シャドーAI

「うちは生成AIなんてまだ使っていない」。そう考えている会社ほど、事務所や現場で誰かが自分のスマートフォンからChatGPTを開いている、ということが起きています。会社の目の届かないところで進むAI利用、これがシャドーAIです。この記事では、シャドーAIとは何か、なぜ起きるのか、放っておくと何が問題になるのかを整理したうえで、禁止令だけでは止まらない理由と、中小の建設会社でも無理なく回せる対処のしかたまでを、公的機関の資料や実態調査をもとにまとめます。

シャドーAIとは

シャドーAIとは、会社が把握・承認していないAIツールを、社員が自分の判断で業務に使っている状態を指す言葉です。「シャドー」は影のこと。会社の管理の外側、影になっている部分でAIの利用が広がっていく様子を表しています。

ここで大切なのは、多くの場合そこに悪意はないという点です。見積の文面を整えたい、打ち合わせのメモをきれいにまとめたい、施主あてのメールの下書きを早く済ませたい。そうした「早く終わらせたい」という善意の工夫が、たまたま会社のルールの外側で行われている。これがシャドーAIの実像です。ルール違反を取り締まる話としてだけ捉えると、対処を誤りやすくなります。

シャドーITとの違いはどこにあるか

似た言葉に「シャドーIT」があります。会社が認めていないクラウドストレージや個人のスマートフォンを業務に使うことを指す言葉で、シャドーAIはその一種といえます。ただし、危うさの質は少し違います。従来の情報漏洩対策の延長線上で考えていると、取りこぼす部分が出てくるということです。

• 情報の扱い：シャドーITは「置き場所が社外になる」だけだが、シャドーAIは入力した内容がサービス側の改善や学習に使われる場合がある
• 取り消しやすさ：シャドーITは保存したファイルを消せば戻せることが多いが、シャドーAIは一度入力した内容を完全に引き上げるのが難しい
• 出てくるもの：シャドーITは預けたものがそのまま出てくるだけだが、シャドーAIは誤りを含む答えが新しく作り出される
• 気づきやすさ：シャドーITは専用アプリや通信の記録で見つけやすいが、シャドーAIはブラウザ一つで使えるため痕跡が残りにくい

三つめに挙げた「誤りを含む答えが作られる」というのは、ハルシネーションと呼ばれる現象です。存在しない基準や条文をもっともらしく書いてくることがあり、これを誰のチェックも通さないまま書類に貼り付けてしまうと、情報が漏れるより先に、内容そのものが間違うという別種の事故につながります。

なぜ社員はシャドーAIを使ってしまうのか

「なぜ黙って使うのか」という問いには、実は調査による答えが出ています。ISOプロが2026年7月に企業の経営層・IT部門など1,023名を対象に行った調査では、社員が承認されていないAIを使う理由として最も多く挙がったのは「業務効率を上げたい」で40.1%でした（出典: ISOプロ 次世代AIとガバナンス実態調査）。

つまり、シャドーAIは怠けや反抗から生まれているのではなく、むしろ真面目に仕事を片づけようとする動きから生まれています。現場でよく聞く事情を並べると、おおむね次のようなところに行き着きます。

• 会社にルールがないので、使ってよいのか悪いのか判断がつかない
• 申請して待つより、自分のスマートフォンで済ませたほうが早い
• 頼める相手が社内にいない。聞いても答えが返ってこない
• 会社が用意した仕組みが使いにくく、無料のツールのほうが手になじむ
• 残業を減らせと言われている一方で、書類の量は変わっていない

並べてみると、どれも社員個人を責めて解決する話ではないことが分かります。会社側が「使ってよい道具」と「守ってほしい線」を示していないと、判断はそれぞれの手元に委ねられます。シャドーAIは、その空白を埋めるかたちで自然に発生します。

シャドーAIで起きる四つのリスク

起こりうる問題は、情報漏洩だけではありません。性質の異なる四つを分けて押さえておくと、対策の優先順位をつけやすくなります。

入力した情報が社外に出てしまう

もっともよく知られたリスクです。無料版のサービスの中には、入力内容がサービス改善に使われる設定が初期状態になっているものがあります。実例として、韓国のサムスン電子では2023年、社内でChatGPTの利用を認めた直後に機密のソースコードや社内会議の内容が入力される事案が相次ぎ、生成AIツールの社内利用を禁止する対応が取られたと報じられています（出典: Forbes JAPAN）。大企業で厳格な情報管理をしていても、入り口が一つ空いていれば起こりうるということです。

誤った答えがそのまま書類になる

AIは分からないことでも自信ありげに答えを返します。法令の条番号、材料の規格値、単価の相場といった数字や固有名詞は、それらしい嘘が混ざりやすい部分です。個人が黙って使っている状態では、その答えを誰も検算しません。誤りが施工計画書や見積書に入り込んだまま社外へ出れば、信用の問題になります。

誰が何を入力したか後から追えない

会社が把握していない以上、記録も残りません。万が一「あの図面の情報が外に出たのではないか」という話が持ち上がったとき、いつ誰が何を入力したのかを確かめる手立てがない状態は、それ自体が大きな弱点になります。問題が起きたかどうかすら分からないというのが、シャドーAIのいちばん厄介なところです。

権利関係のトラブルにつながる

生成された文章や画像が、他社の著作物とよく似てしまうことがあります。また、協力会社から預かった図面や仕様書には、そもそも第三者に渡してはいけない取り決めが付いている場合があります。契約書に「再委託・第三者提供の禁止」が書かれていれば、AIサービスへの入力がそこに触れる可能性も否定できません。

数字で見るシャドーAIの広がり

「うちに限ってそんなことはない」と言い切りにくいことは、いくつかの調査からうかがえます。まず世界的な傾向から見てみます。

MicrosoftとLinkedInが31か国31,000人を対象に行った2024年の調査では、職場でAIを使っている人の78%が自分で選んだAIツールを持ち込んでおり、その傾向は中小企業でさらに強く80%にのぼると報告されています。同じ調査では、重要度の高い仕事にAIを使っていることを認めたがらない人が52%いるという結果も出ています（出典: Microsoft・LinkedIn 2024 Work Trend Index）。使っていないのではなく、言い出せていない。この二つは分けて考える必要がありそうです。

国内でも同様の傾向です。前出のISOプロの調査では、「利用状況は把握しているが一部シャドーAIが発生している」が44.5%、「十分に把握できておらず発生している可能性がある」が20.6%。合わせて65.1%の企業が、程度の差はあれシャドーAIを抱えている計算になります。一方で「把握・管理できており大きな問題はない」と答えたのは25.3%にとどまりました（出典: ISOプロ 次世代AIとガバナンス実態調査）。

公的機関の見方も変わってきました。IPA（情報処理推進機構）が2026年1月に公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの第3位に初めて選出されています。AIへの理解不足による情報漏洩や、生成結果の検証不足から生じる問題が、その中身として挙げられています（出典: IPA 情報セキュリティ10大脅威 2026）。ランサムウェアやサプライチェーン攻撃と並ぶ位置づけになった、と受け止めておくとよいでしょう。

建設業では何が起きているか

業界に目を移すと、シャドーAIが生まれやすい条件がそろっていることが見えてきます。インフォマートが2026年4月に建設業の従事者1,040名を対象に行った調査では、生成AIを業務で使っている人は33.1%。3人に1人はすでに使っている計算です。

問題はその先です。同じ調査で、AI利用のルールが整備されていると答えたのは18.0%、「ルールがない」と答えたのは38.9%でした（出典: インフォマート 建設業のDXとAI活用に関する実態調査）。使っている人のほうが、ルールのある会社より多い。この差がそのままシャドーAIの温床になっています。ルールづくりの具体的な中身は、生成AI社内ガイドラインのページで詳しく扱っています。

建設の仕事に引き寄せると、次のような場面が思い当たるはずです。どれも「悪いことをしている」という自覚なしに起こります。

• 現場代理人が、施主あての報告メールの文面を無料のAIに整えてもらう。宛名や物件名がそのまま入っている
• 積算担当者が、協力会社からもらった見積の内訳を貼り付けて「相場として妥当か」を尋ねる
• 若手が、元請から渡された特記仕様書のPDFをアップロードして要点をまとめさせる
• 事務担当者が、職人の氏名・住所が入った名簿を貼り付けて書式を整えてもらう
• 現場で撮った写真をそのままAIアプリに読み込ませ、是正指示の文章を作らせる

とくに三つめと四つめは、自社の情報ではなく他人から預かった情報を扱っている点で重さが違います。現場では紙とスマートフォンの距離が近く、事務所を通さずに完結してしまうことも多い。建設業がシャドーAIに気づきにくいと言われるのは、この働き方の形にも理由があります。

なぜ「全面禁止」では止まらないのか

手っ取り早い対処として「業務でのAI利用は一切禁止」と通達する会社があります。気持ちは分かるのですが、これは多くの場合うまくいきません。

総務省と経済産業省が示す「AI事業者ガイドライン」も、AIを開発する側・提供する側だけでなく、業務で使う側にも取り組みを求める構成になっています。使わせないのではなく、使い方を決めて示す。これが基本の考え方です。禁止するのであれば、なぜ禁止なのかという理由と、代わりに何を使えばよいかという代替手段を必ずセットで出してください。

中小建設会社の現実的な進め方

専任の情報システム担当がいない会社でも、順番を守れば形になります。いきなり監視ツールを入れる必要はありません。

1. 1

   まず責めずに実態を聞く

   処分をしないと先に宣言したうえで、誰がどんな場面でAIを使っているかを聞き取ります。「便利だから使っている」という声が出てくれば上出来です。ここで叱ると、以後の情報が二度と上がってこなくなります。

2. 2

   使ってよい道具を名指しで一つ決める

   会社として契約し、入力内容が学習に使われない設定にしたサービスを一つ用意します。選択肢を増やしすぎると管理できません。無料版より安全な受け皿を先に置くことが、影から表に引き出す一番の近道です。

3. 3

   入れてよい情報の線を三段階で示す

   「入れてよい（社外に出しても困らない一般的な内容）」「上長の確認が要る（自社の見積や工程）」「入れてはいけない（施主や協力会社から預かった図面・個人情報・契約書）」の三段階に分けます。抽象的な原則より、この分類のほうが現場で判断できます。

4. 4

   確認する人と手順を決めて回す

   AIが作った文章や数字を、誰がどこまで確かめてから社外に出すのかを決めます。社外文書と金額に関わるものは必ず人が最終確認する、という一線を引くだけでも事故はかなり減ります。半年に一度見直し、実態に合わない部分は書き換えてください。

この四つを一枚の紙にまとめれば、それがそのまま社内ルールの原型になります。あわせて、社員が「何をAIに任せてよいか」を自分で判断できるようになると、ルールは形骸化しません。その土台となる考え方はAIリテラシーのページで整理しています。

AI番頭では、実態の聞き取りから使ってよい道具の選定、社内ルールの一枚化までを、建設会社の実情に合わせて一緒に組み立てています。何から手をつけるべきかの整理はサービス内容をご覧いただくか、無料診断・お問い合わせからお気軽にご相談ください。

表に出すメリットと注意点

よくある質問

関連用語

AI侍

影に潜むものを刀で斬ろうとしても、影は逃げるばかりでござる。まずは灯りを掲げ、堂々と使える道を一本こしらえてくだされ。人は近道より、安心して通れる道を選ぶものでござるゆえ。

出典・参考