シャドーAI・ChatGPT業務利用のリスクと会社を守るための対策を弁護士が解説

「うちの社員、仕事でChatGPT使っているんだろうけど、会社として何も決めていない」。そんな状態のまま、気づいたら何ヶ月も経っていた──という社長は少なくないはずです。禁止もしていない、許可もしていない。ルールの空白地帯の中で、社員はAIを使い続けています。問題が起きてから「知らなかった」では済まされない。でも、何から手をつければいいのかが見えない。この記事はそういう「言葉になりきっていない不安」を持つ社長のために書きました。

「シャドーAI」とは何か──会社が気づかない間に起きていること

「シャドーAI」とは、会社が公式に認めていないAIツール──ChatGPTやGemini、Copilotなど──を、社員が業務で勝手に使っている状態を指します。IT部門や経営者の承認なく導入・利用されているという意味で、かつて問題になった「シャドーIT（シャドーITとは、会社が把握していないクラウドサービスやアプリの業務利用）」のAI版です。

問題は、「使っていること自体」ではありません。社員がAIで業務効率を上げることは本来、会社にとってもプラスです。問題は、何を入力しているかが会社にまったく見えていないことです。顧客情報、社内の財務データ、取引先とのやりとり、未発表の製品仕様──こうした情報がChatGPTの入力欄に貼り付けられているとしたら、どうなるでしょうか。

OpenAIのChatGPT（無料・有料プランによって異なります）では、入力した内容がモデルの学習に使われる可能性がある設定がデフォルトになっていた時期があります。現在は設定変更や法人向けプランで対策できますが、個人アカウントで使っている社員がそこまで把握しているかどうかは別の話です。

なぜ「判断ミス」が起きるのか──ルールの空白が生む誤解の構造

シャドーAI問題が起きる会社には、共通した構造があります。

• 「禁止していないから使っていいと思っていた」（社員側の誤解）
• 「みんな使っているし、効率が上がるならいいかと思っていた」（黙認の蓄積）
• 「何か問題が起きたときに考えればいい」（後回しの判断）

特に中小企業の経営者は、法務リスクより目の前の業務優先で動いています。「AIのルールを作る」という課題は、売上や採用の問題より緊急度が低く見えてしまう。でも、情報漏洩は一度起きると止められません。顧客データが外部のAIサービスに渡ってしまった後から、「なかったこと」にする手段はないのです。

もうひとつ重要な構造があります。「何が漏れているかを会社が把握できない」という点です。シャドーAIである以上、どの社員が何を入力したかのログが社内に残りません。問題が発覚したとき、調査のしようがない。これが、後の対応を極端に難しくします。

問題が起きる前にできること──予防のための３つの決め事

シャドーAI問題は、制度を整えることで大部分を予防できます。今すぐ着手できる３つの柱を示します。

① AI利用ポリシーを作る

「何を使ってよくて、何を入力してはいけないか」を明文化します。ポイントは「禁止一辺倒にしない」こと。全面禁止にすると、社員は隠れて使うようになります。「個人情報・顧客情報・未公開情報は入力禁止」「使用するAIツールは会社が指定したものに限る」など、具体的な線引きが重要です。

② 就業規則・情報管理規程に組み込む

ポリシーを口頭や社内チャットで周知しただけでは、法的には「会社が定めたルール」として機能しにくい場面があります。就業規則や情報セキュリティ規程に明記し、違反した場合の取り扱い（懲戒事由との関係）まで整備しておくことで、万が一の際に会社が適切に対処できる根拠が生まれます。

③ 使用ログを残せる仕組みを検討する

法人向けのAIサービス（Microsoft Copilot for Microsoft 365、ChatGPT Enterpriseなど）は、入力データを学習に使わない契約オプションや、利用ログの管理機能を持っています。個人アカウントのChatGPTと法人契約では、情報管理の前提がまったく異なります。IT環境の整備と並行して、弁護士・ITコンサルタントと連携した体制づくりが有効です。

問題が発生したときの対応フロー──証拠の残し方が勝負を分ける

「社員がChatGPTに顧客情報を入力していた」と発覚したとき、最初の48時間の動き方が後の対応を大きく左右します。

1. 事実確認を急ぐ（ただし当事者に先に話しかけない）：まずは客観的な記録──メール、チャットログ、PCの操作記録──を保全します。当事者に話しかける前に証拠を確保することが鉄則です。先に話しかけると、証拠が消える・記憶が書き換えられるリスクがあります。
2. どの情報がどこに流れたかを整理する：入力されたデータの種類（個人情報か、取引先の機密情報か、社内の財務データか）によって、対応義務が変わります。個人情報保護法上の「漏洩報告」義務（個人情報保護委員会への報告・本人通知）が発生するかどうかの判断が必要です。
3. 取引先・顧客への連絡タイミングを決める：自社判断で「大丈夫だろう」と動くのが最もリスクが高い。弁護士と連携して、連絡の要否・タイミング・文面を決めることで、後の損害賠償リスクを最小化できます。
4. 記録を時系列で残す：「いつ何を知り、どう動いたか」の記録が、後の責任問題で会社を守ります。

失敗事例の構造──なぜ相談が遅れ、なぜ証拠がなかったのか

実際にシャドーAI問題で対応が難しくなったケースには、共通した「遅れの構造」があります。

「相談が遅れた理由」：多くの場合、経営者が問題を認識するのは、取引先からクレームが来たり、退職した社員が情報を持ち出したことが判明したりした後です。それまでは「なんとなく気になっていたが、問題が起きているわけでもないし」という判断で後回しにされてきました。法務リスクは「問題が見えないうちが一番危ない」という性質を持っています。見えないからこそ、誰も動かない。

「証拠がなかった理由」：シャドーAIの本質は「会社が把握していない」ことです。社員が個人のGoogleアカウントでChatGPTを使っていれば、その入力履歴は会社のサーバーには残りません。BYODのスマートフォンやPCを使っていれば、会社がログを取ることすら難しい。証拠は、紛争になってから急に作れるものではありません。日常的な管理体制の中に「ログが残る設計」を組み込んでおくことが、唯一の対策です。

また、「就業規則にAIに関するルールがなかった」ために、社員を懲戒処分できなかったケースもあります。ルールがなければ、違反も問えない。この点が、事前の整備がいかに重要かを示しています。

うちの会社ではどう考えればいいのか──会社の規模・業種別の視点

「自社に当てはめるとどうなのか」を判断するために、以下の視点で自社を点検してみてください。

• 個人情報を大量に扱う業種（医療・介護・不動産・士業・EC等）：個人情報保護法上の義務が重く、漏洩時の報告義務・損害賠償リスクが高い。AI利用ポリシーの整備を最優先にすべきです。
• 取引先と秘密保持契約（NDA）を結んでいる会社：NDAで「第三者への開示禁止」が定められている場合、取引先の情報をAIに入力することがNDA違反になる可能性があります。既存のNDAの内容確認が先決です。
• 社員数が少なく、IT管理が手薄な会社：ルールがなく、管理もなく、教育もない状態が最もリスクが高い。まずは「使ってはいけない情報の種類を明示する」だけでも、大きな違いがあります。
• リモートワークが多い会社：社員のPC操作を物理的に確認できない環境では、シャドーAIの発生リスクが特に高くなります。ツールの管理とログの設計が重要です。

「うちには関係ない」と思いにくい問題が、シャドーAIです。業種・規模を問わず、今この瞬間にも社員が何かをChatGPTに入力しているかもしれない。それを前提に考えることが、最初の一歩です。

再発防止策──一度整えれば、会社の「安全装置」になる

シャドーAI問題を一度経験した会社が次にすべきことは、「なぜ起きたか」を制度の問題として捉え直すことです。個人の失敗として処理しても、同じ構造が残れば同じことが繰り返されます。

• AI利用ポリシーの定期的な見直し：AIツールは急速に進化しています。半年前に作ったルールが、今のツール環境に合っていないことが普通に起きます。年１回以上の見直しをルーティンに組み込む。
• 社員教育の仕組み化：ポリシーを作っても、社員が内容を知らなければ意味がありません。入社時研修・定期研修にAIリテラシーの項目を組み込むことが、継続的な効果を生みます。
• インシデント対応手順の明文化：「問題が起きたらこうする」という手順書を持っておくことで、発覚時に冷静に動ける。手順書がないと、問題が起きたときに経営者が混乱し、対応が後手に回ります。
• 法人向けAIサービスへの移行検討：個人アカウントの無料ChatGPTから、情報管理が担保された法人契約のAIサービスに移行することで、技術的なリスクを大幅に下げられます。

シャドーAI対策は、一度整えてしまえば会社の「危ない判断をしないための安全装置」として機能し続けます。毎回ゼロから考えるのではなく、仕組みとして持っておく。それが、経営者の判断コストを最も下げる方法です。

シャドーAI問題は、一件対応して終わりではありません。AIツールは毎月のように新しいものが登場し、社員の利用実態も変化し続けます。重要なのは「その都度の対応」ではなく、AI利用ポリシーを就業規則・情報管理規程に組み込み、現場が迷わず動ける体制を整えることです。弁護士法人ブライトでは、顧問先142社の実名を公開し、企業法務部の弁護士歴平均14年以上のチームが、AIリスク対策の規程整備から「今すぐ社員に聞いていいか」という日常の初動相談まで、継続的に支えられる「みんなの法務部」として顧問先に伴走しています。スポット対応では補えない「日常的な相談できる体制」こそが、シャドーAIのような見えにくいリスクを早期に発見・対処する最も確実な方法です。

よくある質問

Q. 社員がChatGPTを使っていたことが分かりました。すぐに懲戒処分できますか？

A. 就業規則にAI利用に関するルールや情報管理規定が明記されており、違反した場合の懲戒事由として整備されている場合には、処分の根拠となり得ます。ただし、ルールが明文化されていない状態での懲戒処分は、不当処分として争われるリスクがあります。まず現行の就業規則の内容を確認し、弁護士と対応方針を検討することをお勧めします。

Q. NDA（秘密保持契約）を結んでいる取引先の情報をAIに入力した場合、即座に契約違反になりますか？

A. NDAの文言によります。「第三者への開示禁止」条項がある場合、AIサービスの運営会社（OpenAIなど）が「第三者」に該当するかどうかが問題になります。多くのNDAは想定していなかった条文設計のため、解釈が分かれる場合があります。取引先から問題提起される前に、既存NDAの条文を弁護士に確認し、必要であれば取引先と覚書を締結しておくことが安全策です。

Q. 個人情報をChatGPTに入力してしまった場合、個人情報保護委員会への報告は必要ですか？

A. 個人情報保護法では、一定の要件を満たす漏洩・流出事案について、個人情報保護委員会への報告と本人への通知が義務付けられています。「AIへの入力」が同法上の「漏洩」に該当するかどうかは、入力した情報の性質・量・AIサービスの利用規約・データ処理の実態によって判断が異なります。「大丈夫だろう」と自社判断で動くのが最もリスクが高いため、専門家に確認することをお勧めします。

Q. ChatGPTの法人プランにすれば、情報漏洩リスクはゼロになりますか？

A. 法人向けプラン（ChatGPT Team・Enterpriseなど）では、入力データの学習利用を行わない契約オプションが提供されており、個人アカウントより情報管理のリスクを大幅に低減できます。ただし「ゼロになる」わけではありません。サービス提供会社のサーバーにデータが送られる構造は変わらず、利用規約・セキュリティ体制の継続的な確認が必要です。また、社員教育・社内ポリシーとセットで整備しなければ、技術的対策だけでは限界があります。

この記事の監修者

和氣 良浩（わけ よしひろ）

弁護士法人ブライト｜代表弁護士／パートナー弁護士

大阪弁護士会／大阪大学法学部卒

専門：顧問弁護士・企業法務・M&A・経営権紛争・事業再生

AIの業務利用ルール整備・情報漏洩対応・就業規則・情報管理規程の見直しなど経営上の課題を継続的に相談できる顧問弁護士をお探しの方は、弁護士法人ブライト「みんなの法務部」にお問い合わせください。顧問先142社の実名を公開しており、企業法務部の弁護士歴平均14年以上の経験豊かな弁護士が対応します。企業法務窓口：06-4965-9590（平日9:00〜18:00）