「気づいたら、現場が個人のChatGPTで顧客情報を要約していた」「全社的にAI利用ルールを作ったはずなのに、複数の生成AIツールが個別契約で増えている」――2026年に入ってから、こうした相談が情シス部門・経営企画から急増しています。
先に、要点をまとめます。
- 従業員のAI利用は社内ルールを大きく上回って広がっており、企業側のガバナンス整備はまったく追いついていない
- 2026年3月31日公表の「AI事業者ガイドライン」第1.2版で、AIエージェントとHuman-in-the-Loopが正式対象になり、AI利用者向けに15のチェック観点が整理された
- 「禁止」ではなく「公式ルートの提供」から始めないと、シャドーAIは形骸化した規程の下で広がり続ける
2026年3月31日に総務省・経済産業省が公表した「AI事業者ガイドライン」第1.2版では、AIエージェントの扱いとHuman-in-the-Loopが明文化され、AI利用者として15のチェックポイントが整理されました。一方で、現場ではガイドラインが追いつかないスピードでシャドーAI（非公認AIツールの業務利用）が広がっています。本記事では、最新データから見たシャドーAIの実態と、中小企業が現実的に着手すべき社内AIガバナンスの設計手順を整理します。
数字で見る「シャドーAI」の広がり
従業員のAI利用は社内ルールを大きく上回って広がっており、企業側のガバナンス整備はまったく追いついていない状況です。
複数の2026年の調査から、シャドーAIの実態として以下のような数字が報告されています。
- Microsoft × LinkedIn が31カ国・3万1,000人を対象に実施した調査では、AIユーザーの78%が会社の承認なしに自分のAIツールを業務に持ち込んでいる
- 海外のエンタープライズ調査では、従業員の67%が業務でAIツールを利用している一方、正式なAIセキュリティポリシーを持つ企業は18%にとどまる
- 80%の組織が生成AI経由の機密情報漏洩を懸念しているが、60%は具体的な対策を持っていない
- 企業内で実際に利用されているAIツールは平均14種類、そのうちIT部門が把握しているのは4〜5種類のみという報告もある
つまり「現場の8割は個人AIを業務で使い」「経営層の8割は漏洩を恐れ」「対策できているのは2割未満」というのが2026年の業界平均像です。中小企業の場合は専任の情シスを持たないケースも多く、ガバナンス整備はさらに遅れがちです。
数字の裏側にある構造はシンプルです。現場は「使えば速い」ことをすでに知っていて、会社が公式な選択肢を用意する前に、個人のアカウントで先に走り出してしまう。棚卸しをしていない企業ほど、この「見えていない利用」の量を過小評価している傾向があります。実際にヒアリングをすると、情シスが把握していたAIツールが2〜3個だったのに対し、経費精算データやブラウザ拡張の履歴を確認すると10種類以上が見つかるというケースも珍しくありません。
AI事業者ガイドライン第1.2版で「中小企業の利用者」が求められること
2026年3月31日に公表されたAI事業者ガイドライン第1.2版では、AIエージェントとHuman-in-the-Loopが正式に対象となり、AI利用者にも15のチェック観点が整理されました。
ガイドラインは「AI開発者」「AI提供者」「AI利用者」の3区分で要件を整理しています。生成AIを業務利用している中小企業は、ほぼ例外なく「AI利用者」に該当します。第1.2版で特に重要なポイントは次の3点です。
1. AIエージェントとフィジカルAIの追加：自律的に業務を遂行するAIエージェント（メール送信・データ操作・予約等を自動実行する仕組み）が正式に対象となり、外部に影響を与える操作の前に人間の判断を挟むHuman-in-the-Loopの組み込みが明記された
2. 学習データのトレーサビリティ強化：利用者側も「どのデータをAIに渡しているか」を把握できる体制が求められる方向に進化
3. AI利用者向けの15チェック観点：別添7のチェックリストとワークシート（Excel形式）が公開され、中小企業でも棚卸し・規程整備・教育の3点で具体的に取り組める形に整理された
ガイドラインは法的拘束力を持つ「規制」ではなく、ソフトロー（自主的に従う指針）ですが、取引先や金融機関からのAIガバナンス確認に答える際の事実上の標準として参照され始めています。中小企業であっても「ガイドラインに沿って整備済み」と説明できる準備は、商談での説得材料になります。
特に建設・製造・医療福祉など、元請けや基幹取引先からの監査・チェックシート回答を求められる業種では、「AI利用ポリシーの有無」が既にアンケート項目に含まれ始めています。ガイドラインを読み込んで独自に規程文書を作る余力がない中小企業ほど、別添7のチェックリストをそのまま棚卸しの出発点に使うのが現実的です。15項目を一度に埋めようとせず、まず「AI利用状況の把握」「機密情報の入力可否」「エージェント型AIの人間確認プロセス」の3項目から着手すると、後続の規程整備がスムーズに進みます。
なぜ中小企業ほどシャドーAIが広がるのか
中小企業でシャドーAIが広がりやすい背景には、(1)公式AIツールが提供されていない、(2)情シスの監視が薄い、(3)効果実感の前に規程ができてしまう恐怖、の3点があります。
1. 公式の選択肢がない／遅い
「ChatGPTを業務利用したいが、会社の方針が決まるまで使ってはいけない」と言われた現場が、私用アカウントで使い始めるパターンが最も典型的です。海外調査でも「組織がAIツールを提供していない」「提供していてもトレーニングが不十分」というギャップが指摘されています。
2. 情シス・IT管理者の人手不足
中小企業では情シスを総務・経理が兼務しているケースも多く、SaaS利用状況の棚卸しまで手が回りません。結果として、生成AI利用が「無いことになっている」状態が続きます。
3. 規程先行への抵抗感
「使うな」と禁じる規程だけが先に出ると、現場は隠れて使い続けます。「自分の生産性が下がる」と感じた瞬間に、規程は形骸化します。中小企業のAIガバナンスは、禁止ではなく「安全に使える公式ルート」を先に作ることが現実的な解です。
この3つの背景に共通するのは、「AIガバナンス＝規程を作る仕事」という捉え方そのものが問題を長引かせている点です。規程は最終成果物であって、出発点ではありません。出発点は「現場が何にAIを使いたいと思っているか」を正しく拾い上げ、それに応える公式な受け皿を先に用意することです。受け皿がないまま規程だけが先行すると、現場からすれば「使えるツールを取り上げられただけ」という受け止めになり、かえって私用アカウントへの逃避を加速させます。
中小企業が3カ月で着手できる社内AIガバナンスの設計手順
「禁止」から始めるのではなく、「公式ルートの提供」「利用範囲の明確化」「教育とログ確認」の順で整備すると、形骸化しない社内AIガバナンスが構築できます。
Step 1：AI利用状況の棚卸し（2〜4週間）
まず、社内で実際にどのAIツールが使われているかを把握します。情シスが知っているSaaSとは別に、現場ヒアリング・経費精算データ・ブラウザ拡張のチェックで「個人課金で使われているAI」を洗い出します。同時に「どんな業務にAIを使いたいか」も収集すると、後の公式ルート設計に直結します。
Step 2：公式AIルートの提供（4〜8週間）
棚卸し結果をもとに、業務に必要なAIを「公式の入り口」として提供します。選択肢は大きく3パターンです。
- 法人向けプランの集中購買：ChatGPT Enterprise / Microsoft 365 Copilot などを部署単位で契約し、SSO・ログ・データ非学習を担保する
- 業務特化のAIナレッジ基盤の自社構築：自社ドキュメント・規程・帳票に閉じた範囲でRAGナレッジBotを構築し、業務文脈つきで使えるようにする
- ハイブリッド：汎用は法人プランで提供しつつ、機密性の高い業務は自社専用AIに分離する
業務特化AIナレッジ基盤の考え方はMicrosoft 365 Copilot が定着しない理由と自社専用AIナレッジの現実解で詳しく整理しています。RAGの基本構造はRAG（検索拡張生成）とは｜中小企業の社内ナレッジAI活用入門を参照してください。
Step 3：利用範囲とNGデータの明確化（並行）
「使ってよいAI」「入れてよい情報」「入れてはいけない情報」を3階層で明文化します。
- 公開情報（プレスリリース・公開Web）：すべてのAIに入力可
- 社内秘（議事録・社内マニュアル・案件メモ）：法人プラン or 自社AIに限定
- 機密情報（人事情報・顧客個人情報・契約金額）：自社専用AIに限定、または非AI業務
「○○のデータは××に入れてはいけない」を一覧化し、入社時研修と年次研修に組み込みます。
Step 4：AIエージェントのHuman-in-the-Loop設計
AIが自律的にメール送信・データ更新・外部API呼び出しを行うエージェント型のワークフローを導入する場合は、ガイドライン1.2版の要請に沿って「外部影響のある操作の前に人間が確認するステップ」を必ず組み込みます。AIエージェントの基本構造と運用設計はAIエージェントとは｜中小企業が押さえる自律型AIの基礎と現実的な導入ステップで詳しく解説しています。
Step 5：ログ確認と継続的な見直し
公式AIルートでもログ確認は必須です。誰がどんなプロンプトでどんなデータを扱ったかを、最低でも月次でレビューする運用を仕込みます。
シャドーAI対策として中小企業が3カ月で着手すべき社内AIガバナンスの5ステップ図解。利用状況の棚卸し、公式AIルートの提供、利用範囲とNGデータの明確化、AIエージェントのHuman-in-the-Loop設計、ログ確認と継続的な見直しを順に示し、AI事業者ガイドライン第1.2版が示す土台も併記している。
ナレッジbotであれば「回答できなかった質問」をログから抽出し、検索辞書やマニュアルの改善にフィードバックする流れも組み込めます。社内ナレッジbotの運用パターンは社内ナレッジbotの活用パターンと導入効果で整理しています。
中小企業にとって現実的な「公式ルート」の選び方
社員数や扱う情報の機密性、業務の業種特化度によって、汎用法人プラン／業務特化AI／ハイブリッドの最適解は変わります。
| パターン | 向いている企業 | メリット | 注意点 |
|---|---|---|---|
| 汎用法人プラン中心 | 社員30名以下、機密性の高い業務が少ない | 導入が速い・初期コスト低 | 業務文脈は持たないので深い効率化は限定的 |
| 業務特化AIナレッジ中心 | 業種特有業務（介護記録・建設安全書類・薬局服薬指導等）が中心 | 業務KPIに直結・機密情報を社外に出さない | 初期構築費が必要、運用設計が要 |
| ハイブリッド | 社員50名以上、汎用業務と業種特化業務が混在 | 業務ごとに最適化、ガバナンスもしやすい | 利用ルートの整理が要 |
業種特化の業務（介護記録・HACCP・配車計画・建設安全書類など）を持つ企業は、汎用AIだけでは精度・権限管理の両面で限界があります。「業務文脈を持つRAGナレッジBot＋AI書類作成＋業務分析ダッシュボード」をフルスクラッチで設計し、機密情報を外部の汎用AIに渡さないルートを別に持つことが、シャドーAI対策とROI両立の現実解になります。
導入後によくある失敗例は、法人プランを契約しただけで「対策完了」としてしまい、Step 3の利用範囲明文化を飛ばすケースです。契約は公式ルートの器を用意したにすぎず、「どのデータをどこまで入れてよいか」が現場に伝わっていなければ、結局は機密情報の扱いが担当者任せのまま残ります。もう一つの典型的な失敗は、棚卸しを1回きりで終わらせてしまうことです。新しいAIツールは数カ月単位で登場するため、半年に1度は利用状況の再棚卸しを行い、公式ルートに含めるべきツールが増えていないかを確認する運用まで含めて設計しておく必要があります。
私たちなら社内AIガバナンス基盤をこう設計する
ガバナンスの規程文書だけを整えても、現場が使う画面と運用がバラバラなら形骸化は避けられません。ここでは、よりどころべーすの基盤をベースに、シャドーAI対策の受け皿となる社内AI環境を実際にどう設計するかを具体的に示します。
データ設計：社内秘・機密情報に該当する既存の帳票・マニュアル・議事録を、アクセス権限つきのナレッジ基盤に集約します。就業規則・稟議規程・案件メモ・顧客対応履歴など、部署ごとに散らばっているExcelやPDFを「文書種別」「機密レベル」「所管部署」のタグで分類し、1つのナレッジDBに統合します。機密レベルのタグが、そのままAIチャットの回答範囲を絞り込む権限設定の単位になります。
情報の流れ：現場スタッフはAIチャット画面から質問を投げるだけで、裏側では機密レベルに応じてナレッジ基盤内の該当文書だけが検索対象になります。情シス担当者・総務担当者は管理画面から「どの文書をどの部署に公開するか」を登録・更新し、経営企画は月次で「回答できなかった質問」のログを確認して、規程の抜け漏れやマニュアル未整備の箇所を洗い出します。棚卸しで判明した「個人AIで処理されていた業務」を、この画面上のワークフローに順次移し替えていくのがStep 2〜3の実装形です。
AIの回答設計：たとえば現場スタッフが「有給休暇の申請手順を教えてください」とAIチャットに質問すると、就業規則第15条を出典として明示したうえで、申請フローを4ステップで回答します。回答の末尾には出典文書へのリンクが表示され、スタッフは必要であれば原文を確認できます。逆に「A社の契約金額を教えてください」のような機密情報に関する質問は、権限を持たないアカウントからは「担当部署に確認してください」という回答に切り替わる設計にし、汎用AIに機密データを渡さない受け皿として機能させます。
よりどころべーすのAIチャット・ナレッジ画面のデモ画面（サンプルデータ）。総ナレッジ記事数156件・今月のAI質問回数342回のKPIが表示され、業務マニュアル・社内規定・FAQ・制度ガイドのカテゴリから検索でき、画面右側でAIナレッジbotが「有給休暇の申請手順を教えてください」という質問に対し、就業規則第15条を出典として4ステップの回答を返している様子が確認できます。
上の画面はよりどころべーすのAIチャット・ナレッジ画面のデモ画面（サンプルデータ）です。総ナレッジ記事数や月次の質問回数がKPIとして常時表示されるため、経営企画やガバナンス担当者は「AIがどれだけ使われているか」「どの分野の質問が多いか」を規程を読み返さなくても把握できます。ログ確認の運用（Step 5）を、専用のレポート作成なしに日常業務の一部として回せる状態にすることが狙いです。
権限・運用ルール：文書の登録・編集は各部署の管理者権限を持つ担当者のみ、閲覧は機密レベルに応じて部署単位・役職単位で制御します。就業規則や社内規程の改定があった場合は、規程改定の起案者がそのまま新版をナレッジ基盤にアップロードし、旧版は自動的に「参照不可」に切り替わる運用にすることで、AIが古い規程を根拠に回答してしまう事故を防ぎます。
既存環境との連携・移行：ChatGPT Enterprise等の法人プランを併用する企業には、汎用業務はそのまま法人プランに任せ、社内秘・機密情報を扱う業務だけをよりどころべーすのナレッジ基盤に寄せるハイブリッド構成を提案しています。既存のExcel・紙の規程集をゼロから作り直す必要はなく、既存フォーマットのまま段階的に取り込みながら、ナレッジDBの分類タグだけを付与していく移行手順を取ります。
こうした「機密レベルに応じた回答の出し分け」「文書改定と連動した参照制御」「利用状況の可視化」は、規程文書とAIチャットが別々のツールになっている限り実現しにくい部分です。ここから先は、業種別パッケージを基盤に足りない機能だけをスクラッチで積み増す設計と、フルスクラッチ×AI駆動開発でコストを抑えながら現場の業務フローに合わせて作り込める体制があってはじめて、規程と現場の運用が同じ画面の上でつながります。よりどころべーすでは、業種別に「業務文脈を持つRAGナレッジBot」「AI書類作成」「業務分析ダッシュボード」を1つの基盤に搭載し、汎用AIに機密情報を渡さない公式ルートとして提供しています。
まとめ：2026年は「ガバナンス先行・現場後追い」を逆転させる年
シャドーAIは「現場が悪い」のではなく「公式ルートがない・遅い・狭い」ことの結果です。AI事業者ガイドライン第1.2版は、AIエージェントとHuman-in-the-Loopを正式対象に加え、中小企業のAI利用者にも15のチェック観点を整理しました。一方で、規程だけ作っても現場は動きません。
「公式AIルートの提供」「利用範囲の3階層明文化」「ログ確認の運用」を3カ月で立ち上げることが、2026年の中小企業AIガバナンスの現実解です。ここに書いた設計はあくまで一般化した叩き台であり、実際には御社の帳票・規程・業務フローに合わせて、どの文書をどの権限で扱うかという要件整理から一緒に詰めていく作業になります。シャドーAIに悩む情シス・経営企画の方は、業種別の活用パターンから自社に近い業種をご確認のうえ、下記のフォームからご相談ください。