結論：禁止だけでは止まらない。使える道を用意して初めて統制できる
- Oktaが2026年3月に実施した調査（委託：Apprize360、経営幹部292名・従業員492名、対象7カ国に日本を含む）によると、従業員の52%が職場で未承認のAIツールを使用しています（出典：Okta「AI Agents at Work 2026」、確認日2026年8月27日）。
- 一方で経営幹部の95%は「従業員は責任を持ってAIを使用している」と考えており、経営層の認識と現場の実態には大きな差があります。
- 経営幹部の58%が、過去12カ月にAI関連のセキュリティインシデントまたはヒヤリハットを経験したと回答しています。認識と実態のギャップは、すでにリスクとして顕在化しています。
- 対応の方向性は「利用禁止の強化」ではありません。承認済みツールを使える状態にしたうえで利用ログを取り、教育で定着させる「統制設計」です。本記事ではその手順を整理します。
経営幹部の認識と現場の実態のギャップ
「シャドーAI」とは、情報システム部門の許可を得ずに、従業員が個人の判断で生成AI・AIエージェントを業務に使っている状態を指します。無料のチャットAIに資料の要約や翻訳をさせる、個人契約のAIツールでコードを書かせる、部署単位で導入したブラウザ拡張のAI機能を使う——いずれも情報システム部門が利用実態を把握できていなければシャドーAIに当たります。かつての「シャドーIT」（未承認のクラウドサービス利用）と構造は同じで、現場が「使うと便利だから」という理由で正規の導入プロセスを飛び越えてしまう点が共通しています。
Oktaの調査では、この構造が数値として表れています。
3つの数値は同じ調査から得られた別々の設問への回答ですが、並べると輪郭がはっきりします。経営幹部の大半は「現場は責任を持ってAIを使っている」と信じている一方、現場の半数超は承認を得ないままAIを使い、経営幹部自身も過半数がすでにインシデントかヒヤリハットを経験済みです。認識と実態の差は、単純な統計のばらつきではなく統制上の空白として扱う必要があります。
なぜ「禁止」だけでは止まらないのか
生成AIツールへのアクセスを一律に禁止しても、従業員個人のブラウザや私用端末からのアクセスまでは技術的に防ぎきれません。禁止だけを掲げると、利用実態が水面下に潜り、情報システム部門からログも見えなくなる「見えない化」が進みます。
これは新しい問題ではありません。AI事業者ガイドライン第1.2版への実務対応を整理した際にも触れたとおり、生成AIの業務利用自体は先行して広がっている一方で、社内ガイドラインが整っていない企業は少なくありません（関連記事：AI事業者ガイドライン第1.2版への実務対応）。ルールも承認ツールもない状態で「使うな」とだけ伝えても、現場は業務スピードを落とさない範囲で使い続けてしまうのが実態です。
この状態を放置すると、機密情報や顧客データが外部のAIサービスに入力される、利用ログが残らないため何が起きたか追跡できない、といったリスクが積み上がります。経営幹部の58%が実際にインシデントやヒヤリハットを経験しているという数字は、このリスクがすでに現実になっていることを示しています。
統制設計の3点セット：使える道の提供・ログ・教育
シャドーAIを減らす実務的な打ち手は、禁止の強化ではなく「正規の利用経路を用意すること」です。次の3点をセットで整備すると、現場は正規のツールに寄っていきます。
| 施策 | 内容 | 狙い |
|---|---|---|
| 承認済みツールの提供 | 情報システム部門が用途別に安全性を確認したAIツール・AIエージェントを、申請不要または簡易申請で使える状態にする | 「使いたいのに使えない」状態を解消し、私用ツールへ逃げる動機を減らす |
| 利用ログの取得 | 承認済みツールの利用状況（誰が・いつ・何に使ったか）を記録し、定期的に確認する | 異常な利用や情報漏えいの兆候を早期に検知できるようにする |
| 教育・周知 | どの業務にAIを使ってよいか、入力してはいけない情報は何かを、具体例つきで継続的に周知する | ルールを一度作って終わりにせず、現場の理解を維持する |
3点のうち特に効果が出やすいのが、承認済みツールの提供です。私物や個人契約のAIサービスより、会社が用意したツールのほうが使いやすければ、従業員はそちらを選びます。逆に、社内向けのAIツールが使いにくい、申請の手間が大きいといった状態が続くと、シャドーAIは減りません。利用ログと教育は、ツールを整えたあとに効いてくる仕組みです。ログがなければ異常に気づけず、教育がなければ「入力してよい情報の範囲」が現場に伝わりません。
導入の進め方：小さく始めて段階的に広げる
いきなり全社一斉に統制を敷こうとすると、現場の反発や運用の抜け漏れが起きやすくなります。次の順序で進めると、無理なく定着させやすくなります。
- 利用実態の把握：部署ごとにどのAIツールが使われているかを、ヒアリングやアンケートで洗い出します。個人契約のツールも申告対象に含め、申告した従業員を責めない姿勢を先に伝えておくことが、実態を正確に把握するための前提になります。
- 優先度の高い部署から承認ツールを導入：機密情報や顧客データを扱う頻度が高い部署を優先し、承認済みツールへの移行を進めます。
- ログ監視の運用を回す：まずは月次でログを確認する体制を作り、異常があれば都度対応します。全件を常時監視する体制をいきなり作る必要はありません。
- 全社展開と教育の定着：先行部署の運用実績をもとに、対象範囲を広げながら教育を継続します。
この統制設計を社内だけで完結させるのが難しい場合、情報システム部門を横断して統制する役割（CIO相当の機能）を外部から補う方法もあります。体制構築の進め方から相談したい場合は、CIO支援サービスで利用実態の把握から一緒に整理できます。
まとめ
Oktaの調査が示す「経営幹部の95%が従業員のAI利用を信頼している一方、従業員の52%が未承認AIツールを使っている」というギャップは、放置すれば経営幹部の58%が経験したようなセキュリティインシデントにつながります。止める方法は禁止の強化ではなく、承認済みツールの提供・利用ログの取得・教育の3点セットで「使える道」を用意することです。まずは自社のAI利用実態を洗い出すところから始めてみてください。
出典一覧（確認日：いずれも2026年8月27日）
- Okta「AI Agents at Work 2026」：https://www.okta.com/ja-jp/newsroom/articles/ai-agents-at-work-2026/ — 調査主体はApprize360（委託調査）、2026年3月実施、経営幹部292名・従業員492名（対象7カ国、日本11%）。未承認AIツール利用率52%、経営幹部の「従業員は責任を持って使っている」との認識95%、AI関連セキュリティインシデント/ヒヤリハット経験率58%を確認
- IIJ「『生成AIガイドライン』未整備は63％。情報不足や他業務で忙しいことが課題に」：https://ent.iij.ad.jp/articles/8954/ — 情報システム部門293件回答（2025年2月5日〜10日実施）。関連記事「AI事業者ガイドライン第1.2版への実務対応」で確認済みの出典を再掲