「うちの会社ではAIは使っていない」と思っていたのに、実は社員が個人で契約したAIサービスに、仕事の資料を貼り付けていた。そんな話は、もはや珍しくありません。会社が把握していない状態で使われるAIは「シャドーAI」と呼ばれます。
「社員が個人契約のAIサービスに会社のデータを入れていないか、どう確認すればいいのか分からない…」
先に結論をお伝えします。確認の第一歩は「犯人探し」ではなく、「使っている人が正直に言える状態を作ること」です。個人のAIアカウントの中身は、会社側からは基本的に見えません。だからこそ、①アンケートで実態を聞く、②会社が使ってよいAIを用意する、③入れてはいけない情報を決める、④契約・支払いの記録を確認する、⑤定期的に見直す、という順番で進めるのが現実的です。
この記事では、情シスを兼任している担当者や総務の方が、技術に詳しくなくても進められる確認の手順を、そのまま使えるアンケート案・チェックリスト・開発会社への質問例とあわせて解説します。（執筆時点：2026年10月）
まず知っておきたい「見えない」という前提
個人契約のAIは、会社のネットワークの外からでも、スマホからでも使えます。無料で始められるものが多く、会社への申請も要りません。そのため、会社側が「入れていないことを証明する」のは、ほぼ不可能です。
実態を示す民間の調査もあります。スマートキャンプ（BOXIL）が2025年12月に行った調査では、業務で生成AIを使っている人のうち、「会社はAI未導入だが個人で利用している」人が14.4%いたと報告されています。
📰 出典：BOXIL「【実態調査】「会社はAI未導入だが個人で利用」が14.4% 禁止・未整備企業で深刻化する「シャドーAI」の盲点」
調査ごとに対象者や質問の仕方が違うため、自社にそのまま当てはまる数字ではありません。ただ、「禁止している」「導入していない」会社でも起こりうる、という点は押さえておきたいところです。
なお、社内ルールの作り方そのものは、生成AIの社内利用ルールの作り方で詳しく解説しています。この記事では「ルールを作った後・作る前に、実態をどう確かめるか」に絞ります。
なぜ個人契約のAIが問題になるのか
個人契約と会社契約の大きな違いは、入力したデータの扱いを会社が決められないことです。
- 個人向けのプランは、入力内容がサービスの改善（学習）に使われる設定になっていることがあります。設定やプランによって異なるため、サービスごとの公式ヘルプで確認が必要です
- 退職・異動で個人のアカウントを使えなくなると、そこに残った会話や成果物を会社が回収できません
- 取引先の情報や個人情報を入れた場合、契約上の秘密保持や個人情報の取り扱いのルールに触れる可能性があります
たとえば法人向けのプランでは、データの扱いが個人向けと分けて説明されていることがあります。OpenAIのChatGPT Businessの公式ヘルプでは、ワークスペースのデータは学習に使わない旨が説明されています（内容は更新されるため、利用前に最新の公式ページを確認してください）。
📰 出典：OpenAI ヘルプセンター「ChatGPT Business でのデータ共有とプライバシーの管理」
個人情報については、個人情報保護委員会が2023年6月に、生成AIサービスの利用に関する注意喚起を出しています。個人情報を含むプロンプトを入力する場合は、利用目的の達成に必要な範囲内かを確認すること、サービス提供事業者がそのデータを機械学習に使わないことを確認することなどが示されています。
📰 出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）
個別の事案が法律違反にあたるかどうかは状況によって変わります。判断が必要な場合は、弁護士や公式の相談窓口に確認してください。
確認するための5ステップ
ステップ1：「責めない」と宣言して、アンケートで聞く
最初にやるのは、無記名または匿名性の高いアンケートです。ポイントは、冒頭で次のように伝えることです。
- 目的は処罰ではなく、安全に使える環境を整えること
- 正直に答えても、個人が不利益を受けないこと
- 「使っていない」も大切な回答であること
聞く項目の例は次のとおりです。
| 質問 | 選択肢の例 |
|---|---|
| 仕事でAIサービスを使ったことがありますか | 日常的に／ときどき／試したことがある／使っていない |
| どのサービスですか | ChatGPT／Gemini／Claude／Copilot／その他（自由記入） |
| 契約形態は何ですか | 会社契約／自分で契約（無料）／自分で契約（有料）／分からない |
| どんな作業に使いましたか | 文章の下書き／翻訳／資料作成／プログラム作成／議事録の要約／その他 |
| 入力した情報の種類は | 社外に出してよい情報のみ／社内資料／取引先の情報／個人情報／覚えていない |
| 困っていること・会社に望むこと | 自由記入 |
ステップ2：会社として使ってよいAIを用意する
シャドーAIが生まれる大きな理由は、便利なのに会社が用意していないことです。全面禁止にすると、見えないところで使われ続ける傾向があります。アンケートで多かった用途に合わせて、会社契約のAIサービスを用意し、「ここなら使ってよい」を示すのが近道です。
法人向けプランを選ぶときは、データが学習に使われるか、管理者が利用状況を確認できるか、退職者のアカウントを止められるかを、各サービスの公式情報で確認します。
ステップ3：入れてはいけない情報を、具体的に決める
「機密情報は入れない」だけでは、現場は判断できません。次のように、例を挙げて3段階に分けると伝わりやすくなります。
| 区分 | 例 | 扱い |
|---|---|---|
| 入れてよい | 公開済みの情報、一般的な文章の下書き | 会社が認めたAIで可 |
| 条件つき | 社内資料（社名や数字を伏せたもの） | 会社契約のAIのみ可 |
| 入れない | 個人情報、取引先から預かった資料、パスワード・APIキー、未公開の財務情報 | どのAIでも不可（個別に許可があるときを除く） |
ステップ4：契約・支払いの記録から探す
会社側で客観的に確認できる手がかりもあります。
- 経費精算：AIサービスの月額料金が、個人の立替として申請されていないか
- 法人カードの明細：AI関連の請求が、部署ごとにバラバラに発生していないか
- 会社のメールアドレスでの登録：サービス側から届く通知メールが、会社のメールに残っていないか（メール管理者に確認します）
- 会社のネットワーク機器やセキュリティ製品の利用状況レポート：どのサービスへの通信が多いか（機能があれば）
ただし、社員の私物端末や個人のアカウントの中身を会社が調べることは、プライバシーの面でも慎重さが必要です。やりすぎると、かえって「隠れて使う」方向に働きます。どこまで見るかは、事前に社内で決めて周知しておきましょう。
ステップ5：3か月に一度、見直す
AIサービスは機能も規約も頻繁に変わります。年に1回では追いつきません。目安として3か月に一度、次の3点を見直します。
- アンケートをもう一度取り、使われ方が変わっていないか
- 会社が用意したAIで、足りない用途がないか
- 入れてはいけない情報の例を、実際のヒヤリハットに合わせて更新したか
やりがちな失敗パターン
- 全面禁止だけで終わる：使いたい理由が解消されず、見えない利用が続きます
- アンケートで個人名を追及する：次から誰も正直に答えなくなります
- ルールを作って周知しない：文書が共有フォルダに置かれたままだと、現場は存在を知りません
- システムの開発会社に任せきりにする：業務のデータをどこまでAIに渡してよいかは、発注者の判断です
開発会社に頼めること・頼めないこと
開発会社が担当しているシステムに、AI機能を組み込んでいる場合は、確認の範囲が変わります。
頼めること
- 組み込んだAIの利用状況（誰がどのくらい使ったか）を、管理画面やログで見られるようにする
- AIに渡すデータの範囲を制限する（個人情報を除いてから渡す、など）
- AIの接続用の鍵（APIキー）を、個人ではなく会社の管理にする
頼めない（社内で決めること）
- 社員が自分のスマホで個人のAIを使うかどうか
- どの情報を入れてはいけないかという会社の判断
発注者がやることチェックリスト
- ☐ 「責めない」と宣言したうえで、AI利用の実態アンケートを実施した
- ☐ 回答から、よく使われている用途を3つ整理した
- ☐ 会社として使ってよいAIサービスを決め、法人向けのデータの扱いを公式情報で確認した
- ☐ 入れてはいけない情報を、例つきで3段階に分けて文書にした
- ☐ 経費精算・法人カード明細で、AI関連の支払いを確認した
- ☐ 私物端末や個人アカウントをどこまで確認するかを決め、社内に周知した
- ☐ 見直しの時期（3か月ごと）をカレンダーに入れた
- ☐ システムにAI機能がある場合、開発会社にAIへ渡すデータの範囲を確認した
開発会社への質問例
AI機能のあるシステムを発注している場合に、そのまま使える質問です。
- 「このシステムに組み込んだAIには、どの情報が送られていますか。個人情報や取引先の情報は含まれますか？」
- 「AIサービスの提供元で、送ったデータが学習に使われない設定になっていることを、どの資料で確認できますか？」
- 「AIの利用状況（利用者・回数・費用）を、私たちが確認できる画面やログはありますか？」
- 「AIに接続する鍵は誰の名義で管理していますか。担当者が退職したとき、切り替えの手順はありますか？」
- 「AIのサービスや規約が変わったとき、お知らせと見直しはどの契約の範囲で対応してもらえますか？」
まとめ：見えない利用は「聞く・用意する・決める」で減らせる
個人契約のAIは、会社から中身を見ることができません。だからこそ、次の順番で進めます。
- 責めずにアンケートで聞く
- 会社として使ってよいAIを用意する
- 入れてはいけない情報を、例つきで決める
- 契約・支払いの記録を確認する
- 3か月に一度、見直す
完璧に把握しようとせず、「正直に話せる職場にする」ところから始めてみてください。AI機能を含むシステムの発注で、データの扱いに不安がある場合は、要件の整理段階から相談できます。
あわせて読みたい関連記事
