はじめに
「気づいたら、営業部が勝手にChatGPTで見積書の下書きを作っていた」——そんな経験、一度はあるはずです。
生成AIの利用率は2026年時点で日本のインターネット利用者の半数を超えました。会社が何も用意しなくても、社員は自分の判断でChatGPTやClaudeを使い始めます。禁止しても止まりません。むしろ管理の目が届かない「シャドーAI」となって、リスクだけが膨らんでいきます。
シャドーAIとは、情シスの管理外で社員が無許可の生成AIツールを業務利用している状態のこと。シャドーIT（無許可のクラウドサービス利用）のAI版です。
この記事では、一人情シスが最小の工数で生成AIの業務利用ルールを整えるための実務手順を解説します。ポイントは「禁止」ではなく「安全な選択肢の提供」です。
なぜ「全面禁止」が最悪の選択なのか
真っ先にお伝えしたいのは、禁止規定だけ作って終わりにしないことです。
禁止しても社員は使います。個人のスマホで、個人アカウントで、こっそりと。こうなると情シスからは何も見えません。何のデータが、どのツールに入力されたのか。把握できないことが最大のリスクです。
さらに2026年はEU AI法の規制適用が段階的に本格化した年でもあります。EU域内のデータを扱う場合、日本企業も無関係ではいられません。「知らないうちに使われていた」では済まされない状況が近づいています。
会社として安全な使い方を用意し、社員がそちらを選びたくなる状態を作る。これがシャドーAI対策の基本方針です。
ステップ1：入力してはいけない情報を先に決める
ルール作りで最初にやるべきは、ツール選定ではありません。「何を入力してはいけないか」の線引きです。
最低限、以下の4分類をNGリストとして明文化してください。
- 顧客情報（氏名、連絡先、取引内容）
- 従業員の個人情報（人事評価、給与、健康情報）
- 未公開の経営情報（財務データ、M&A、新製品計画）
- 取引先とのNDA（秘密保持契約）対象情報
逆に言えば、これ以外の一般的な文章作成や調べ物は自由に使ってよい、と明示します。「使っていい領域」をはっきりさせることが、シャドーAIを防ぐ一番の近道です。
このNGリストを作るとき、情シスが一人で書き上げる必要はありません。むしろ営業・経理・製造など各部署に「AIに入力されたら困る情報は何か」を10分ヒアリングして回るほうが、実態に合ったリストになります。副次的な効果もあります。ヒアリングの過程で「実はもう使っています」という申告が自然に集まり、社内のシャドーAIの実態調査を兼ねられるのです。
粒度の目安はA4で1枚。具体例を2〜3個添えるだけで、社員の判断精度は大きく変わります。「顧客名を伏せ字にすればOK？」のようなグレーゾーン質問への回答例も、1〜2件載せておくと問い合わせが減ります。
ステップ2：法人アカウントに寄せる
個人アカウントと法人プランの最大の違いは、入力データの扱いです。
ChatGPT（Team/Enterprise）やClaude（Team/Enterprise）などの法人向けプランでは、入力データをAIの学習に使わない契約条件が基本になっています。個人の無料アカウントでは設定次第で入力内容が学習に利用され得ます。会社の情報を扱う以上、この差は決定的です。
一人情シスの現実解としては、次の順番をおすすめします。
- まず全社で使うツールを1つに絞る（ChatGPTかClaudeか、Google Workspace併用ならGemini）
- 法人プランを人数分ではなく「使う部署から」導入する
- 個人アカウントでの業務利用を規程で明示的に禁止する（代替を用意した上で）
全部署一斉導入は予算面で頓挫しがちです。効果が見えやすい部署から始めて、実績を持って広げるほうが結果的に速く進みます。
予算の説得材料としては、「時間削減」より「リスク回避」が刺さります。無料アカウントの野放し状態で情報漏洩が起きた場合の対応コスト（顧客への謝罪、調査、信用回復）と、法人プランの月額を並べて見せるだけで、経営層の反応は変わります。生成AIの法人プランは、生産性ツールであると同時に保険でもある。この位置づけで話すのが通しやすい説明の型です。
なお、Google Workspaceを契約済みの会社ならGeminiが追加費用なし（プランによる）で使える場合があります。既存契約の棚卸しを先にやると、意外と「もう持っていた」が見つかります。
ステップ3：デバイス側でも最低限の統制をかける
ルールと契約だけでは、抜け道が残ります。ここでMDM（モバイルデバイス管理。会社のスマホ・PCを一元管理する仕組み）の出番です。
社用デバイスに対しては、次の統制が現実的です。
- 会社が許可した生成AIアプリのみを配布する（許可リスト方式）
- ブラウザ利用が中心なら、管理対象ブラウザ経由のアクセスに限定する
- BYOD（私物端末の業務利用）がある場合は、MAM（モバイルアプリ管理）で業務データ領域と個人領域を分離する
「アプリを全部ブロックする」必要はありません。安全な入口を1つ用意して、そこに誘導する。デバイス統制もあくまでこの思想の延長です。
落とし穴：ルールを作った後に起きること
導入時の注意点を3つ挙げます。ここでつまずく会社が本当に多いのです。
1つ目、ルールが厳しすぎて形骸化する。NGリストが10ページもあれば誰も読みません。A4で1枚、判断に迷ったら情シスに聞く、くらいの粒度が続きます。
2つ目、出力の検証ルールを忘れる。生成AIは事実と異なる内容をもっともらしく出力することがあります（ハルシネーション）。「社外に出す文章は必ず人間が事実確認する」の一文を必ず入れてください。
3つ目、一度作って放置する。生成AIの規約や機能は数か月単位で変わります。半期に一度、ルールとツール構成を見直す予定をカレンダーに入れておきましょう。
もうひとつ付け加えるなら、「違反者を吊るし上げない」ことです。シャドーAIが見つかったとき、本人を責めると次から誰も申告しなくなります。「教えてくれてありがとう。次からはこっちのアカウントで」と安全な側に引き込む対応が、長期的には統制を強くします。ルールの目的は処罰ではなく、会社の情報を守ることなのですから。
まとめ
生成AIの業務利用ルールは、「NG情報の明文化 → 法人アカウントへの集約 → デバイス統制」の3ステップで整います。完璧を目指すより、A4一枚のルールでも今週中に出すことに価値があります。社員はもう使い始めているのですから。
Mobitech Solutionへのご相談
「ルールの叩き台を作りたいが時間がない」「MDMでどこまで統制すべきか判断がつかない」——そんなときは、Mobitech Solutionにご相談ください。一人情シスの限られた工数を前提に、生成AI利用ルールの整備からMDMによるアプリ統制まで、御社の規模に合った”ちょうどいい答え”をご提案します。
