シャドーAI対策チェックリスト｜中小企業が今日から始める10項目

公開日：2026年8月29日／
最終更新：2026年8月29日

シャドーAI対策の最初の一歩は、AIを禁止することではありません。社内で今どのAIが使われているかを知ることです。

この記事では、専任の担当者がいない中小企業を想定して、やるべきことを10項目のチェックリストにしました。
お金がかからず今日できるものから順に並べています。
前半4項目は、新しい管理ツールを購入せずに今日から着手できます。

シャドーAIという言葉自体をまだご存じない方は、
シャドーAIとは？企業リスクとDX担当者の対策
もあわせてご覧ください。

目次

• シャドーAIをひとことで言うと
• 中小企業ほど後回しにしやすい理由
• シャドーAI対策チェックリスト10項目
• そのまま使えるAI棚卸しシート
• やりがちだが逆効果な対応
• よくある質問
• まとめ
• 参考文献・関連リンク

シャドーAIをひとことで言うと

シャドーAIとは、会社が許可していないAIを、社員が仕事で使っている状態のことです。
シャドー（shadow）は影という意味で、会社から見えないところで使われている、というイメージです。

たとえば、こんな状況がすべてシャドーAIにあたります。

• 個人のアカウントで無料のAIを使い、お客様へのメール文面を作っている
• 会社の資料を貼り付けて、AIに要約させている
• 会社が知らないうちに、部署ごとに別々のAIサービスを契約している
• AIが自動で作業を進めるタイプのツールに、社内システムをつながせている

注意したいのは、対象が文章を作るAIだけではないという点です。
IPAの手引書では、AIが自分で判断して作業まで進める「AIエージェント」も含めて考えるよう整理されています。
勝手に使われているAIが自動でメールを送ったりファイルを消したりできる状態は、文章を作るだけのAIより影響が大きくなります。

中小企業ほど後回しにしやすい理由

Gartnerが2026年2月に実施した国内企業への調査では、シャドーAIについて「把握できていない」が43%、
「把握しているが有効な対策を取れていない」が30%でした。
合計すると73%の企業が管理できていないことになります。
きちんと対策できていると答えた企業は24%にとどまりました。
この結果は2026年6月18日に発表されています。

同じ調査では、IT部門が選んだ以外のAIを社員が使うことについて、
「自由に認めている」が8%、「審査したうえで問題なければ認めている」が67%でした。
つまり4社に3社は、現場が選んだAIの利用を何らかの形で認めています。
この調査では、一律禁止よりも、審査を経て利用を認めている企業が多いことが分かります。

中小企業で対策が後回しになる理由は、だいたい次の3つです。

• 専任のIT担当者がいないため、誰の仕事なのかが決まらない
• 監視ツールの導入を思い浮かべてしまい、予算がないから無理だと判断してしまう
• 社員数が少なく全員の顔が見えるため、大丈夫だろうと考えてしまう

ただし、対策の中身は監視ツールだけではありません。
IPAの手引書でも、いきなり全部を技術で止めるのではなく、明らかに危険なものから小さく始めるやり方が現実的だとされています。
次の章のチェックリストも、前半はすべて紙とヒアリングだけで完了します。

シャドーAI対策チェックリスト10項目

3つの段階に分けています。上から順に進めてください。
1から4までは費用がかからず、その日のうちに手をつけられます。

ステップ1：今日から1週間でやること（費用ゼロ）

1. 担当を1人決める
   
   AI利用の相談先と、最終判断を担う人を決めます。専任者がいなければ、社長や総務担当者などの兼任でも始められます。
   大切なのは「AIのことはこの人に聞けばいい」と全員が分かる状態にすることです。
   決まっていないと、部署ごとにバラバラの判断がされ、問題が起きたときに誰も動けません。
   

2. 誰がどのAIを使っているか聞く
   
   次の章の棚卸しシートを使って、全員に聞き取ります。
   このとき、責めない聞き方をするのが最大のコツです。
   「禁止するために調べている」と伝わると正直に答えてもらえず、調査そのものが失敗します。
   「便利に使えるようにしたいので教えてほしい」という聞き方にしてください。
   

3. 入れてはいけない情報を3つだけ決める
   
   いきなり細かいルールを作ると誰も覚えられません。まず3つに絞ります。
   たとえば「お客様の名前と連絡先」「まだ公表していない金額や契約の話」「他社から預かった資料」の3つです。
   判断に迷ったときの相談先も、同じ紙に書いておきます。
   

4. AIの画面にルールを表示させる
   
   決めたルールは、社員がAIを開いたときに目に入る場所に置きます。
   社内で使うツールのトップページ、業務用パソコンの壁紙、モニターに貼る付箋、どれでもかまいません。
   IPAは、ルールの明文化と従業員教育を求めています。本記事では、ルールを忘れにくくする方法として、業務画面や社内ポータルなど目に入る場所への掲示を提案します。
   

ステップ2：1か月以内にやること

5. 会社として使ってよいAIを用意する
   
   勝手に使われる一番の理由は、仕事で使いたいのに公式の手段がないことです。
   会社が利用条件やデータの扱いを確認したAIを用意し、業務で使える選択肢として示します。
   全社に配るのが難しければ、お客様の情報をよく扱う部署など、リスクの高いところから始めます。

   
   

   なお、会社が積極的にすすめるAIと、申請があれば許可するAIは分けて管理すると混乱が減ります。
   前者を組織公認AI、後者を組織承認AIと呼び分ける整理の仕方があります。
   

6. ルールを1枚の紙にまとめる
   
   分厚い規程は必要ありません。A4で1枚に、次の項目だけ書きます。
   誰が対象か／使ってよいAIの一覧／入れてはいけない情報／出てきた答えの確認方法／やってはいけないこと／困ったときの連絡先。
   完璧を目指すと完成しないので、まず最低限で出して、あとから足していきます。
   

7. 新しいAIを使いたいときの申請先を作る
   
   禁止するだけでは、使いたい気持ちがなくなるわけではありません。
   「このAIを使いたい」と言える窓口を作ります。
   このとき、どんな条件なら通るのかを先に公開しておくと、申請する側も判断でき、審査する側の手間も減ります。
   

ステップ3：運用開始後も続けること

8. AIの答えを人が確認するルールを決める
   
   AIは、事実と違うことをもっともらしく書くことがあります。これをハルシネーションと呼びます。
   特にお客様に出す文章、契約に関わる内容、法律の判断については、人が確かめてから使うと決めておきます。
   逆に、社内メモやアイデア出しまで全部確認させると形だけの確認になるので、重要なものに絞るのがコツです。
   

9. 使用量と請求額の上限を設定する
   
   AIは使った分だけ料金がかかる契約が多く、設定を間違えると請求額が跳ね上がります。
   AIが自分で何度も処理を繰り返すタイプのツールでは特に起こりやすい事故です。
   利用するサービスに上限設定やアラート機能がある場合は設定します。ない場合は、管理画面や請求情報を定期的に確認します。
   

10. 年に1回、棚卸しをやり直す
    
    一度調べて終わりにすると、半年後にはまったく違う状況になっています。
    IPAの手引書では、実態の把握を最低でも年1回は繰り返すことが目安として示されています。
    大きな事故があったときや、主要なAIサービスに大きな変更があったときは、そのつど臨時で確認します。
    

そのまま使えるAI棚卸しシート

チェックリストの2番で使う表です。この項目立ては、IPAの手引書が示している把握すべき観点をもとにしています。
表計算ソフトに同じ見出しを作って、全員に記入してもらってください。

記入が集まったら、まず「契約の種類が個人契約または無料利用」かつ「入れている情報がお客様の情報」の行を探してください。
その組み合わせが、優先して手を打つべき箇所です。

やりがちだが逆効果な対応

いきなり全面禁止する

一番やってしまいがちな対応です。
IPAの手引書では、禁止を先に打ち出すと申告されない利用が増え、実態の把握がかえって難しくなるリスクが指摘されています。
使うのをやめるのではなく、見えないところで使うようになるだけ、という結果になりやすいのです。
禁止する場合は、必ず代わりの手段とセットにします。

高額な監視ツールから検討を始める

未承認のAIへの通信を止める製品はあり、有効な手段でもあります。
ただし導入にはネットワークの変更や業務への影響調査が必要で、費用も工数もかかります。
IPAの手引書でも、まず明らかに危険なサービスの遮断に絞って小さく始めるやり方が現実的だとされています。
加えて、会社のネットワークを通らない個人のスマートフォンからの利用は技術的に止めきれないため、
最後はルールと社員の理解に頼る部分が残ります。

ルールを作って配って終わりにする

ルールは配った時点ではなく、思い出せる場所にあって初めて機能します。
チェックリストの4番で画面や壁への表示をすすめているのはこのためです。
また、業務の実態と合わないルールは守られなくなります。半年ごとに現場の声を聞いて調整してください。

よくある質問

社員が10人程度の会社でもシャドーAI対策は必要ですか？

必要です。人数が少ない会社でも、一人が幅広い情報を扱う場合があります。大がかりなシステムから始める必要はなく、まずは利用実態の確認、公認AIの指定、入力禁止情報、相談先の設定から始められます。

シャドーAI対策にはいくらお金がかかりますか？

最初の4項目は、追加の管理ツールを購入せずに始められます。担当を決め、使用中のAIを聞き取り、入力禁止情報を決め、ルールを表示します。費用が発生する場合は、公認AIの法人契約や監視・制御ツールを導入する段階です。

無料版のAIを仕事で使うのはダメですか？

無料版そのものが悪いのではなく、会社が利用条件や入力データの扱いを確認せず、業務利用を把握できていない状態が問題です。会社が安全性や利用条件を確認した公認・承認AIへ移すことが基本の対応です。

社内にAIやセキュリティに詳しい人がいません。何から始めればよいですか？

詳しい人がいなくてもできる作業から始めます。まず棚卸しシートで、誰がどのAIを何に使っているかを一覧にすることです。製品名、契約の種類、用途、入力している情報の種類を書き出すだけで、次に何を決めるべきかが見えてきます。

勝手にAIを使っている社員を見つけたら叱るべきですか？

叱ると次から報告されなくなり、実態がさらに見えなくなります。多くの場合、悪意ではなく仕事を早く進めたいという動機から始まっています。まず申告を歓迎し、安全な代わりの手段を用意することを優先してください。

まとめ

シャドーAI対策は、禁止から始めるとうまくいきません。実態を知ることから始めます。
担当を決める、使用中のAIを聞く、入れてはいけない情報を3つ決める、それを目に入る場所に表示する。
この4つは今日から無料でできます。
そのうえで会社として使ってよいAIを用意し、申請の窓口を作り、年に1回見直す。この流れが基本形です。

参考文献・関連リンク

1. 
   IPA：セキュリティ担当者のための生成AIセキュリティ（2026年7月31日公開）
   
   

2. 
   IPA：生成AIおよびAIエージェントを安全に活用するための手引書（PDF）
   
   

3. 
   Gartner：国内企業の「シャドーAI」対応における新たな指針（2026年6月18日発表）
   
   

本記事が参照した手引書は、IPA産業サイバーセキュリティセンター中核人材育成プログラム第9期生の卒業プロジェクト成果物としてIPAが公開したものです。
同書には、記載内容はIPAおよび産業サイバーセキュリティセンターの意見を代表するものではなく著者の見解に基づく旨、および有効期限を発行日から2年間とする旨が明記されています。
引用にあたっては最新版と原文をご確認ください。