誰がどのAIを動かしているか、社長は把握できていますか｜シャドーAIと情報漏えいの防ぎ方
AI CAO
契約書・規程の整備で会社を守る
「うちの会社、誰が・どのAIを・何に使っているか、答えられますか」
社長であるあなたに、ひとつ質問させてください。
「今、御社の中で、誰が・どのAIツールを・どんな業務に・どの会社のデータを使って動かしていますか」
即答できる社長は、おそらく多くありません。経理はExcelでAIに集計を頼み、営業はメールの下書きをAIに作らせ、総務は問い合わせの一次対応をAIに任せ始めている。一つひとつは前向きな動きです。でも、その全体像を社長が把握できていないとしたら——それは静かに進む情報漏えいリスクの温床になります。
これを「シャドーAI」と呼びます。会社が認識しないまま、現場の判断でAIが業務に入り込んでいる状態のことです。便利だからこそ、気づいたときには止められないほど広がっている——これが今、多くの中小企業で起きています。
なぜ今、この話をするのか
近年、社内で乱立するAIエージェントを「発見・監視・統制・セキュリティ管理」するための管理製品が、各社から登場し始めています。社内のどこで・誰が・何のエージェントを動かしているかを一元的に把握し、ID・端末・セキュリティのポリシーを横断的に適用する——そうした仕組みです。
ここで読み取るべきは、製品の機能ではありません。大手がわざわざ「AIエージェントを管理するための専用製品」を出してきたという事実です。AIが社内に増えれば「誰が何を動かしているか分からない」というガバナンス・情報漏えいリスクが必ず生まれる——その前提が業界の共通認識になったことを意味します。
大企業はこうした管理基盤に投資できます。では、専任の情報システム担当もいない中小企業はどうするのか。製品を買う前に、社長が「誰が・何のために・どのデータで」AIを動かしているかを把握し、ルールで縛る。これが現実的な第一歩です。
「気軽に使える」ほど、情報の入口は増えていく
同じ週、もう一つ社長が知っておくべき動きがありました。
2026年5月7日、OpenAIはMicrosoft ExcelとGoogleスプレッドシート向けのChatGPTアドインを、全ユーザーに一般提供したと報じられました（Gulf Times報道）。スプレッドシートを離れずに、日本語で「この列を集計して」「この数式を作って」と頼めるようになります。新しいツールを覚える必要もありません。
経理や総務の生産性は確かに上がります。ですが法務・コンプラの視点では見逃せない変化があります。顧客名簿や財務データを含むシートを、社員がAIに読ませる場面が日常的に増えるということです。
これまでは「わざわざAIツールにコピペする」というひと手間がありました。その手間が、いつも使うExcelの中から消える。便利になるほど、社内の機微情報がAIに渡る入口は静かに増えます。だからこそ、機微データの取り扱いルールを決めてから展開するのが安全です。
まず作るべきは、立派な規程ではなく「1枚の棚卸し表」
「ガバナンスを整備しましょう」と言うと、分厚いマニュアルを想像して身構えてしまうかもしれません。でも、最初に必要なのは1枚で十分です。順番はこうです。
ステップ1：今あるものを「見える化」する
まず、社内で実際に使われているAIの棚卸しから始めます。立派な規程より先に、現状把握です。
- 誰が — 部署・担当者単位で
- どのツールを — ツール名と契約プラン（業務利用に適したプランか）
- 何の業務に — 集計、下書き、議事録、問い合わせ対応など
- どのデータで — 顧客情報、財務数字、社内文書など
この4項目を1枚の表に書き出すだけで、シャドーAIの「正体」が見えます。社長が把握できていなかった利用実態が、ここで初めて明らかになります。
ステップ2：入れていい情報・ダメな情報の線引きを決める
棚卸しで実態が見えたら、次は線引きです。顧客の個人情報、取引先の機密、未公開の財務数字など、AIに入れてはいけないものを具体的に列挙します。「機密情報は入れない」という曖昧な一文ではなく、自社にとって何が機密かを具体的に書くことが肝心です。
ステップ3：相談先と最終確認のルールを決める
判断に迷ったら誰に聞くか。AIが作った文章・資料は、誰が・どの段階で最終確認するか。この2つを決めておけば、現場任せの状態からは抜け出せます。
この3ステップは、特別なシステム投資ではなく「見える化して、決めて、書く」だけで実現できます。AI CAOは、御社の業種・規模に合わせて、この棚卸し表とルールのたたき台を一緒に作ります。
Before / After
Before：誰が何を動かしているか、社長が把握できていない
社員がそれぞれの判断でAIを使う。Excelの中から顧客名簿がAIに渡っているかもしれないが、社長は知らない。トラブルが起きて初めて、利用実態を知ることになる。取引先から「御社はAIをどう管理していますか」と聞かれても、答えられない。
After：実態が見え、ルールで守れている
「誰が・何を・どのデータで」使っているかが1枚の表で見える。入れていい情報・ダメな情報が明文化され、全社員が共有している。新しいツールが現場に入っても、棚卸し表を更新するだけで把握が続く。取引先に管理体制を問われても、文書で説明できる。
違いは、高価な管理製品を入れたかどうかではありません。広がる前に、見える化とルールを一度作ったかどうかだけです。
こんな社長に向いています
- 社員がそれぞれの判断でAIを使い始めていて、全体像が見えていない
- ExcelやスプレッドシートにAIが入り、顧客情報・財務データが渡っていないか心配
- 「誰が・何を・どのデータで」動かしているか、棚卸しから始めたい
- 取引先からAIの管理体制を聞かれたときに、きちんと答えられるようにしたい
- 高価な管理製品を入れる前に、ルールで現実的に守りたい
このどれか一つでも当てはまるなら、今が動くタイミングです。AIが現場で広がりきってから管理を後付けするより、広がる途中の今のうちに見える化しておくほうが、はるかに楽で確実です。
弁護士の代わりではありません
AI CAOは法務・コンプラの「入口」です。訴訟代理や税務申告など、弁護士・税理士の独占業務には対応できません。ただし、AI利用実態の棚卸し、社内ルールの素案づくり、論点整理、契約書の一次チェックは得意領域です。重大なリスクが見つかったときだけ専門家に相談する——これが中小企業にとって最も現実的な法務体制です。
シャドーAIの棚卸しも、利用ルールの整備も、契約書チェックも、月5万円（税別）で継続的に支えます。「まず試してみたい」という方には、お試し月3万円（税別）もご用意しています。社員が安心してAIを使い、社長が全体を把握できる会社を、今のうちに整えておきませんか。