職場でこっそりAIを使う前に：「シャドーAI」の何が問題で、何を相談してよいのかを、公式資料で確かめる

この記事は、公式の文書を読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。会社の規則や法律に当たるかどうかの判断は、助言ではありません。会社の担当者や専門家に確かめてください。「見立てです。」で始まる段落と、たとえ話は、僕らの考えです。

先に結論

1. 「シャドーAI」は、会社が把握していないところで、個人の判断でAIを仕事に使うことです。 これは僕らの言い換えです。読んだ公式の資料には、この言葉での定義は確認できませんでした。
2. 黙って使う人は、実際に多い、という調査があります。 ただし、Microsoftの調査で、年は2024年です。
3. 同じAIでも、個人のアカウントと会社のアカウントでは、入力の扱いが違います。 会社向けでは、管理者が設定を管理でき、サービスによっては会話の閲覧などもできる、と各社のページに書かれています。
4. まず、会社に聞く。 聞くための材料は、公式のページから集められます。

たとえ話：自宅のUSBメモリで、会社の書類を持ち帰る

僕らのたとえです。公式の文書にあるものではありません。

便利だからと、自分のUSBメモリに会社の書類を入れて持ち帰る人がいるとします。仕事は進みます。ただ、会社は、その書類がどこにあるのか知りません。USBメモリを落としても、会社は気づけません。

個人のAIアカウントも、似ています。入れた内容が、どう扱われるかは、自分の設定とそのサービスの規約で決まります。会社の目は届きません。

「シャドーAI」と、Microsoftの調査

Microsoftは、2024年の調査（Work Trend Index）で、仕事に自分のAIを持ち込むことを「BYOAI」と呼んでいます。数字は次のとおりです（2024年2月15日から3月28日の調査）。

• AIを使う人の78%が、自分で持ち込んだAIを仕事で使っている。中小企業では80%。
• AIを使う人の52%は、いちばん大事な仕事でAIを使っていることを、言いたがらない。
• 53%は、大事な仕事でAIを使うと、自分が替えのきく人に見えると心配している。

調査は、日本を含む31の市場の、知識労働者3万1,000人です。Microsoftは、この持ち込みを、会社のデータを危険にさらすものとして書いています。

見立てです。「みんなやっている」は、安全の理由になりません。ただ、黙っている理由に「評価が下がりそう」があるなら、それは自分だけの悩みではない、とは言えそうです。

個人のアカウントと会社のアカウント：何が違うか

公式ページで確かめた範囲を、表にします（2026年10月16日に確認）。

ここで大事なのは、「会社向けなら何でも入れてよい」ではないことです。上の記載は、サービス側の約束で、会社が決める「入れてはいけない情報」のルールとは別です。

黙って使うと、何が困るのか

公式ページから確かめられることと、僕らの見立てを分けます。

確かめられること。 個人情報保護委員会（2023年6月2日の公表）は、事業者に向けて、個人情報を含む文章をAIに入れるときは、利用目的の範囲内かを確かめること、提供会社がそのデータを学習に使わないことを確かめること、と書いています。一般の利用者には、入力した個人情報が学習に使われることがあること、サービスの利用規約やプライバシーポリシーを確認して判断すること、と書いています。ここから先は見立てです。会社がAIの扱いを確かめる必要があるのに、会社の知らない使い方がある、という状態では、確かめようがないと思います。

見立てです。 黙って使うと、次のことが起きうると思います。

• 事故が起きたときに、言い出しにくくなり、連絡が遅れる。
• 会社が、どのAIを、どの契約で使うかを決めるときに、現場の使い方が見えない。
• 個人のアカウントの履歴は、会社の管理の外にあるので、あとから確かめにくい。

総務省は、2026年3月31日に、AI事業者ガイドラインの第1.2版を公表しています（総務省のページの記載）。同じページには、チェックリストなどの別添と、「活用の手引き（案）」があります。ただし、僕らは、これらの本文を読めていません。

相談してよいこと

会社に「AIを使いたい」と話すとき、次の3つを伝えると、相手も判断しやすくなると思います（見立てです）。

1. 何の作業に使うか。 たとえば、会議のメモの整理、メール文面の下書き。
2. どんな情報を入れるか。 個人情報や取引先の情報が入るのか、公開されている情報だけなのか。
3. どのサービスの、どのプランか。 個人向けか、会社向けか。会社のアカウントを使えるのか。

そのうえで、会社に聞いてよいことは、たとえば次のとおりです。

• 使ってよいAIは、決まっているか。会社が契約しているものはあるか。
• 入れてはいけない情報の決まりは、あるか。
• 使ったことを、誰に、どう報告すればよいか。
• 事故（間違った送信など）が起きたときの連絡先は、どこか。

誤解されやすい点

「禁止と書いていないから、使ってよい」 ルールが無いときは、「使ってよい」ではなく「決まっていない」です。決まっていないときこそ、聞く場面だと思います（見立てです）。

「会社向けのプランなら、何でも安全」 各社のページは、入力を既定では学習に使わない、などの約束を書いています。ただし、フィードバックを送る場合などの例外があります。どんな情報を入れてよいかは、会社のルールが決めます。

「みんな黙って使っているから、大丈夫」 調査の数字は、黙って使う人が多いことを示すだけです。それが安全かどうかは、別の話です。

今日からできること、やってはいけないこと

今日からできること

• 自分の使い方を、3行で書き出す（作業、入れる情報、使うサービス）。
• 会社のルール（AIの利用の決まり、情報の取り扱いの決まり）を探す。
• 迷ったら、上司や情報管理の担当者に、書き出したものを見せて聞く。

やってはいけないこと

• 個人情報、取引先の情報、パスワードを、個人のアカウントのAIに入れる。
• 禁止か許可かを、自分の都合のよいほうに解釈する。
• 誰にも言わずに、会社のデータを自分のアカウントに移す。

気をつけること

• 内容は、2026年10月16日に読んだ公式ページのものです。各社の設定名や保存期間は、変わりやすいです。
• Microsoftの調査は、2024年のものです。いまの割合は確かめていません。調査の対象は知識労働者で、日本だけの数字は読んでいません。
• 「シャドーAI」という言葉の公式な定義は、読んだ資料では確認できていません。この記事の説明は、僕らの言い換えです。
• 個人向けのGeminiの扱いは、この記事では読んでいません。会社のアカウントで使える機能の範囲も、会社の設定で変わります。
• AI事業者ガイドラインは、ページの案内だけを読み、本文は読んでいません。
• 読んだページは、取り込んだ文章を要約して返す道具を通しています。原文のとおりの引用はせず、言い換えています。細かな言い回しは、原文で確かめていません。
• 就業規則や法律に当たるかどうかは、この記事では判断していません。助言ではありません。会社の担当者や、専門家に確かめてください。

出典

• AI at Work Is Here. Now Comes the Hard Part（Work Trend Index、Microsoft、2026年10月16日確認）
• 生成AIサービスの利用に関する注意喚起等について（令和5年6月2日、公表資料PDF）（個人情報保護委員会、2026年10月16日確認）
• AI事業者ガイドライン（総務省、2026年10月16日確認）
• Enterprise privacy（OpenAI、2026年10月16日確認）
• Data controls FAQ（OpenAI Help Center、2026年10月16日確認）
• Is my data used for model training?（商用製品向け、Claude Privacy Center、Anthropic、2026年10月16日確認）
• Is my data used for model training?（個人向け、Claude Privacy Center、Anthropic、2026年10月16日確認）
• Generative AI in Google Workspace Privacy Hub（Google Workspace、2026年10月16日確認）

更新履歴

• 2026年10月25日 書き方を直しました。
  • 前：運営者が使っていないと読める書き方 → いま：「この記事は、実際に使って確かめた記録ではありません」。公式の資料を読んでまとめた記事で、使い心地は書いていない、という意味に直した