シャドーAIとは？会社にルールがないまま生成AIを使う怖さと、社内SEが引いている4つの線引き

「これ、仕事で使っていいんですかね」

若手からスマホの画面を見せられて、その場で答えられませんでした。

地方の中小企業で社内SEをしています、さかもとです。情報システムの担当なのに答えられなかったのは、うちの会社に生成AIのルールがまだ無かったからです。禁止もされていない。許可もされていない。判断のよりどころが社内のどこにも無い。

同じ状態の会社、たぶん多いと思います。そしてこの「ルールが無い」状態が、40代にとって一番やっかいです。自分が使うかどうかだけでなく、聞かれる側になっているからです。

この記事では、シャドーAIという言葉の意味を短く整理したうえで、ルールが無い会社で私が実際に引いている線引きを書きます。

シャドーAIとは、会社が把握していないAI利用のこと

シャドーAIとは、会社が把握・許可していない生成AIを、業務に使っている状態を指します。

もとになったのは「シャドーIT」という言葉です。会社が導入していないクラウドストレージやチャットアプリを、便利だからと個人で使ってしまう。あれのAI版だと思ってください。

並べてみると分かりますが、どれも仕事を前に進めようとしてやっていることです。サボりでも悪意でもありません。ここがシャドーAIのやっかいなところで、真面目な人ほどやります。

「禁止されていない」は「許可されている」ではない

多くの人がここで引っかかります。社内規程を検索しても「生成AI」という単語が出てこない。だから使っていい、と解釈してしまう。

でも規程に書かれていないのは、会社がまだ判断していないだけです。

「禁止されていない」は「許可されている」ではありません。

ルールが無い状態で使うということは、判断したのが会社ではなく、使ったあなた自身になるということです。何かあったときに「禁止されていませんでした」は通りません。

40代のシャドーAIは、「自分が使う」だけで終わらない

若手のシャドーAIは、基本的に自分の作業の話で完結します。

40代は違います。便利なものを見つけたら、周りに共有してしまう立場にいます。

「これ使うと議事録が一瞬だよ」とチームに教える。部下から「使っていいですか」と聞かれて「大丈夫じゃない?」と答える。悪気なく、むしろ良かれと思ってやる。

ここで変わるのは、事故が起きたときの説明の重さです。自分が使っていただけなら知らなかったで済む部分もありますが、広めた側になると「なぜ確認しなかったのか」を問われます。年次が上がるほど、そこは免れません。

同世代に一番言いたいのはこれです。使うかどうかより先に、勧める前に一度立ち止まってほしい。 自分ひとりの判断が、いつのまにか部署の運用になっていることがあります。

情シスが本当に怖いのは「漏れること」ではなく「見えないこと」

情シスは生成AIを止めたがっている、と思われがちです。実際は少し違います。

私が怖いのは、事故が起きたときに「何が出たのか」を答えられないことです。

たとえば取引先から「御社に渡した資料が外部に出ていないか」と問い合わせが来たとします。会社が管理しているツールの中で使われていれば、記録を確認して「この範囲です」と答えられます。でも個人のアカウントで使われていたら、社内の誰も、何が入力されたのか把握できません。

そのとき言えるのは「分かりません」だけです。これが一番きつい。漏れたかどうか以前に、説明できない会社だと思われます。

だから情シスの本音は「使うな」ではなく、「どこで何に使っているか教えてほしい」です。ここを誤解したまま黙って使われるのが、双方にとって一番まずい形になります。

実際に何が起きるのか、3つだけ

危険性を並べるときりがないので、業務で現実に効いてくる3つに絞ります。

1. 入力した内容が、学習に使われることがある

無料の生成AIサービスには、入力された内容をサービス改善や学習に使う場合があります。プランや設定によって扱いが変わるので一律には言えませんが、少なくとも「絶対に使われない」と思い込むのは危険です。

学習に使われた情報がそのまま他人への回答に出てくるかというと、そこまで単純な話ではありません。ただ、自社の未公開の案件名や取引先の社名が入った文章を、外部の会社のサーバーに預けたという事実は残ります。取引先との契約に守秘義務の条項があれば、それだけで問題になり得ます。

各サービスの規約は変わります。業務で使うなら、そのサービスの今の規約を一度自分で確認してください。

2. アカウントが、自分のものとして残り続ける

個人アカウントで使うということは、入力した業務情報が、会社の管理外に、あなた個人の持ち物として溜まっていくということです。

退職するとき、会社はそれを消せません。あなた自身が覚えていて消さない限り、残り続けます。悪意がなくても、結果としては情報の持ち出しと同じ形になります。

管理する側から見ると、存在を知らないものは回収できません。これがシャドーAIの本質的な怖さです。

3. 出力の責任は、AIではなく使った人に来る

AIが書いた文章をそのまま社外に出して、それが間違っていた場合、責任を負うのはAIではなくあなたです。

生成AIは、それらしい嘘を混ぜます。数字、固有名詞、法令の条文あたりは特に危ない。AIに書かせたから間違えた、は理由になりません。

社内SEが引いている4つの線引き

ここからが本題です。ルールが無い会社で、私が自分に課している線引きを4つ書きます。会社の正式な規程ではなく、あくまで私個人の運用ですが、判断に迷ったときの参考になると思います。

1. 固有名詞を消せば、たいていは通る

ちなみにExcelの数式のように、そもそも固有名詞が入っていないものは、そのまま貼って構いません → エクセルの関数、まだググっていませんか

一番実用的なのがこれです。社名・人名・案件名・金額を、A社 B部長 本件 ◯円 に置き換えてから入力する。

A社から値下げの要求があり、B部長は難色を示している。角が立たない断りのメールを書きたい。

ここまで抽象化すれば、外に出て困る情報はほとんど残りません。AIが必要としているのは状況の構造であって、固有名詞ではないからです。返ってくる文章の質も、ほとんど落ちません。

置き換えに10秒かかりますが、その10秒で使える範囲がかなり広がります。

メールの下書きをAIに任せる具体的な手順は、こちらにまとめています → ビジネスメールはAIに下書きさせる

固有名詞を消したうえで、どう書けば伝わるか → AIの回答が「なんかイマイチ」な理由。40代のための、指示の型「役割・背景・形・制約」

2. 「もらった資料」は上げない。「自分が書いたもの」は上げてよい

迷ったときの分かれ目はここです。

• 自分が書いたもの(自分のメール下書き、自分のメモ、自分が作った資料) → 上げてよい
• 他人からもらったもの(取引先の提案書、他部署の企画書、社内規程、送られてきたPDF) → 上げない

もらった資料には、渡した相手が「社外には出さない前提」で渡しているものが含まれます。それを自分ひとりの判断で外部サービスに渡していいわけがない、という単純な線です。

資料をAIに読ませたい場面は確かにあります(分厚い資料を短時間で把握する方法は別記事に書きました)。ただ、もらった資料でそれをやるなら、次の3番が前提になります。

3. 「使っていいですか」ではなく「業務用アカウントで使えますか」と聞く

会社が法人向けのGoogle WorkspaceやMicrosoft 365を契約しているなら、契約内容によっては業務利用できる生成AIがすでに含まれていることがあります。これなら会社の管理下です。

情シスへの聞き方にはコツがあります。

• ✕ 「ChatGPT使っていいですか」 → 許可の判断を求められるので、安全側に倒して止められやすい
• ○ 「議事録の要約に使いたいのですが、会社のアカウントで使える環境はありますか」 → 環境の相談になるので、一緒に考える形になる

やりたいことを先に言うのが大事です。ツール名から入ると「そのツールを許可するか」の話になり、目的から入ると「どう実現するか」の話になります。後者のほうが圧倒的に前に進みます。

聞かれた側としても、目的が分かれば代替案を出せます。「そのツールは駄目だけど、これなら会社の契約に入っている」と言えるのは、目的を教えてもらえたときだけです。

4. 出力は、必ず自分の手で書き直す

AIの出力をそのまま使わない。一度、自分の言葉に直す。

これは品質の話でもありますが、それ以上に中身を自分で確認する強制力として効きます。書き直す過程で、事実と違う部分や、社内では使わない言い回しに気づきます。

コピペで送れてしまうと、確認する機会がまるごと消えます。ここが一番事故が起きやすい。

それでも、使わない選択が正しいわけではない

ここまでリスクの話をしてきましたが、「怖いから使わない」を勧めているわけではありません。

会議のあとの議事録づくりや、気を使うメールの下書きに時間を取られ続けるのも、それはそれで会社にとっての損失です。私自身、録音とAIで議事録を短縮するやり方を毎週使っています。

必要なのは、使わないことではなく、説明できる形で使うことです。固有名詞を消して、もらった資料は上げず、会社の環境で使えないかを一度聞く。この3つをやっていれば、後から「なぜそう判断したのか」を説明できます。

シャドーAIが問題なのは、便利だからでも危険だからでもなく、誰にも見えないところで行われているからです。見える形にすれば、ほとんどは普通の業務改善になります。

まとめ:ルールが無いなら、自分の線を決めておく

やることを整理すると、これだけです。

1. 社名・人名・案件名・金額は、記号に置き換えてから入力する
2. もらった資料は上げない。自分が書いたものは上げてよい
3. 「業務用アカウントで使える環境はありますか」と情シスに聞いてみる
4. 出力はそのまま使わず、必ず自分の手で書き直す
5. 便利なものを人に勧める前に、一度立ち止まる

会社にルールができるのを待っていると、たぶん何年かかかります。その間、自分の線を決めて、それを説明できるようにしておく。 これが今できる一番現実的な守り方だと思っています。

そして線引きの精度は、AIの仕組みをどれだけ知っているかで変わります。「何が危ないのか」を自分で判断できるようになると、使える範囲はもっと広がります。そのための学び方については、別の記事にまとめました。

→ 40代からのリスキリングで挫折しないコツ。現役社内SEが実践する「小さく試す」学び方

まずは明日、AIに何かを入力する前に、社名をA社に置き換えるところから試してみてください。10秒で終わります。