[API の制御]→[アプリのアクセスを管理]と進むと、Googleのデータにアクセスしているアプリを確認できます。[アクセス済みアプリ]の一覧ではアプリごとのユーザー数やOAuth2のクライアントIDが分かり、CSVに書き出して棚卸し表と突き合わせることも出来ます。見覚えのないAIのアプリは、アクセスの設定を[ブロック中]や[限定]に変える操作もこの画面で行えます。社員がどの画面で何を許可したのかは、本人に聞くだけでは分からないことが多いため、管理画面の記録と申告を必ず照らし合わせてください。

Microsoft 365 管理センターのShadow AI（プレビュー）で見つける

Microsoft 365 E5を契約し、WindowsのパソコンをIntuneで管理している会社であれば、Microsoft 365 管理センターの[Shadow AI]ページでパソコン上のAIエージェントを見つけられます。この機能はFrontierプレビュー プログラムの一部で、Microsoftは機能や対応するエージェント、動作が一般公開前に変わる場合があると明記しています。

使うための前提条件

• Microsoft 365 管理センターで、Frontierプレビューの機能にオプトインしている
• パソコンで Microsoft Defender for Endpoint を有効にしている
• シャドウ AI エージェントを表示するための Microsoft 365 E5 ライセンスがある
• Windowsのパソコンが Microsoft Intune に登録された管理対象になっている
• 操作する人に、セキュリティ管理者・AI 管理者・グローバル閲覧者・セキュリティ閲覧者・セキュリティ オペレーター・レポート閲覧者・ユーザー エクスペリエンス サクセス マネージャー・Intune 管理者のいずれかの役割がある

利用者の数や通信量などの追加の情報まで見るには、グローバル セキュア アクセス（GSA）も有効にする必要があります。

画面の操作

1. Microsoft 365 管理センターにサインインし、[Agents]→[Shadow AI]を選ぶ
2. 一覧からエージェントを選び、詳細ウィンドウで初回アクセスと検出されたデバイス数を確かめる（ユーザー数・最新のアクティビティ・最終スキャンは、GSAを有効にした場合だけ表示）
3. [検出されたデバイス]タブで、どのパソコンで動いているか（デバイス名・モデル・OS・最終表示日）を確かめる
4. 止める場合は、詳細ウィンドウの[セキュリティ ポリシー]で[ブロック]→[適用]を選ぶ

ブロックを選ぶとIntuneのポリシーが作られ、管理対象のWindowsパソコンに配られます。Microsoftによると、反映には会社の構成によって15分から8時間かかる場合があります。

検出できるもの・止められるもの

※Microsoft Learn「Microsoft 365 管理センターのシャドウ AI (プレビュー)」の記載を2026年10月3日に確認した内容です。パブリック プレビューのため、対象や動作は変わる場合があります。ブロックが適用されるのは、Microsoft Intuneに登録された管理対象のWindowsデバイスだけです。

対応表に載っている7項目のうち、ブロックまで出来るのはOpenClawだけとなっています。ChatGPT デスクトップやClaudeデスクトップは、見つけられても画面から止めることは出来ません。止められないものは棚卸し表に書き、会社の方針に沿って本人に使い方を変えてもらうことになります。対応表に載っているのはパソコンに入れて動かすデスクトップ型のエージェントで、ブラウザの拡張機能やクラウド上の自動化フローは載っていません。

あわせて見たい2つの画面

Defender for Endpoint Plan 2があれば、Microsoft Defender ポータルの[資産]→[AI エージェント]→[ローカルエージェント]タブでも、パソコン上のエージェントと、設定されたMCPサーバーの数を一覧で確認できます。Microsoftの説明では、Microsoft 365 E5にはDefender for Endpoint Plan 2が含まれています。Copilotで社員が作って共有したエージェントは、Microsoft 365 管理センターの[エージェント]→[すべてのエージェント]→[レジストリ]に、作成者が共有という種類で並びます。レジストリには所有者のいないエージェントの数も表示され、CSVへの書き出しにも対応しています。なお、レジストリでリスクの評価まで表示するには、E7またはAgent 365（A365）のライセンスが必要になります。

どんな会社なら使えるか

前提条件をまとめると、Shadow AIの画面を使えるのは、E5を契約し、パソコンをIntuneとDefender for Endpointで管理している会社に限られます。ブロックが効くのはIntuneに登録された管理対象のWindowsパソコンだけなので、私物のパソコンやMacが混ざっている会社では、この画面だけで止め切ることは出来ません。その場合は、次の節の方法と組み合わせて考えましょう。

E5がない会社の見つけ方｜いまある管理画面と台帳で探す

E5や専用の製品がなくても、すでに契約している管理画面と社内の台帳を順に見ていけば、シャドーAIエージェントの手がかりをつかむことが出来ます。上から順に、手間の小さいものから並べています。

1. アカウントの同意の記録を見る。Microsoft Entraの[ユーザーの同意]タブやGoogleの[アクセス済みアプリ]で、名前にAI・GPT・Agent・Copilot・Assistantなどを含むアプリや、見覚えのない自動化サービスを探す
2. Chromeを会社で管理しているなら、Google 管理コンソールの[デバイス]→[Chrome]→[設定]→[ブラウザに関するレポート]で、管理対象ブラウザのクラウド レポートを有効にし、入っている拡張機能を一覧で見る
3. 会社で契約しているAIサービスの管理画面で、有効になっているアプリやコネクタと、それを使っている人を確かめる
4. 経費精算とカード明細を、AIサービスや自動化サービスの名前で検索する
5. 退職・異動の引き継ぎ書に、使っているAI・自動化・つないでいるサービスの欄を足す

Chromeのレポートは既定で24時間ごとに作られ、拡張機能のインストールのようなブラウザのイベントも、別の設定で記録の対象にできます。管理画面で見えるのは、会社が管理している端末とアカウントの中だけになります。見えない部分は、前の節の申告で埋めていくのが現実的です。経費精算で個人契約のAIの課金が見つかった場合も、責めるより先に、申告の表に1行足してもらうよう声をかけてみてください。

専用の製品を検討するなら

社員数が多く、IDの管理にOktaのような製品を使っている会社であれば、専用の機能も選択肢になります。Oktaは、OAuthの同意を検知して非公認のプラットフォームで作られたエージェントを特定し、Google Chromeを含むブラウザとの連携でAIツールとデータの関係を把握できると発表しています。同社の発表文はGartnerの2025年11月19日の報告を引き、69%の組織が従業員による禁止された生成AIツールの使用を疑っているか、その証拠を把握している、という数字を紹介しました。いずれも提供元の発表であり、自社の環境で何が見えるかは、試用や見積もりの段階で確かめることになります。

公認にする最低条件｜責任者と人の確認を決める

公認に切り替えるエージェントは、便利かどうかではなく、会社が責任を持って止められる状態かどうかで選びます。次の6つがそろったものだけを、棚卸し表で公認に変えましょう。

• 責任者と引き継ぎ先が決まっている作った人とは別に、業務の責任者を1人決めます。作った人が退職・異動したときの引き継ぎ先も、同じ欄に書いておきます。
• 会社の契約の中で動いている個人契約のAIではなく、会社が契約したサービスで動かします。入力したデータを学習に使わない設定を、会社側で確かめられることが条件です。
• 権限は読み取りから始めているメールの送信、ファイルの削除、外部への書き込みといった操作は、最初は外しておきます。必要になった操作だけを、理由を書いて足していきます。
• 書き込みや送信の前に人が確認する外部に出る操作や取り消せない操作は、実行の前に担当者が承認する流れにします。Anthropicのヘルプも、外部のアプリに書き込むツールは無効にするよう勧めています。
• 記録が残る誰が、いつ、どのエージェントで何をしたかを、会社側で後から確認できる状態にします。
• 見直しの時期が決まっている少なくとも年1回は棚卸し表を全部見直します。IPAの中核人材育成プログラムの手引書も、実態の把握は最低でも年1回を目安に繰り返すものとしています。

人の確認は、取り消せない操作の直前に入れるのが基本になります。送信や確定のボタンは、エージェントではなく人が押す形にしましょう。読み取りと下書きまでをエージェントに任せれば、便利さを保ちながら、取り返しのつかない事故を防ぐことが出来ます。責任者の欄が空いたままのエージェントは、どれだけ便利でも公認にしないと決めておくと、運用がぶれません。

禁止だけでは減らない｜会社が公認のAI環境を配る

シャドーAIエージェントを減らす決め手は、社員が自分で作らなくても済む、会社公認のAI環境を全員に配ることです。IPAの中核人材育成プログラムの手引書は、シャドーAIが生まれる大きな要因として業務に使いたいのに公式な手段がない状況を挙げ、安全性を確かめた組織公認AIを全社、または情報漏えいのリスクが高い部署から優先して提供することを対策として示しています。同書は、IPAなどの意見を代表するものではなく著者の見解にもとづく、と免責事項で断っている点にもご留意ください。

会社で安全に使うために、公認の環境に求めること

公認の環境を選ぶときは、学習に使わない設定、記録の管理、社員への配り方、複数のAIの使い分けの4点を確かめましょう。

• 入力したデータをAIの学習に使わない設定が、社員ごとの操作ではなく会社側で全員に適用されること
• 誰がいつどのAIを使ったかを、管理者が後から確認できること
• 一部の社員だけでなく、使いたい全員に配れる契約の形であること（配られなかった社員が個人契約に流れやすいため）
• 文章づくり、調べもの、長い資料の読み込みなど、用途に合わせて複数のAIを使い分けられること

複数のAIを1つの環境で使う方法はマルチAIの解説で、AIごとの得意分野は主要4AIの違いと使い分けで紹介しています。配ったあとは、社内のルールも合わせて見直すことになります。ルール文書の作り方は生成AIの社内ガイドラインの作り方にまとめてあります。

最初の30日の進め方

1. 1週目：申告の呼びかけ文を出し、棚卸し表を全部署に配る
2. 2週目：Entra・Google 管理コンソール・Chromeのレポート・経費精算の記録と、届いた申告を突き合わせる
3. 3週目：判断表で1行ずつ判定し、今すぐ止めるものから同意の取り消しと鍵の無効化を進める
4. 4週目：公認の環境を全員に配り、止めたエージェントの代わりの使い方を案内する。社内のルールに、新しく作るときの申請の流れを書き足す

止めるだけで終わると、現場は別の方法を探し始めてしまいます。止めたエージェントの代わりになる手段は、止めるのと同じ週に渡すことが大切です。新しく作りたいという相談が届くようになれば、シャドーAIエージェントが会社の見える場所に出てきた合図となります。

よくある質問

まとめ

シャドーAIエージェントは、社員本人の権限を借りて、会社の知らない経路でデータを動かし続ける点が、チャット型のシャドーAIより厄介になります。気づいたら、まず処分しない期限つきの申告を呼びかけ、棚卸し表に名称・作った人・つながる先・権限・扱うデータを書き出しましょう。判定は、個人情報、外部への送信、認証情報の保管、作成者がいなくなったときに止められるかの4つで行い、止めるものは同意の取り消しと鍵の無効化から進めます。

Microsoft 365 E5があればShadow AI（プレビュー）の画面も使えますが、前提条件が多く、E5がない会社では既存の管理画面と申告の組み合わせが中心となります。そのうえで、会社が公認のAI環境を全員に配り、学習に使わない設定と記録で管理することが、新しいシャドーAIエージェントを生まないための近道です。ほかの記事はAI活用コラム一覧からご覧いただけます。

※Microsoft・Google・Anthropic・Oktaの機能や画面名は、2026年10月3日時点で各社の公式ページに記載されている内容を確認したものです。いずれも提供元の説明であり、プレビューの機能を含むため、実際の画面や対象は変わる場合があります。