生成AIの企業導入が急速に進む一方で、見過ごされがちな死角が浮かび上がっています。それが、会社の許可を得ないまま従業員が業務で生成AIを使う「シャドーAI」の実態です。角川アスキー総合研究所が2026年8月に発表した「AI白書2026」の独自調査や、エルテスが実施した調査など、複数の最新データが同じ構造的な問題を指摘しています。ガイドラインを整備しても利用率は下がらず、情報漏えいのリスクを自覚しながらも行動を変えられない従業員が少なくないという実態です。本記事では最新の調査結果をもとに、日本企業が直面するシャドーAI問題の全体像と、その背景にある構造を掘り下げていきます。
「管理職ほど隠れて使う」――シャドーAI利用率が示す逆転現象
角川アスキー総合研究所が2026年4月24日から25日にかけて、上場企業または従業員300人以上の非上場企業に勤務する経営者・役員・従業員310人を対象に実施した調査によりますと、会社の許可を得ずに生成AIを業務利用する「シャドーAI」の割合は、課長以上の管理職で46.5%、係長以下の一般社員で38.1%となりました。一般的には管理職の方がルールを遵守する立場にあると考えられがちですが、実際にはむしろ管理職の方がシャドーAI利用率が高いという結果になっています。
さらに、管理職の57.4%が「ルールが現場に追いついていない」と回答しており、これは一般社員の47.1%を上回る数字です。ルールと実態の乖離を最も強く感じているのは、本来ルールを徹底させる立場にあるはずの管理職自身であるという、皮肉な構図が浮かび上がります。
同様の傾向は別の調査でも確認されています。エルテスが実施した調査では、生成AI利用者全体のおよそ20%、つまり5人に1人がシャドーAIに該当する利用をしていると回答しました。生成AI全体の利用率は34.3%とされており、決して少なくない人数の従業員が、会社の目の届かないところで生成AIを利用している計算になります。
ガイドラインを整備しても止まらない――「規程の限界」を認める企業の急増
「ガイドラインを整備すればシャドーAIは減少する」というのは自然な発想ですが、調査結果はこの前提を裏切ります。角川アスキー総合研究所の調査では、全社でガイドラインを整備済みの企業においても、公式に認められていないAIツールの利用率は46.9%にのぼりました。これは、一部の部署のみでガイドラインを整備している企業の50.0%とほとんど差がない数字です。
さらに深刻なのは、ガイドラインを整備済みの企業のうち45.1%が「ルールの限界」を自覚しているという点です。規程を作ること自体が目的化してしまい、実効性を伴っていない企業が半数近くに達していることを示しています。
企業規模による格差も顕著です。上場企業と非上場企業を比較すると、AI投資の増加を見込む割合は上場企業で80.1%、非上場企業で50.0%と大きな開きがありました。加えて、AI導入の効果を定量的に把握できている企業の割合は、上場企業37.0%に対して非上場企業はわずか13.7%にとどまり、2.7倍もの差が生じています。ガイドラインの全社整備率も上場企業45.9%、非上場企業29.1%と、リソースの差がそのままガバナンス体制の差として表れる結果になりました。
独自考察――「知らないふり」を続ける日本企業、シャドーAI心理の深層
ここまで見てきた数字は、いずれも「ルールを作っても行動は変わらない」という共通のメッセージを発しています。ここからは、なぜこうした状況が生まれるのか、複数の調査結果を突き合わせながら、日本企業特有の構造的な要因を考察していきます。
上場・非上場の分断が生む「ガバナンス格差の連鎖」
上場企業と非上場企業のあいだに見られる投資意欲や効果測定能力の差は、単なる資金力の違いにとどまらないと考えられます。上場企業は情報開示や内部統制の要請が強く、AI利用に関するモニタリング体制やログ管理の仕組みに投資しやすい環境にあります。一方、非上場企業、特に中堅・中小規模の企業では、情報システム部門の人員が限られており、シャドーAIを検知する仕組み自体が存在しないケースも少なくないと推測されます。この結果、非上場企業では「利用実態を把握できていないだけで、実際の利用率はさらに高い」可能性も否定できません。
「規程さえ作れば安心」という発想そのものの誤り
ガイドラインを整備済みの企業でもシャドーAI利用率がほとんど下がらないという事実は、規程の「存在」と規程の「実効性」がまったく別物であることを物語っています。多くの企業では、就業規則や情報セキュリティポリシーの一項目として生成AI利用のルールを追加するにとどまり、現場が日常的に使う業務ツールへの組み込みや、承認された代替ツールの提供といった実務的な支援を伴っていないケースが多いと考えられます。ルールを「掲示する」ことと、ルールを「機能させる」ことのあいだには、大きな溝があるといえるでしょう。
抵抗感と行動の乖離――「知りながら使う」心理のメカニズム
エルテスの調査では、非公開情報を生成AIにアップロードすることに「抵抗がある」「やや抵抗がある」と回答した人が合わせて75.8%に達しました。ところが、抵抗があると回答した78人のうち50人、比率にして64.1%が、実際にはすでに非公開情報をアップロードした経験があると回答しています。これは、リスク認識と行動のあいだに深刻な乖離が存在することを示す数字です。背景には、業務効率化への切迫したプレッシャーが、リスク認識を上回ってしまう心理があると考えられます。「本当はよくないと分かっているが、締め切りに間に合わせるためには使わざるを得ない」という状況が、多くの現場で常態化している可能性があります。
管理職ほど利用率が高い「逆転現象」の裏側
管理職のシャドーAI利用率が一般社員を上回る背景には、裁量権の大きさと成果責任の重さの両方が関係していると考えられます。管理職は業務の進め方についてより大きな裁量を持つ一方、部下よりも重い成果責任を負っており、資料作成や意思決定の迅速化のために生成AIへの依存度が高くなりやすい立場にあります。加えて、管理職自身が「自分は判断力があるから多少のリスクは許容できる」という過信を持ちやすいことも、行動の後押しになっている可能性があります。皮肉なことに、シャドーAI対策を主導すべき立場の人間ほど、対策の必要性を体感しにくい構造になっているのです。
個人情報流出リスクは「氷山の一角」にすぎない
エルテスの調査では、生成AIにアップロードされた情報のうち、氏名・住所・連絡先などの個人情報を含むデータが6.8%を占めるという結果も出ています。一見小さな数字に見えますが、生成AI利用者全体の母数を踏まえれば、相当数の個人情報が外部のAIサービスに送信されている可能性を意味します。しかも、これはあくまで従業員が「アップロードした」と自己申告した数字であり、無自覚のうちに個人情報を含む文章をコピー&ペーストしているケースはこれに含まれていません。実際の情報漏えいリスクは、調査で可視化された数字よりもさらに大きいと見るべきでしょう。
日本企業に必要なのは「禁止」ではなく「設計」
これらの調査結果を総合すると、シャドーAI問題の本質は「従業員のモラルの低さ」ではなく、「業務効率化のニーズに対して、企業側が安全な選択肢を用意できていないこと」にあると考えられます。生成AIの利用を一律に禁止しても、従業員は個人のスマートフォンや私物端末で無料の生成AIサービスを使い続けるだけであり、むしろ企業の監視が及ばない領域が拡大するリスクがあります。今後求められるのは、禁止一辺倒の対応ではなく、承認済みツールの使い勝手を高め、ログ管理や利用状況の可視化を組み込んだうえで、現場の業務フローに自然に組み込まれる形で生成AI活用を「設計」していくアプローチだと考えられます。
まとめ
今回取り上げた複数の調査データは、日本企業における生成AIガバナンスが依然として過渡期にあることを浮き彫りにしました。管理職の46.5%、一般社員の38.1%がシャドーAIを利用し、ガイドラインを整備した企業でも利用率は46.9%とほとんど変わらないという実態は、規程の整備だけでは問題を解決できないことを示しています。さらに、非公開情報のアップロードに抵抗を感じながらも実際には行動してしまう64.1%という数字は、リスク認識と現場の実務とのあいだに根深いギャップがあることを物語っています。企業に求められているのは、ルールを掲げることではなく、安全に使える選択肢を現場に届け、利用実態を可視化する仕組みづくりです。生成AI活用が本格化するこれからの時期において、シャドーAI問題への向き合い方は、企業のガバナンス力を測る新たな指標になっていくのではないでしょうか。
コメント