シャドーAIの典型例は「私物スマホでチャッピー」？ 利用実態を徹底調査：企業におけるシャドーAIの実態／前編

企業における生成AI活用が広がる裏側で、許可されていないサービスを利用する「シャドーAI」の利用も広がっている。読者調査の結果を基に実態に迫る。

[キーマンズネット]

　生成AIによる生産性向上を図る企業が増える一方、従業員が企業から許可されていないAIツールを業務で利用する「シャドーAI」のリスクも指摘されている。

　そこで『キーマンズネット』は「生成AIの利用状況に関するアンケート（実施期間：2026年2月16日〜3月2日、有効回答数数：218）」を実施した。どの程度の人が、どの用途でシャドーAIを利用しているのだろうか。

生成AIの業務利用が急増中のウラ側で……「シャドーAI」が横行する現場も

　はじめに、生成AIを取り入れた製品の業務での利用状況を調査したところ「会社で認められているサービスを利用している」（72.9%）が大多数で、「利用していない」（21.1%）、「会社では認められていないサービスを利用している」（11.0%）と続いた。「会社で認められていないサービス」の利用は1割程度に収まったが、従業員規模によって違いがあるようだ。

生成AIを取り入れた製品の利用状況（従業員規模別）

　従業員数1001人を超える大企業に勤める人は”非公認サービス”の利用が5％以下にとどまる一方、101〜1000人の中堅企業に勤める人は約2割に上った。100人以下の企業に勤める人は「利用していない」が約4割で、中堅・大企業と比較すると生成AIサービスの業務活用自体が進んでいない。

　大企業ではIT部門などが主体となって利用ルールやガイドラインを定めたり、生成AIに限らず許可されたツールしか使用できない環境整備が進んでいると思われる。一方、中堅企業は生成AI活用への意欲はあるものの、安全な利用に向けた環境整備までは手が付けられていない企業もあるようだ。

シャドーAIの典型パターン　「どの端末」で「どのようなサービス」を利用？

　次に、生成AIの利用している端末を聞いたところ大多数が「会社支給のPC」（97.1%）だった。回答者は少ないが「会社で認められていないサービスを利用」を選択した人に絞ると（n=24）、「私物のスマートフォン」が54.2%に上り、従業員個人のスマートフォンがシャドーAIの温床になっている可能性があることが分かった。

　続いて、生成AIを業務で利用している人（n=172）に対して利用しているサービス名を聞いたところ、「Microsoft 365 Copilot」（59.3％）、「ChatGPT」（56.4％）、「Gemini」（48.8%）が他サービスと大差をつけて上位に挙がった。「会社で認められているサービスを利用している」人はMicrosoft 365 Copilotを、「会社では認められていないサービスを利用している」人はChatGPTやGeminiを多く利用していた。

　また、生成AIサービスが具体的にどのような業務で利用されているのかを調査したところ「調査、情報収集」（72.7%）、「ドキュメント作成」（68.6%）、「ドキュメントの要約」（67.4%）が上位に挙がった。「会社では認められていないサービスを利用している」人に絞ると、「ドキュメント作成」と答えた人が83.3％となった一方で、「メール文章の作成」や「社内外の問い合わせ」と答えた人の割合は「会社で認められているサービスを利用している」人と比較して少なかった。

　ここまでの結果を整理すると、シャドーAIの典型は、私物のスマートフォンで対話型AIアプリを利用するケースだと思われる。メール文章の作成や社内外の問い合わせといった顧客に直接影響を及ぼす業務については、誤情報の提供や漏えいリスクも高くシャドーAIを控える傾向が見られ、ドキュメント作成や調査など、公開情報を扱う業務についてはシャドーAIを利用してしまう傾向にありそうだ。

　しかし、「どのツールに、誰が、何を送信したか」が追跡できないこと自体がシャドーAIのリスクであり、従業員が誤って非公開情報を入力したときに原因の究明が難しくなる危険性がある。

　以上、前編では生成AIサービスの業務利用が広がる裏側でシャドーAIがまん延しつつある現状に触れた。後編では「シャドーAIを使う理由」を深堀りし、その要因や解消策につながるヒントを提示したい。