一番危ないのは「AIを使っていない」と思っている会社

質問（現場の視点）

うちの会社は、AIを導入していません。AIの規程や約束は、うちには関係ありませんよね。

Chat先生の回答（AI）

関係があります。むしろ、「うちはAIを使っていない」と思っている会社こそ、一番危ない状態にあります。会社として導入していなくても、社員が個人の判断でAIを使っていることは珍しくありません。会社が知らないうちに、AIが会社の情報や鍵を持っているのです。こうした会社の管理の外で使われるAIは「シャドーAI」と呼ばれます。社会保険労務士の小山田政義（AI労務デザイン室）は、これをAIの時代の最も身近なリスクとして挙げています。

社員は、善意でAIを使っている

シャドーAIは、悪意から生まれるものではありません。多くは、仕事を早く、上手に片づけたいという善意から始まります。

顧客の名簿や応募者の履歴書を、AIに貼り付けて要約させる
自分の仕事用メールをAIにつないで、返信の下書きを書かせる
ブラウザにAIの拡張機能を入れて、ログインしたままの画面を操作させる
サイトの不具合を直したくて、プログラムや設定ファイルをAIに貼り付ける

最後の二つでは、AIが社員本人のIDとパスワード、あるいは会社のサーバーの接続情報に触れています。会社から鍵を渡した記録はどこにもないのに、実際にはAIが鍵を持っているのです。

個人情報の扱いも問われる

顧客や応募者の個人情報をAIに入力することについては、個人情報保護委員会も注意を呼びかけています。入力した情報がAIの学習に使われる設定になっていれば、本人が知らないところで、情報が会社の外に出ていくことになりかねません。会社は、社員が何を入力しているかを知らなければ、説明の責任を果たせません。

使っていないつもりの会社には、何もない

会社としてAIを導入した会社には、少なくとも、どのAIを、誰が、何に使っているかの記録があります。使っていないつもりの会社には、それがありません。

AIの規程がない
どのAIが使われているかの一覧がない
AIに何かあったときの、報告の経路がない
経営者が「使っていない」と思っているので、点検の対象にもならない

事故が起きても、誰の、どのAIが、何をしたのかを、最初からたどれないのです。

最初の一歩は、禁止ではなく届け出の道

ここで「AIの使用を全面禁止」としても、うまくいきません。社員は便利さを知っているので、黙って使い続けるだけです。禁止すればするほど、実態は見えなくなります。

最初の一歩は、次のような入口のルールです。

会社が認めていないAIに、会社の情報やIDを渡してはならない
使いたいAIがあれば、届け出て、承認を受ける
AIに渡してはならない情報を決めておく：パスワード、サーバーの接続情報、顧客や応募者の個人情報、まだ直していない自社の弱点など
認めたAIの一覧を作り、年に一度見直す

副業を全面禁止ではなく許可制にするのと、同じ考え方です。道を作っておけば、社員はその道を通ります。

まず聞いてみる。そして、責めない

最初にすべきことは、社員に聞いてみることです。「仕事でAIを使っていますか。何に使っていますか」。

ここで大切なのは、正直に答えた社員を責めないことです。「実は、顧客の名簿をAIに貼り付けていました」と言われたときの、上司の最初の一言は、「言ってくれてありがとう」です。正直に言える職場だけが、社員がAIに何を渡しているのかという実態をつかめます。

さらに詳しく

AIに関するこうした入口のルールと、社員の研修チェックリストは、書籍『ホームページは誰が守っているのか』（2026年10月31日発売予定、Kindle）に収録しています。自社の点検には、iPhoneアプリ「Web安全管理 実践力手帳」をご利用ください。