シャドーAI対策とは、会社が把握していないAIの業務利用、いわゆるシャドーAI（野良AI）を見えるようにして、会社が認めた安全な使い方へ移していく取り組みです。取りかかる順番は、①実態の洗い出し、②線引きのルール、③会社のAI環境という受け皿、④周知と点検の4段階で、最初の30日はこの順に1週ずつ進めることが出来ます。禁止や監視の道具から入らず、まず誰がどのAIを何に使っているかを責めずに聞くところから始めるのが近道になります。言葉の意味やリスクの全体は野良AI（シャドーAI）とは何かで詳しく紹介しています。
結論：シャドーAI対策は4つの段階を、この順番で進める
社員10〜200名の会社であれば、シャドーAI対策は4つの段階を1週ずつ、30日で一巡させる形が現実的です。専任の情シスがいなくても、総務と各部署の窓口、それに経営者の3者がそろえば回すことが出来ます。
- 1週目（1〜7日目）は実態の洗い出し。アンケートと棚卸しで、使われているAIと、そこに入っている情報の種類を一覧にする
- 2週目（8〜14日目）は線引きのルール。使ってよいもの・条件付きで使ってよいもの・使わないものと、入力してはいけない情報をA4で1枚にまとめる
- 3週目（15〜21日目）は会社のAI環境という受け皿。ルールで認めた使い方を、会社の管理の下で使える環境を用意する
- 4週目（22〜30日目）は周知と点検。経営者の名前でルールと環境を伝え、30日目に合格ラインを確かめる
4つの段階は、前の段階の結果を次の段階で使う関係になっています。洗い出しの結果がないままルールを書くと、実際の使い方と合わない禁止事項が並んでしまいます。ルールだけを配って会社のAI環境がないと、社員は結局どこで使えばよいのか分からないままとなります。
4つの段階で、週ごとにやることと担当、できあがる物を1つの表にまとめると、次のとおりです。
| 週 | やること | 担当 | できあがる物 |
|---|---|---|---|
| 1週目（1〜7日目） | 経営者から全社員へ、AIの使い方を調べることと、これまでの利用は責めないことを伝える。無記名のアンケートを配り、経費精算・カード明細・管理画面から棚卸しをして、7日目に集計する | 経営者（全社員への一言）、総務（アンケートの配布と集計、棚卸し表の作成）、各部署の窓口（回答の呼びかけ）、パソコンに詳しい兼任の担当者（管理画面の確認） | 使われているAIと、そこに入っている情報の種類をまとめた棚卸し表 |
| 2週目（8〜14日目） | 許可・条件付き許可・禁止の3段階で線を引き、入力してはいけない情報を具体的に書く。載っていないAIを使いたいときの申請先と、迷ったときの相談先を決める | 総務（ルール1枚の文案づくりと、経営者への説明）、経営者（14日目に承認） | 経営者が承認した、A4で1枚のルール |
| 3週目（15〜21日目） | 受け皿に求める条件を決め、情報漏えいのリスクが高い部署から会社のAI環境を使い始める。個人で有料契約をしていた社員には、会社の環境へ移る期限を決めて案内する | 経営者（会社のAI環境にかける予算を決める） | 会社の管理の下で使えるAI環境 |
| 4週目（22〜30日目） | 経営者名義の周知文を出し、説明の場を1回設ける。28〜30日目に合格ラインを点検し、満たせなかった項目は31日目以降の宿題にする | 経営者（周知文を自分の名前で出す）、総務（周知文と説明の場の準備、合格ラインの確認と次の見直し日の設定）、各部署の窓口（部署内の疑問を集めて総務に渡す） | 全社員への周知、動き出した相談窓口と申請の流れ、次の見直し日 |
※30日の日割り・週割り、役割分担、ひな形、合格ラインは、社員10〜200名の会社を想定したこの記事の編集上の進め方で、公的な基準ではありません。業種や規模、繁忙期に合わせて日数を延ばしてかまいません。
シャドーAIの定義と、シャドーIT・BYOAIとの違い
シャドーAIは、会社が把握・許可していないAIサービスを社員が業務で使っている状態を指す言葉です。会社が把握していないクラウドサービス全般を指すシャドーITのうち、生成AIに絞った呼び方と考えると分かりやすいでしょう。BYOAIは、社員が自分で選んだAIを職場に持ち込んで使うことを指し、会社が認めていればシャドーAIには当たりません。違いは会社が把握して認めているかどうかにあるため、対策の出発点も把握することになります。
シャドーAIのリスクの種類（情報漏洩・コンプライアンス・誤情報・著作権・実態不明）
リスクとしてよく挙げられるのは、情報漏洩、個人情報の扱いをめぐるコンプライアンス違反、誤った回答をそのまま使ってしまう誤情報、著作権侵害の4つです。これに加えて、どこで何が使われているのか会社が分からない実態不明の状態そのものが、ほかのリスクの発見を遅らせる原因となってしまいます。IPAの10大脅威2026の解説書も、職場が従業員の個人アカウントによるAIの業務利用を認識できないことをリスクとして挙げています。実際に起きた例と発覚のきっかけはシャドーAIの事例にまとめてあります。
公的資料と調査データ（IPA 10大脅威2026ほか）
IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」では、組織編の3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。この順位は、研究者や企業の実務担当者など約250名の選考会が審議と投票で決めたものになります。解説書（組織編・2026年3月版）は経営者層の対策として、「シャドーAI 回避のため、AI サービス利用の検討」「個人アカウントにおける業務利用の制限」「規程違反時の対応（ペナルティ）の明確化」などを挙げています。ただし冒頭の注で、AI事業者ガイドラインに言うAI利用者の対策を想定したものと断っており、法律上の義務ではありません。
社員側の意識については、サイバーセキュリティクラウドが2026年6月23日に発表した「生成AI利用実態調査2026」（会社員360名・6月2〜4日実施）があります。会社が禁止した場合でも利用を続けたいと答えた人は37.8%で、内訳は個人的に使い続ける19.2%、継続を会社に訴える18.6%でした。本人の意向を聞いた数字なので実際の行動とは限りませんが、禁止の一言だけでは利用が止まらない可能性を考えておく材料にはなるでしょう。
30日の進め方の下敷きには、IPAの人材育成プログラムの成果物として公開された「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月・99ページ）を使っています。この手引書は免責事項で、内容はIPAの意見を代表するものではなく著者の見解に基づくと明記しているため、この記事でもIPAの公式見解としては扱っていません。
※IPAの資料は、2026年10月3日に公式ページとPDFの本文で確認した内容です。手引書の有効期限は、発行日から2年と記載されています。
なぜ禁止からではなく、洗い出しから始めるのか
洗い出しを最初に置くのは、何が使われているか分からないままでは、許可すべきものも止めるべきものも決められないからです。手引書の2.3.2「シャドーAIへの対応方針」は、対策の柱として次の3つを挙げています。
- 組織公認のAIを提供する。情報漏えいのリスクが高い部署から優先してもよいとしている
- ルールを明文化し、教育する。審査の観点と却下されやすい条件を前もって示すと、申請する側が自分で判断でき、承認も速くなるとしている
- 技術的に検知・遮断する。CASB・SWG・AI DLPは費用と工数が増えるため、まず明らかに危険なサービスの遮断に絞って小さく始めるとしている
3本の柱のどれも、使われている実態が分かっていることが前提になります。公認のAIを選ぶにも、ルールを書くにも、止めるサービスを決めるにも、まず今の使われ方を知る必要があるわけです。
禁止ではなく管理から入る理由
手引書は、禁止を先行させるだけでは申告されない利用が増え、実態把握がさらに困難になると書いています。表2-2でも、過度に厳格なルールはシャドーAIの増加を招くという趣旨の記載があります。禁止すれば利用が見えなくなり、見えなくなれば打てる手もなくなってしまいます。最初の30日は、止めることより、見える化して会社の使い方へ移すことを目的に置いてみてください。
全面禁止すると私物端末・個人スマホに利用が移る
会社のパソコンでAIのサイトを止めても、社員の手元には私物のスマートフォンがあります。手引書も、企業ネットワークを経由しない端末は技術的な制御が困難で、最終的には従業員の意識とルールの順守に頼ることになると書いています。全面禁止は、利用を会社から見えない端末へ追いやる結果になりかねません。私物の端末に移った利用はアンケートにも管理画面にも出てこなくなり、次の見直しの材料まで失ってしまいます。
禁止する・黙認する・会社が公認のAIを配るの3つの進め方を並べると、次のようになります。
| 進め方 | 個人のAIでの利用は減るか | 会社から見えるか | 社員の側に起きること | 費用・手間の目安 |
|---|---|---|---|---|
| 禁止する | 禁止の一言だけでは止まらない可能性がある。禁止されても個人的に使い続けると答えた人は19.2%（継続を会社に訴える18.6%と合わせ37.8%。本人の意向を聞いた調査） | 申告されない利用が増え、実態の把握がさらに難しくなる（手引書）。私物の端末に移った利用は、アンケートにも管理画面にも出てこない | 使いたい理由は残ったまま、会社から見えない私物のスマートフォンなどに利用が移りかねない | 宣言するだけなら早い。技術的に止めるCASB・SWG・AI DLPは、費用と工数が増える（手引書） |
| 黙認する | 減らす手立てがなく、個人のAIでの利用が続くと考えられる | 誰がどのAIを何に使っているか分からないまま。実態不明の状態が、ほかのリスクの発見を遅らせる | 会社のAIがないため、自分で契約したり無料版を使ったりする。無料版や個人のアカウントでは、入力が学習に使われる設定の場合がある | 会社の契約はないが、社員が個人名義で契約したAIを立て替え、経費精算に出している可能性がある |
| 会社が公認のAIを配る | 個人のAIに流れる理由を大きく減らせる。ただし、今の個人のAIより不便だと社員は戻ってこない | 学習に使わない設定、アカウントの停止、誰がいつ使ったかのログを会社側でそろえられる環境を選べば、利用が見える | 使ってよい環境と、迷ったときの行き先ができる | 会社のAI環境の費用がかかる。予算は経営者が3週目に決め、人数が増えたときの料金を全員に配る前提で計算する |
責めずに聞く：目的は処罰ではなく安全な使い方の整備
洗い出しで社員に正直に答えてもらうには、最初に、これまでの利用を責めないと会社が言い切ることが近道になります。豪ビクトリア州の情報コミッショナー事務局（OVIC）が2024年9月に公表した調査報告では、同州の家族・公正・住宅省で、2023年7〜12月に職員約900人が業務端末からChatGPTのサイトにアクセスしていました。2024年4月に情報部門の責任者が約900人へ使い方を尋ねるメールを送ったところ、回答したのは10人だけでした。閲覧のログにはサイトへのアクセスが残っても、何を入力したかは組織から見えなかったことも、同じ報告書に記されています。
国内でもRIZAPが2026年9月3日に、会社が業務利用を許可していない外部の生成AIサービスへのデータのアップロードを公表しました。委託元の健保組合によると、発覚は8月20日の本人の申告です。社員が自分から言い出せる空気は、それ自体が守りの一つとなります。
専任の情シスがいない会社の役割分担
専任の情シスがいない会社では、経営者・総務・各部署の窓口の3者で役割を分けると、30日の作業が止まりにくくなります。パソコンや社内システムに詳しい社員がいれば、管理画面の確認だけを兼任で頼む形でも足ります。
経営者が決めること
- 対策を始めることと、これまでの利用を責めないことを、自分の名前で社員に伝える
- 2週目にまとまるルール1枚を読み、承認する
- 3週目に、会社のAI環境にかける予算を決める
- 判断に迷う案件の最終判断を引き受ける
総務（取りまとめ役）がすること
- アンケートの配布と集計、棚卸し表の作成
- ルール1枚の文案づくりと、経営者への説明
- 周知文と説明の場の準備
- 相談窓口と自己申告の一次受け
- 30日目の合格ラインの確認と、次の見直し日の設定
各部署の窓口がすること
- 部署内でアンケートへの回答を呼びかける
- 部署でよく使われている業務とAIを総務に伝える
- ルールを読んだ部署内の疑問を集めて、総務に渡す
パソコンに詳しい兼任の担当者（いれば）
- Google WorkspaceやMicrosoft 365の管理画面で、社員が連携を許可したアプリを確認する
- Chromeを会社で管理している場合は、拡張機能の一覧を確認する
1人で全部を抱えると、通常業務の合間では30日で終わらないことが多くなってしまいます。総務の担当者が1日30分から1時間ほどこの作業に使える状態を、経営者が最初に約束しておきましょう。外部の協力会社にパソコンの管理を任せている会社であれば、管理画面の確認だけをその会社に頼むことも出来ます。
1週目（1〜7日目）：利用実態を洗い出す
1週目のゴールは、社内で使われているAIと、そこに入っている情報の種類を1枚の表にすることです。完璧な一覧を目指さず、7日目までに分かった範囲で区切るほうが次に進みやすくなります。
1〜2日目：経営者の一言と、担当の決定
1日目に、経営者から全社員へ、AIの使い方を調べることと、これまでの利用は責めないことを伝えます。同じ日に、総務の取りまとめ役と各部署の窓口を決めておきましょう。2日目には、アンケートの設問と棚卸し表の形を、この記事のひな形から用意することが出来ます。
2〜6日目：無記名のアンケートで聞く
アンケートは部署名だけを書いてもらう無記名の形にすると、答えやすくなります。締め切りは配布から3〜4日後とし、各部署の窓口から一度だけ声をかけてもらいましょう。聞く項目は、手引書の表2-3が挙げる把握事項に合わせると、そのまま棚卸し表に書き写せて手間が減ります。具体的な設問は後半のひな形に載せてあり、詳しい設計はシャドーAIの社内アンケートの作り方でも紹介しています。
3〜6日目：経費精算・カード明細・管理画面から棚卸しする
アンケートと並行して、総務の手元にある記録からも利用を拾います。経費精算や法人カードの明細にAIサービスの名前があれば、社員が個人名義で契約して立て替えている可能性があります。Google Workspaceを使っている会社は、管理コンソールの「メニュー → セキュリティ → アクセスとデータ管理 → API の制御」から「アプリのアクセスを管理」を開くと、社員がアクセスを許可したアプリの一覧を「ユーザー数」「リクエストされたサービス」の列とともに見ることが出来ます。Microsoft 365を使っている会社では、Microsoft Entra 管理センターの「Identity > Applications > エンタープライズ アプリケーション > 同意とアクセス許可 > ユーザーの同意設定」が確認先となります。既定では、すべてのユーザーが管理者の同意を必要としないアクセス許可のアプリに同意できる設定になっています。設定を変えても効くのは今後の同意操作だけで、すでに与えた同意は残る点に気をつけてください。
Chromeを会社で管理している場合は、管理コンソールの「デバイス > Chrome > 設定」にある「ブラウザに関するレポート」で「管理対象ブラウザのクラウド レポートを有効にする」をオンにすると、拡張機能の名前と権限、ユーザーが自分で入れたものかどうかを確認出来ます。AIの機能を持つブラウザ拡張は、入れた本人にも業務で使っている意識が薄いことがあり、アンケートだけでは漏れやすい対象になります。見つかった拡張機能は、Google 管理コンソールの拡張機能の許可・ブロックの設定で、あとから扱いを決めることも出来ます。管理画面での調べ方を詳しく知りたい方は、シャドーAIの見つけ方やシャドーAIは会社にバレるのかも参考になるでしょう。
※管理画面の名称と表示される項目は、2026年9月19日と10月4日に各社の公式ヘルプで確認したものです。画面の表示は変わることがあります。
7日目：集計して、困りごとを読む
7日目は、アンケートと棚卸しの結果を1枚の表にまとめる日になります。件数を数えるのと同じくらい、自由記述の会社で用意してほしいものの欄を丁寧に読んでみてください。会社のAIがないから自分で契約した、無料版しか使える手段がなかった、という声が多ければ、社員が個人のAIに流れている理由は、会社の側に受け皿がないことにあると考えられます。その場合は、ルールで締めつけるより先に、使ってよい環境を用意することが近道となります。
受け皿がないことが理由なら、使うAIの環境を会社で1つにそろえるのが近道です。UPGEAR AI（アップギアAI）は、ChatGPT・Claude・Gemini・Perplexityを1つの契約で使える法人向けサービスです（人数無制限）。
2週目（8〜14日目）：線引きのルールを1枚にまとめる
2週目は、1週目の表をもとに、使ってよいもの・条件付きで使ってよいもの・使わないものを決め、A4で1枚のルールにまとめます。分厚い規程はこの段階では作らず、社員が数分で読める長さを目安にするのがおすすめです。
8〜10日目：許可・条件付き許可・禁止の3段階で線を引く
棚卸し表の1行ずつに、許可・条件付き許可・禁止のどれかを付けていきます。条件付き許可は、会社のアカウントで学習に使わない設定にしたうえで社内情報までなら可、のように条件を文で書くと迷いが減ります。判断に迷うものはいったん条件付き許可にして、3週目の受け皿が決まった時点で見直す形でも差し支えありません。
- 許可の例。会社が契約し、学習に使わない設定を会社側でそろえられるAI
- 条件付き許可の例。無料版や個人契約のAIを、公開されている情報だけに使う場合
- 禁止の例。提供元や保存先が分からないAIや、会話の内容を外部に送る恐れがあるブラウザ拡張
10〜11日目：入力してはいけない情報を具体的に書く
ルールの中で社員の行動を大きく左右するのが、入力してはいけない情報の書き方になります。機密情報は入力禁止とだけ書いても、何が機密に当たるのかは人によって違ってしまいます。次のように、社員が自分の手元の資料で判断できる言葉で並べてみましょう。
- 顧客や取引先の氏名・連絡先・住所などの個人情報
- マイナンバー、クレジットカード番号、口座番号、社員番号
- 公表前の決算・価格・契約条件・人事の情報
- 取引先から預かった資料や、秘密保持の約束をして受け取った情報
- パスワードや、システムにつなぐためのキー
個人情報保護委員会は2023年6月2日の注意喚起で、個人データを含む指示を生成AIに入力する場合は、提供事業者がそのデータを機械学習に使わないこと等を十分に確認するよう求めています。手引書の6.3.1が、AIの利用画面に入力してよい範囲を常に表示したり、ログイン時に警告を出したりする方法を、導入の負担が小さい中核の対策として挙げているのも参考になるでしょう。
利用場面ごとの線引き（議事録・メール下書き・翻訳・コード・顧客リスト）
場面ごとの例をルールに添えると、社員が自分の作業に当てはめやすくなります。
- 議事録。社外の方が参加した会議の録音や文字起こしは、会社のAI環境でだけ扱う
- メールの下書き。宛先の氏名や案件名を伏せれば、条件付き許可の範囲で扱える
- 翻訳。公開済みの文書は許可し、契約書や取引先の資料は会社のAI環境でだけ扱う
- コード。社内システムのソースコードや、システムにつなぐためのキーは入力しない
- 顧客リスト。どの環境でも、一覧ごと貼り付けることはしない
例は会社の業種によって変わるため、1週目のアンケートで多かった使い方から順に書き足していきましょう。
無料版・個人アカウントは入力が学習に使われることがある
線引きの理由として社員に伝えたいのが、無料版や個人のアカウントでは、入力した内容がAIの学習に使われる設定になっている場合があることです。ChatGPTの個人向けの設定では、データコントロールの「すべての人のためにモデルを改善する」が既定でオンになっており、オフにすると学習に使われなくなります。一方、ChatGPTのBusiness・Enterprise・Eduは、既定で学習に使わない扱いとなっています。社員一人ひとりの設定に任せると漏れが出るため、会社の契約で一律にそろえる理由がここにあります。ChatGPTでの具体的な対応は社員がChatGPTを勝手に使っていたときの対応にまとめています。
12〜14日目：申請・承認の流れと、迷ったときの相談先を決める
ルール1枚の最後には、載っていないAIを使いたいときの申請先と、迷ったときの相談先を書きます。手引書は、審査の観点と却下されやすい条件を前もって示しておけば、申請する側が自分で見込みを立てられ、承認も速くなるとしています。小さな会社であれば、申請は総務への1通のメールかチャットで受け、回答の期限を3営業日以内のように決めておく程度で十分です。14日目に経営者が文案を承認すれば、2週目は終わりとなります。禁止の書き方そのものはシャドーAIを禁止する前に考えること、規程全体の作り方は生成AIの社内ガイドラインの作り方で詳しく扱っています。
3週目（15〜21日目）：会社のAI環境という受け皿を用意する
3週目は、ルールで使ってよいとした使い方を、会社の管理の下で実際に使える環境を用意する週になります。禁止や監視だけで止めると、社員の手元には使いたい理由だけが残り、個人のAIに戻る道も残ったままになってしまいます。会社が安全な環境を用意すれば、社員が個人のAIに流れる理由を大きく減らせます。
15〜17日目：受け皿に求める条件を決める
候補を比べる前に、自社の受け皿に求める条件を決めておきましょう。
- 入力した内容を学習に使わない設定を、会社側で全員にそろえられる
- 退職や異動のときに、管理者がアカウントを止められる
- 誰がいつ使ったかのログを、会社側で残せる
- 社員が今使っているAIと同じくらい便利で、乗り換える気になれる
- 人数が増えたときに料金がどう変わるかを、全員に配る前提で計算できる
手引書の6.3.2は、AIを導入する企業が最低限そろえる水準として、ログを残して後から確認できる状態を挙げています。保存期間の例として、利用日時などの記録は長め（例：1年）、入力や出力の本文は短め（例：3か月）という分け方が示されているのも目安になるでしょう。4つ目の条件は見落とされがちですが、受け皿が今の個人のAIより不便だと、社員は戻ってきません。
18〜21日目：情報漏えいのリスクが高い部署から始める
全社に一度に配れない場合は、顧客の個人情報や取引先の資料を多く扱う部署から先に使い始める進め方もあります。手引書も、組織公認のAIは情報漏えいのリスクが高い部署から優先して提供してよいとしています。個人で有料契約をしていた社員には、会社の環境へ移る期限を決めて案内し、移ったあとで個人契約を解約してもらう流れにすると混乱が少なくなります。検知のツールで探す方法や費用の目安は、シャドーAI対策ツールの選び方で比べられます。
4週目（22〜30日目）：周知と点検で一巡させる
4週目は、決めたルールと用意した環境を全社員に伝え、30日目に合格ラインを満たしたかを点検する週です。周知は文書を配って終わりにせず、短い説明の場を1回設けると、質問がその場で片づきます。
22〜24日目：経営者名義の周知文を出す
周知文は総務ではなく経営者の名前で出すと、会社としての方針だと伝わりやすくなります。文面には、これまでの利用を責めないこと、移行の期限、相談窓口の3点を必ず入れてください。自己申告の猶予期間を設け、その間の申し出は会社の環境へ移る手続きだけで扱う、と明記するのも一案でしょう。
25〜27日目：社員教育は禁止事項の暗記より、理由と使い方を伝える
説明の場では、禁止事項を読み上げるより、なぜその線を引いたのかと、会社の環境での使い方を見せるほうが伝わります。IPAの「AI利用者のためのセキュリティ豆知識」（2026年4月2日公開）は、AIにもセキュリティにも詳しくない利用者やマネージャを想定したスライドで、社内研修にも使えると案内されています。「クラウドAIに営業秘密は教えない」「AIブラウザは社内用と社外用を分ける」など5つの項目が並んでおり、30分ほどの説明の土台になるでしょう。総務省の「生成AIはじめの一歩」も話す内容のメモ付きのスライドで、使う前にページに書かれた連絡先へ事前に連絡する決まりになっています。教育の組み立て方はシャドーAIを防ぐ社員教育で詳しく紹介しているので、あわせてご覧ください。
28〜30日目：合格ラインを点検する
最後の3日間で、次の節の合格ラインを1つずつ確認します。満たせなかった項目は失敗ではなく、31日目以降の宿題として棚卸し表の横に書いておけば十分です。
30日の後は、年1回以上の見直しと継続的な点検へ
手引書の2.4.1は、AIの利用実態の把握を最低でも年1回、大型のアップデートや重大な事故、ガイドラインの改定のときにも追加で実施するよう勧めています。小さな会社であれば、半年に1回アンケートを取り直し、棚卸し表を更新するくらいの頻度から始めてみてください。新しいAIや機能は次々に出てくるため、ルール1枚も同じタイミングで読み直すことになります。点検の項目はシャドーAI対策チェックリストも使えます。
そのまま使えるひな形（アンケート設問・周知文・棚卸し表）
30日の作業で手が止まりやすいのは、白紙から文面を作る場面です。下のひな形は、会社名や期限を入れ替えればそのまま使える形にしてあります。
※ひな形はこの記事の編集上の例で、公的な様式ではありません。業種や社内の言葉づかいに合わせて、項目を足し引きしてください。
ひな形1：社員アンケートの設問（無記名・部署名のみ）
このアンケートは無記名です。これまでの利用を責めたり、回答を理由に処分したりすることはありません。部署名だけご記入ください。
- この3か月で、業務に生成AIを使ったことはありますか。（よく使う／ときどき使う／試したことがある／使っていない）
- 使ったことのあるAIを選んでください。（ChatGPT／Claude／Gemini／Microsoft Copilot／Perplexity／ブラウザの拡張機能／ほかのサービスに付いているAI機能／その他）
- そのAIは、どの形で使っていますか。（会社が契約したもの／自分で有料契約したもの／無料版／分からない）
- 使う頻度はどのくらいですか。（毎日／週に数回／月に数回）
- どの業務で使いましたか。（議事録・文字起こし／メールの下書き／翻訳／資料づくり／調べもの／プログラムのコード／その他）
- 入力したことのある情報を選んでください。（公開されている情報／社内の情報／取引先や顧客の情報／個人情報／入力していない・覚えていない）
- AIの出力は、どこで使いましたか。（自分の作業だけ／社内で共有／社外や顧客に出す資料）
- 会社で用意してほしいAIや、使っていて困っていることがあれば、自由にお書きください。
設問3・6・7は、手引書の表2-3にある契約形態、入力データの種別、出力の利用先の項目に合わせた作りになっています。この3つがそろうと、2週目の3段階の判定にそのまま使えます。
ひな形2：経営者名義の周知文
件名：生成AIの使い方についてのお願いと、アンケートへのご協力
社員の皆さまへ
業務でChatGPTなどの生成AIを使う場面が増えています。会社として安全に使える環境とルールを整えるため、今月から30日かけて準備を進めます。
まず、いま誰がどのAIを何に使っているかを知るため、アンケートにご協力ください。これまでの利用を責めたり、回答を理由に処分したりすることはありません。便利な使い方を、会社として安心して続けられるようにするための調査です。
- アンケートの回答期限：◯月◯日（◯）まで
- 自分で有料契約しているAIがある方は、◯月◯日までに下記の窓口へお知らせください。会社の環境へ移る手続きをご案内します
- 使ってよいか迷うときの相談窓口：総務部 ◯◯（内線◯◯／社内チャット）
◯月◯日には、使ってよいAIと入力してはいけない情報をまとめたルールと、会社で使えるAIの環境をお知らせします。ご協力をお願いします。
代表取締役 ◯◯ ◯◯
責めない一文は、自己申告を待つ立場の会社にとって最初の呼び水になります。期限と窓口が書かれていれば、読んだ社員が次に何をすればよいかで迷わずに済むでしょう。
ひな形3：個人契約・拡張機能などの棚卸し表
棚卸し表は、手引書の表2-3の項目を下敷きにして、見つけた経路と判定の欄を足した形にしています。表計算ソフトの1行に1つのAIサービスを書き、次の項目を列にしてみてください。
1行ごとに書く項目
- 製品名と提供事業者
- 契約形態（法人契約／個人契約／無料利用）
- 使っている部署と、おおよその人数
- 利用目的（どの業務に使っているか）
- 入力しているデータの種別（公開／社内／機密／個人）
- 出力の利用先（社内のみ／社外提供／顧客向け）
- 見つけた経路（アンケート／経費精算・カード明細／管理画面／拡張機能のレポート／本人の申し出）
- 判定（許可／条件付き許可／禁止）と、移行や解約の期限
探す場所の例
- 経費精算と法人カードの明細
- 立て替えで払われている月額のサブスクリプション
- ブラウザの拡張機能
- すでに契約している業務ソフトに、あとから付いたAI機能
- 退職者や異動者が使っていたアカウント
退職者や異動者が個人契約のまま使っていたアカウントは、本人がいなくなると誰も止められなくなってしまいます。見つけた時点で、本人か上長に解約やデータの削除を頼んでおきましょう。
30日後の合格ラインと、30日ではやらないこと
30日目の合格ラインは、使われているAIが見えていて、社員が迷ったときに行き先がある状態です。対策が完成した状態ではなく、次の見直しを回せる土台ができた状態と考えてください。
- 棚卸し表ができているアンケートと経費精算・管理画面の確認から、使われているAIと契約形態、入力している情報の種類が1枚にまとまっている
- ルールが1枚にまとまり、経営者が承認している許可・条件付き許可・禁止の3段階、入力してはいけない情報、申請先と相談先が書かれている
- 会社のAI環境が1つ使える少なくとも情報漏えいのリスクが高い部署で、学習に使わない設定とアカウントの停止ができる環境が使われ始めている
- 全社員に周知が届いている経営者名義の周知文が出ていて、説明の場を1回設けている
- 相談窓口と申請の流れが動いている窓口の担当者と回答の期限が決まり、自己申告の受け付けが始まっている
- 次の見直し日が決まっているアンケートと棚卸し表を更新する日が、予定に入っている
CASB・DLPなどの技術的な制御とログ管理は後回しでよい
社員10〜200名の会社が最初の30日で手を出さなくてよいのは、通信を見張って止める仕組みの導入です。CASBはクラウドサービスの利用を見える化して制御する仕組みで、DLPは機密情報の持ち出しを検知して止める仕組みのことを指します。手引書も、こうした仕組みは費用と工数が増えるため、まず明らかに危険なサービスの遮断に絞って小さく始める考え方を示しています。30日の段階では、通信を見張る道具より、社員が自分から申し出られる仕組みを優先しましょう。
会社の環境を入れたあとのログは、3週目の条件どおり、その環境の中で残せれば当面は足ります。個人データを扱う社員の通信や操作を監視する場合は、個人情報保護委員会のQ&Aが、目的をあらかじめ特定して社内規程に定め、従業者に明示することや、責任者と権限を決めることを留意点に挙げています。監視は30日の後に、目的とルールを決めてから検討する順番が無理のない進め方となります。
30日ではやらないこと（後回しでよいこと）
- CASB・SWG・DLP・AIゲートウェイの導入
- 社員の通信や画面操作の常時監視
- 就業規則の懲戒規定の改定（社会保険労務士などの専門家と別に進める）
- 部署ごとの細かな運用マニュアルづくり
- 過去の利用の責任追及や処分の検討
厚生労働省の解説は、フジ興産事件の最高裁判決（平成15年10月10日）を引いて、懲戒の規定を書いた就業規則が周知されていなければ懲戒はできないと説明しています。処分の話は、ルールの周知が済んでから専門家と進めても遅くはありません。処分の考え方はシャドーAIと懲戒処分で扱っています。
4つのAIを、会社の管理の下で使える受け皿に
UPGEAR AI（アップギアAI）は、ChatGPT・Claude・Gemini・Perplexityを1つの契約・1つの画面で使える法人向けサービスです。管理者ダッシュボードで利用ログ・権限・モデルのON/OFFを管理でき、基盤はAWSの日本リージョンで稼働しています。料金は月額30,000円（税抜）から。どのプランも利用人数は無制限で、料金は利用量に応じたプラン設計です（人数の目安はライト1〜5名・スタンダード6〜20名・プレミアム21〜50名）。
資料をダウンロード UPGEAR AIの詳細を見るよくある質問
社員が10名ほどの小さな会社でも、30日で進められますか？
社員が個人のChatGPTに業務の情報を入れていたと分かったら、どうすればよいですか？
最初から全面禁止にしたほうが早くありませんか？
監視ツールを入れないと、対策をしたことになりませんか？
アンケートは記名と無記名のどちらがよいですか？
30日が終わったら、次に何をすればよいですか？
まとめ
シャドーAI対策は、実態の洗い出し、線引きのルール、会社のAI環境という受け皿、周知と点検の順に進めると、前の段階の結果を次に生かすことが出来ます。最初の30日は1週ずつこの4段階を進め、30日目には一覧・ルール1枚・受け皿・周知・相談窓口がそろった状態を目指します。CASBやDLPといった重い道具や監視は、その後に目的を決めてから考えても間に合います。まずは1日目に、経営者の名前でこれまでの利用は責めないと伝えるところから始めてみてください。
会社が把握していないIT全般をどう見つけて減らすかは、シャドーITとは？シャドーAIとの違いと会社での見つけ方で整理しています。
法人のAI活用に関するほかの記事は、AI活用コラム一覧にまとめています。