新しい技術が登場すると、人はそれに関心を寄せます。仕事を楽にし、効率を高めてくれる人工知能（AI）や自動化ツールは、その代表です。一方で企業は、次々と現れる新しい技術を目にしても、最初の段階ではなかなか導入に踏み切れないことがあります。
しかし、会社が変化に慎重でも、従業員が会社の知らないところでAIを使い始めることまで止められるとは限りません。Microsoft Copilot、ChatGPT、Claudeといったツールの登場で、AIは専門知識のない従業員にも身近になりました。従業員が会社の承認を得ずに業務でAIを使うことをシャドーAIと呼びます。「野良AI」と呼ばれることもあり、業界を問わず広がっています。
この記事では、シャドーAIとは何か、顧客体験（CX、カスタマーエクスペリエンス）の分野をはじめ各業界で広がっている背景、そのリスクと対策を解説します。
目次
シャドーAIとは
シャドーAIとは、会社が把握しておらず、IT部門の監督も受けていない状態で、従業員が承認されていない外部のAIツールを使うことです。
シャドーAIとして使われるツールの例
業界を問わず、従業員は次のようなシャドーAIを使っています。
カスタマーサポートの現場でも、次のようなシャドーAIが使われています。
カスタマーサービスへのAI導入などに踏み切れていない、または導入できない企業では、シャドーAIが広がりがちです。
シャドーAIとシャドーITの違い
シャドーAIとシャドーITは、どちらも社内で承認されていない技術を使うことを指します。最も大きな違いは、使われる技術の種類と、起こり得るリスクにあります。
シャドーITのリスクは、承認されていないツールを使っている部門や担当者の範囲にとどまることが多いのに対し、シャドーAIのリスクは全社に及ぶ可能性があります。
| シャドーAIとシャドーITの違い |
| | シャドーAI | シャドーIT |
| 定義 | IT部門やデータガバナンスの担当部門の承認を得ずに、AIツールやAI技術を使うこと | 企業ネットワーク上で、承認されていないITソフトウェア、ハードウェア、インフラを使うこと |
| 広がり方 | 生産性やツールの使いやすさを求める従業員が、個人で導入する | ITの課題をその場で解決しようとする従業員や部門が導入する |
| ガバナンスとコンプライアンス | IT部門やデータガバナンスの担当部門の監督と管理が及ばない | IT部門や全社レベルの監督が及ばない |
| リスク | データプライバシーの侵害 AIモデルのバイアス コンプライアンス違反 透明性の欠如
| データ侵害 法令違反 ネットワークセキュリティの脅威
|
| 組織文化への影響 | イノベーションを促す一方で、データの使い方や意思決定に一貫性がなくなるリスクがある | 機動力が高まる一方で、IT環境が分断され、部門ごとの孤立が強まるリスクがある |
| 例 | カスタマーサポート部門が、承認されていないAIツールで顧客感情を分析する | 従業員が、承認されていないストレージサービスに業務ファイルを保存して共有する |
シャドーAIの拡大
生成AIや対話型AIをはじめとするAI技術が急速に発展し、現場の従業員が自発的にAIを使い始めました。専門知識がなくても使える一般向けのAIツールが身近になったことと、会社としての正式なAIガバナンスがないことが重なり、従業員は手に入るAIツールを、検証を経ないまま自分で探して使えるようになっています。
シャドーAIの利用は業界を問わず広がり、企業をリスクにさらしています。日本でも、総務省の「令和8年版 情報通信白書」によると、何らかの業務で生成AIを利用している企業は86.4%に上る一方、活用方針を明確に定めていない企業が20.2%、生成AIの活用に組織的な取り組みがない企業が27.0%あります。データセキュリティ、コンプライアンス、企業倫理への影響は深刻です。それでも多くの従業員が、会社が承認し支援するツールではなくシャドーAIを選ぶ理由は、次のとおりです。
理由が予算でも知識でも社内の支援でも、CXの取り組みが従来型にとどまる企業（CXトラディショナリスト）がAIツールの整備を先送りすれば、従業員のAI利用と会社の備えとの溝はさらに広がります。一方、この状況に向き合う企業のうち、CXの先進企業（CXトレンドセッター）の多くは、AIエージェントや顧客体験の自動化（CXA）といった承認済みのAI活用を進めながら、必要な監督を保っています。
シャドーAIのリスク
シャドーAIを適切に管理せず、対策も講じないままにすると、会社には次のような深刻なリスクが生じます。
セキュリティの脆弱性 シャドーAIは通常のセキュリティ対策を経ないことが多いため、保護されていないデータへのアクセスからデータ漏えいまで、企業はさまざまな攻撃を受けやすくなります。
情報の完全性 承認を経ていないツールは、監督も、検証済みのセキュリティ手順も受けていないため、業務データが侵害されたり、改ざんされたりするリスクがあります。
コンプライアンス上の課題 従業員が会社の許可や把握なしに機密データを外部のAIツールに入力すると、法令や秘密保持契約（NDA）に違反する可能性が高まります。日本では、個人データを含む内容を本人の同意なしに生成AIサービスに入力し、そのデータが回答の生成以外の目的（AIの学習など）で取り扱われる場合、個人情報保護法に違反する可能性があると、
個人情報保護委員会が2023年6月に注意喚起しています。
誤った回答（ハルシネーション） 生成AIは、事実と異なる内容をもっともらしく答えることが知られています。承認を経ていないツールの出力は検証の手順を通らず、誤った情報がそのまま顧客への回答や社内の判断に使われかねません。
サイバーセキュリティの脅威 承認も検証もされていないツールは、バグ、マルウェア、欠陥のあるコードを業務プロセスに持ち込むおそれがあります。
品質のばらつき 他のシステムと連携しない孤立したAIツールの出力は、一貫性や信頼性を欠くことがあり、
顧客との関係や従業員への信頼を損なうおそれがあります。
従業員が効率を高めるつもりでシャドーAIを使っても、会社にとっては、リソースの無駄、AI活用を全社に広げるときの障害、顧客データのプライバシーの侵害につながることがあります。
シャドーAIの管理と対策
職場でのAI活用はこれからも続きます。ZendeskのCXトレンドレポート2026年版によると、CXリーダーの66%が、「ボットやAIエージェント、AI CopilotなどのAIは、今や自社のワークフォースおよびチームの一部である」と回答しています。全社で使うツールを導入する計画がないままシャドーAIをなくすことは、ほぼ不可能です。変化を進めるときに押さえておきたい管理と対策は、次のとおりです。
AIツールを承認する シャドーAIを減らすには、従業員が使える適切で役に立つツールを用意します。承認済みのツールには、セキュリティが強化されたエンタープライズ向けライセンスが用意されていることが多くあります。
明確なAI利用ガイドラインを定める 会社がAIの利用に何を求めるのかを、簡潔な規定にまとめます。顧客対応を担う企業であれば、
CXにおけるAI倫理のベストプラクティスに従います。盛り込む項目は、利用を認めるツールと業務、入力を禁止または制限する情報（個人情報、顧客から預かった情報、営業秘密など）、出力を使う前の確認手順、新しいツールを使いたいときの申請先です。総務省・経済産業省の「
AI事業者ガイドライン」（第1.2版、2026年3月）は、AIを業務で使う企業に向けて、個人情報や機密情報を不適切に入力しないこと、出力の精度とリスクを理解したうえで使うことを挙げており、法的拘束力はありませんが、規定を作るときの参照先になります。
AIガバナンスのフレームワークを作る バイアスと組織文化に配慮しながら、関係者が協力して、AIシステムの利用と導入を導く方針と運用ルールを策定します。
AIのセンターオブエクセレンス（CoE）を設ける CoEは、中立的で多様なメンバーからなるチームまたは部門で、企業のAI施策を管理し、方向づけます。
AIの教育とトレーニングを優先する AI利用のリスクと、それが招く影響に加え、個別のツールの使い方まで、研修の内容に含めます。
AIを安全に使う文化を育てる ガバナンスを土台に、
AIナレッジベースのようなAIツールを積極的に取り入れ、社内でのAI利用は会社が支援していると従業員に伝えます。
事業部門とIT部門の連携を支える AIツールが業務上のニーズに応え、セキュリティ、コンプライアンス、パフォーマンスの基準を満たしていることを確かめます。
安全に試せる機会を用意する 実験用の環境を設け、管理された安全な場所で各部門が新しいAIの用途を試せるようにします。
AIの透明性を促す AIツールの仕組みとデータの扱い方を従業員に説明し、承認済みのAIツールを責任をもって導入・活用することがなぜ大切かを、率直に伝えます。
兆候を見逃さない 普段と違うデータの動き、説明のつかない生産性の急上昇、回答や文書の不一致、標準から外れた成果物（良い方向も悪い方向も）に注意を払います。
利用の実態を把握する ネットワークやSaaS利用の監視ツール、匿名の従業員アンケート、経費の分析から、社内で使われているツールと、シャドーAIの疑いがある利用を検知します。ネットワークの監視を行う場合は、目的と範囲、責任者をあらかじめ社内規程で定め、従業員に周知します。
現場の工夫を認めて取り込む シャドーAIから生まれた有益な工夫を評価し、その成果を自社のシステムに取り込むことで、承認済みの環境の中で創意工夫が続くようにします。
アクセス制御を強化する 機密データへのアクセス権は個別に選んで付与し、従業員がシャドーAIを使っていても
顧客データを安全に管理できるようにします。
AIの広がりを受け入れる時期に来ています。承認済みのAIツールを用意すれば、従業員はリスクのある未承認のツールに向かうのではなく、AIとその高度な活用方法に慣れていくことが期待できます。
よくある質問
シャドーAIは、従業員や部門が生産性を高めたり繰り返しの作業を自動化したりするために、IT部門やデータガバナンスの担当部門の承認を得る前に、あるいは承認を得ずにAIツールを導入することで起こります。
カスタマーサクセスから小売まで、さまざまな業界の従業員が、リスクがあるにもかかわらずシャドーAIを使う理由は、次のとおりです。
イノベーションを促す シャドーAIによって、従業員は新しいAIツールを試し、アイデアや手法を自分で検証し、IT部門の管理の枠にとらわれずに新しい技術に触れられます。
生産性を高める 適切な、あるいはより高性能なツールが手元にあれば、従業員は問題を効率よく解決し、業務の流れを見直し、担当する業務を完了できます。
自律性を高める シャドーAIによって、従業員は自分のニーズに合ったAIツールを自分で調べて選べるようになり、
従業員エンゲージメントが高まります。
改善の機会を示す シャドーAIを使う従業員の行動から、会社が用意しているツールの不足と、承認済みのAI活用の改善余地が見えてきます。
用途に合わせて調整できる シャドーAIなら、従業員は目標や個別のニーズに合わせてAIツールを選んで調整し、全社向けに用意される画一的なツールよりも、自分の仕事に合ったものを使えます。
シャドーAIにはデータセキュリティ上のリスクが多い一方で、その利用を抑えるには次のような課題もあります。
防止策を標準化しにくい
AIツールを使う部門にまたがるリソースの浪費
社内の対立や意見の不一致
シャドーAIを管理し、対策を講じるメリットは、これらの課題をはるかに上回ります。それでも、課題として押さえておく必要があります。
承認されていない、または検証を経ていないAIツールは、どのような種類であってもシャドーAIに当たる可能性があります。たとえば次のようなものです。
従業員が未承認のAIツールを使うこと自体を直接禁じる法律は、この記事の執筆時点で日本にはありません。問題になるのは、承認を経ていないツールに何を入力し、出力をどう使うかです。
法律に触れなくても、社内のAI利用規程や情報セキュリティ規程に反すれば、就業規則に基づく処分の対象になることがあります。違反になるかどうかは個別の事情で変わるため、判断に迷う場合は法務部門や弁護士などの専門家に確認し、入力してよい情報と制限する情報を社内のAI利用ガイドラインに明記しておくことが実務的な対策です。
企業がシャドーAIと承認済みのAIの両方に向き合うとき、要になるのは、技術のガバナンスと従業員の裁量をともに重視した、先手を打つ管理です。
承認と検証を経たツールで従業員をしっかり支える方針が全社にあれば、シャドーAIの課題はイノベーションと成長の機会に変わります。Zendesk CopilotのようなAI搭載のツールを承認すれば、回答の提案、リアルタイムのインサイト、パーソナライズの提案によって従業員のパフォーマンスも支えられます。
最新で安全な、会社が承認したAIを活用した従業員サービスソリューションがあれば、見えないところで使われているAIに対処しながら、従業員がAIで成果を上げられるようになります。
出典
法令・公的指針
調査・統計
