シャドーAI対策の進め方｜経理・総務が始める実態把握と利用ルール

「禁止しているはずの生成AIを、現場がこっそり使っているかもしれない」。そんな不安を抱える経理・総務の担当者は少なくありません。会社が認めていないAIツールを社員が業務で使う状態は「シャドーAI」と呼ばれ、情報漏えいや誤った判断の原因になります。

一方で、AIを一律に禁止すると、便利さを知った社員は個人のスマホや無料版に流れがちです。つまり、禁止だけではシャドーAIは減りません。

この記事では、バックオフィス部門が主導して進められるシャドーAI対策を、実態把握・許可ツールの整備・申請フロー・定着の4段階で解説します。アンケート項目や利用申請フォームのひな形、チェックリストも用意しました。情報システム専任者がいない中小企業の総務・経理・管理部門の方を主な読者として想定しています。

シャドーAIとは？バックオフィスで起きやすい3つの場面
シャドーAI対策を「禁止」だけで進めてはいけない理由
ステップ1：生成AIの利用状況を調査して実態を把握する
1. 実態把握の手順
2. そのまま使える生成AI利用状況アンケート項目
ステップ2：許可ツール一覧と入力データの区分を決める
1. 許可ツールを選ぶときの確認ポイント
2. 入力データの3区分（例）
ステップ3：AI利用申請フローで「グレー」を正規ルートに乗せる
1. AI利用申請フォームのひな形
ステップ4：AI利用ルールを定着させる運用と見直し
シャドーAI対策の導入時の注意点・リスク
1. 導入前チェックリスト
よくある質問（FAQ）
まとめ
関連記事
参考リンク

シャドーAIとは？バックオフィスで起きやすい3つの場面

シャドーAIとは、会社の承認や管理を経ずに業務で使われているAIツールのことです。従来から問題になっていた「シャドーIT」（無許可のクラウドサービス利用）のAI版と考えると分かりやすいでしょう。

IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織編では、「AIの利用をめぐるサイバーリスク」が3位に初選出されました。AI利用の管理は、もはや情報システム部門だけの課題ではありません。

場面1：請求書や給与データを無料版AIに貼り付ける

経理では、取引先名や金額が入った請求書の内容をそのままAIに貼り付けて要約させるケースが考えられます。人事・給与担当なら、社員の氏名や給与額を含む表を分析させてしまうこともあります。

場面2：個人アカウントでAI議事録・翻訳ツールを使う

会議の録音をAI文字起こしサービスに個人アカウントでアップロードすると、会社はその保存先も保存期間も把握できません。翻訳ツールに契約書を丸ごと入れるケースも同様です。

場面3：既存SaaSのAI機能が知らないうちに有効化される

見落とされがちなのが、すでに契約している会計・勤怠・グループウェアなどのSaaSに追加されたAI機能です。新しいツールを導入したつもりがなくても、データがAI処理に回っている可能性があります。管理画面の設定を確認しなければ気づけません。

シャドーAI対策を「禁止」だけで進めてはいけない理由

シャドーAI対策というと、まず「AI利用禁止」の通達を出したくなります。しかし、全面禁止には次のような副作用があります。

対応方針	メリット	デメリット
全面禁止	ルールが単純で説明しやすい	私物端末や無料版に移り、実態が見えなくなる
放任	現場の生産性は上がりやすい	入力データの管理ができず、事故時に説明責任を果たせない
許可制（推奨）	安全なツールに利用を誘導できる	ツール選定・申請受付の運用負荷がかかる

現実的なのは、会社が認めた「許可ツール」を用意し、それ以外は申請制にする方法です。使いたい人が正規ルートで使える状態を作ることが、結果としてシャドーAIを最も減らします。

経済産業省・総務省の「AI事業者ガイドライン」でも、AIを利用する事業者に対し、リスクに応じた管理と適切な利用を求めています。禁止か放任かの二択ではなく、リスクの大きさで管理の強弱をつける考え方です。

ステップ1：生成AIの利用状況を調査して実態を把握する

最初にやるべきは、社内で今どんなAIがどう使われているかを知ることです。ポイントは「責めないアンケート」にすることです。罰則をにおわせると正直な回答が集まりません。

実態把握の手順

調査の目的を「禁止のため」ではなく「安全に使える環境を整えるため」と全社に周知する
匿名または部署単位で回答できる生成AI利用状況アンケートを実施する
経費精算・法人カードの明細から、AIサービスへの支払いを抽出する
契約中SaaSの管理画面で、AI機能の有効・無効を棚卸しする
結果を「ツール名×利用部署×入力しているデータの種類」で一覧化する

手順3の経費データ確認は、経理部門ならではの強みです。勘定科目や摘要に「AI」「GPT」などの語を含む明細を検索するだけでも、有料利用の実態がつかめます。

そのまま使える生成AI利用状況アンケート項目

【生成AI利用状況アンケート（所要3分・匿名可）】
Q1. 業務で生成AIツールを使ったことがありますか
   （週1回以上／月数回／試したことがある／使っていない）
Q2. 使っているツール名を教えてください（複数可・自由記述）
Q3. アカウントの種類は？
   （会社契約／個人の無料版／個人の有料版／分からない）
Q4. 主な用途は？（文章作成／要約／翻訳／表計算・分析／
   コード作成／議事録／その他）
Q5. 入力したことがある情報を選んでください
   （公開情報のみ／社内資料／取引先情報／個人情報／
    金額・契約条件／入力した内容を覚えていない）
Q6. 会社として使えるようにしてほしいツール・用途は？
Q7. AI利用で不安に感じていることがあれば教えてください

Q5で「個人情報」や「金額・契約条件」を選んだ回答が多い部署は、優先して対策すべき部署です。Q6の回答は、次のステップで許可ツールを選ぶ材料になります。

ステップ2：許可ツール一覧と入力データの区分を決める

実態が分かったら、会社として認めるAIツールの一覧と、入力してよいデータの範囲を決めます。ここが生成AI 社内ルールの中核です。

許可ツールを選ぶときの確認ポイント

入力データがAIの学習に使われない設定・契約になっているか
管理者がアカウントを一括で発行・停止できるか
利用ログ（誰がいつ使ったか）を確認できるか
データの保存場所・保存期間を確認できるか
退職者のアカウントを確実に止められるか

主要な生成AIの法人向けプランでは、業務データを学習に使わない方針を公式に示しているサービスがあります。ただし、対象プランや条件はサービスごとに異なり、改定もあり得ます。契約前に必ず公式の規約・プライバシー資料で確認してください。

入力データの3区分（例）

区分	データの例	許可ツールへの入力
レベル1：公開可	公開済みの規程、Webに載っている情報、一般的な文章	可
レベル2：社内限定	社内マニュアル、会議メモ、匿名化した集計表	許可ツールのみ可
レベル3：機密・個人情報	給与、マイナンバー、未公表の決算数値、取引条件	原則不可（個別承認が必要）

個人情報保護委員会は2023年6月、生成AIサービスの利用について注意喚起を公表しています。個人情報を含むプロンプトを入力する場合は、利用目的の範囲内かを確認するよう求めています。あわせて、入力した個人データが機械学習に利用されないことなどを十分に確認するよう示しています。レベル3を原則不可とするのは、こうした確認を個人任せにしないためです。

ステップ3：AI利用申請フローで「グレー」を正規ルートに乗せる

許可ツール一覧に載っていないAIを使いたい社員のために、簡単な申請フローを用意します。申請が面倒すぎると、結局シャドーAIに戻ってしまいます。A4一枚・数分で書ける程度にとどめるのがコツです。

AI利用申請フォームのひな形

【AIツール利用申請書】
1. 申請者・所属部署：
2. ツール名・提供会社・URL：
3. 利用目的（業務名と期待する効果）：
4. 入力予定のデータ区分：レベル1／レベル2／レベル3
5. 想定利用人数・期間：
6. 費用（無料／月額○円・請求先）：
7. 学習利用の有無（規約の該当箇所URL）：
8. 出力結果の確認者（人が最終確認する担当）：
9. 利用終了時のデータ削除方法：

審査は、データ区分に応じて承認者を変えると負担が偏りません。例えば、レベル1なら部門長のみ、レベル2なら部門長と総務、レベル3は情報管理責任者まで回す、といった設計です。承認されたツールは許可ツール一覧に追加し、全社に公開します。

AIエージェントのように、AIが自動でファイル操作やメール送信まで行うツールの場合は、さらに権限の範囲を決める必要があります。詳しくは関連記事「AIエージェントの権限管理」で解説しています。