【シャドーAIの実態が明らかに】会社が許可していない生成AIを業務で利用したことがある方は半数以上！業務で利用する際のリスクとは？

利用禁止の企業でも『好奇心』や『他の従業員からの影響』などの理由で生成AIを利用している！

コーレ

2024年10月17日 10時00分

生成AIを活用した新規事業やDXプロジェクトを伴走支援するコーレ株式会社（本社：東京都新宿区、代表取締役：奥脇真人）は、業務で生成AIを利用している20～50代の会社員を対象に、「会社での生成AIの利用」に関する調査を実施しました。

生成AIの進歩は目覚ましく、業務で利用している方も多いのではないでしょうか。

しかし、業務で生成AIを利用することのリスクを把握していない会社もあり、さらに従業員が業務での利用を認められていない生成AIを利用している場合もあります。このような事象を「シャドーAI」といいます。

認められていない生成AIを勝手に利用したせいで、情報漏洩など会社に大きなダメージを与えるような問題に発展する可能性もあります。

では、会社の生成AIの利用規制はどのようになっていて、その利用規制を守っている従業員はどのくらいいるのでしょうか。

そこで今回、生成AIを活用した新規事業やDXプロジェクトを伴走支援するコーレ株式会社（https://co-r-e.net/）は、業務で生成AIを利用している20～50代の会社員を対象に、「会社での生成AIの利用」に関する調査を行いました。

調査概要：「会社での生成AIの利用」に関する調査

【調査期間】2024年9月25日（水）～2024年9月26日（木）

【調査方法】PRIZMA（https://www.prizma-link.com/press）によるインターネット調査

【調査人数】1,001人

【調査対象】調査回答時に業務で生成AIを利用している20～50代の会社員であると回答したモニター

【調査元】コーレ株式会社（https://co-r-e.net/）

【モニター提供元】PRIZMAリサーチ

業務で生成AIを利用していることが多い職種は「開発、情報システム」「総務」「営業」

はじめに、従業員規模について質問したところ、以下のような回答結果になりました。

『1〜10人（3.3％）』

『11〜50人（6.6％）』

『51〜100人（12.0％）』

『101〜300人（17.4％）』

『301〜500人（11.6％）』

『501〜1,000人（9.0％）』

『1,001〜5,000人（18.3％）』

『5,001人以上（21.8％）』

次に、職種について質問したところ、『開発、情報システム（17.3％）』と回答した方が最も多く、次いで『総務（12.9％）』『営業（12.2％）』となりました。

調査回答者が勤めている会社の従業員規模は「101〜300人」「1,001〜5,000人」「5,001人以上」が多く、主に「開発、情報システム」「総務」「営業」といった職種であることが示されました。

約半数が会社が許可していない生成AIを業務で利用したことがあると回答

「勤めている会社の生成AIの利用規制について教えてください」と質問したところ、『利用規制なし（26.3％）』『条件つきで利用を許可（60.4％）』『全面的に利用を禁止（5.4％）』『利用規制があるか不明（7.9％）』という回答結果になりました。

次に、「会社が許可していない生成AIを業務で利用したことはありますか？」と質問したところ、『ある（53.4％）』『ない（46.6％）』という回答結果になりました。

全体では約半数の方が会社が許可していない生成AIを利用したことがあり、利用規制の状況別だと下記の結果になりました。

【条件つきで利用を許可】

ある（53.4％）／ない（46.6％）

【全面的に利用を禁止】

ある（100％）／ない（0％）

【利用規制があるか不明】

ある（25.3％）／ない（74.7％）

「条件つきで利用を許可」されている方の約半数が会社が許可していない生成AIを利用していることが明らかになりました。「全面的に利用を禁止」されている方は当然全員が会社が許可していない生成AIを利用していることになりますが、どのような理由で利用したのでしょうか。

「会社が許可していない生成AIを利用した理由を教えてください（複数回答可）」と質問したところ、『アイデアを得るため（47.3％）』『業務効率を上げるため（42.9％）』『好奇心で試してみたかったから（41.4％）』となりました。

全体では、約半数の方がアイデアを得るために許可されていない生成AIを利用していることが示され、業務効率向上のためや好奇心からといった理由も上位にあがりました。

では、利用規制されている方々はどのような理由で利用しているのでしょうか。

利用規制の状況別では下記の結果になりました。

【条件つきで利用を許可】

『アイデアを得るため』（50.5％）

『業務効率を上げるため』（44.6％）

『好奇心で試してみたかったから』（44.3％）

『他の従業員も密かに使っていると聞いたから』（22.6％）

『会社の利用規制を知らなかったから』（7.4％）

【全面的に利用を禁止】

『好奇心で試してみたかったから』（51.9％）

『他の従業員も密かに使っていると聞いたから』（33.3％）

『アイデアを得るため』（16.7％）

『会社の利用規制を知らなかったから』（7.4％）

『業務効率を上げるため』（5.6％）

「条件つきで利用を許可」されている方は『業務効率を上げるため』『アイデアを得るため』という回答が上位にあがっていますが、「全面的に利用を禁止」されている方は、『好奇心で試してみたかったから』という理由が上位にあがり、利用を禁止されているからこそ好奇心を抑えられなかったことがうかがえます。

では、具体的にどのような業務で利用していたのでしょう。

■会社が許可していない生成AIをどのような業務で利用した？

・文章作成や調べもの（20代／女性／福岡県）

・プレゼン資料作成のためのたたき台（40代／男性／静岡県）

・商品開発のアイデア（40代／男性／京都府）

・経理に関する計算業務（40代／女性／大阪府）

文章作成や調べもの、プレゼン資料作成のためのたたき台や経理の計算業務など、さまざまな業務で利用している様子がうかがえます。

約1割は機密情報だと知っていながら生成AIにその情報を入力

続いて、利用規制の状況別に「生成AIにどのような情報を入力したことがありますか？（複数回答可）」と質問したところ、下記の結果になりました。

【企画書やプレゼンテーション資料の内容】

『利用規制なし』（32.7％）

『条件つきで利用を許可』（34.9％）

『全面的に利用を禁止』（5.6％）

【会議で話し合われた内容】

『利用規制なし』（35.7%）

『条件つきで利用を許可』（30.6%）

『全面的に利用を禁止』（3.7%）

【データ分析の結果】

『利用規制なし』（25.5%）

『条件つきで利用を許可』（26.9%）

『全面的に利用禁を止』（24.1%）

【業務プロセス】

『利用規制なし』（24.3%）

『条件つきで利用を許可』（25.0%）

『全面的に利用を禁止』（20.4%）

【プログラミングのソースコード】

『利用規制なし』（19.8%）

『条件つきで利用を許可』（23.1%）

『全面的に利用を禁止』（20.4%）

【商品やサービスの仕様・特徴】

『利用規制なし』（19.0%）

『条件つきで利用を許可』（18.5%）

『全面的に利用を禁止』（22.2%）

「条件つきで利用を許可」「全面的に利用を禁止」されている方の約4割以上が各項目の情報を入力したことがある実態が明らかになりました。

特に、「データ分析の結果」「業務プロセス」「プログラミングのソースコード」「商品やサービスの仕様・特徴」では、「条件つきで利用を禁止」されている方の約2割以上が入力したことがあることも明らかになりました。

機密性の高いデータに対する社員の意識改善や、社員教育・コンプライアンス体制の強化が必要だといえるでしょう。また、場合によっては規制の在り方を見つめ直すことも重要なのではないでしょうか。

続いて、「入力した情報は会社の機密情報でしたか？」と質問したところ、『機密情報ではなかった（45.6％）』『たぶん機密情報ではなかった（30.8％）』『機密情報かどうかはわからない（13.2％）』『機密情報だった（10.4％）』という回答結果になりました。

「機密情報ではなかった」と回答した方が約半数いるものの、「たぶん機密情報ではなかった」「機密情報かどうかはわからない」を合わせると約4割の方が機密情報かどうか不確かなまま生成AIに情報を入力していることが明らかになりました。

さらに、約1割の方は「機密情報だった」とわかっていて生成AIに情報を入力したことも示され、シャドーAIの実態が垣間見える結果となりました。

企業の従業員数別ではどのような実態なのでしょうか。

【1〜10人】

『機密情報ではなかった』（47.1％）

『たぶん機密情報ではなかった』（14.7％）

『機密情報かどうかはわからない』（26.5％）

『機密情報だった』（11.7％）

【11〜50人】

『機密情報ではなかった』（39.4％）

『たぶん機密情報ではなかった』（39.4％）

『機密情報かどうかはわからない』（12.1％）

『機密情報だった』（9.1％）

【51〜100人】

『機密情報ではなかった』（35.0％）

『たぶん機密情報ではなかった』（40.9％）

『機密情報かどうかはわからない』（18.3％）

『機密情報だった』（5.8％）

【101〜300人】

『機密情報ではなかった』（42.6％）

『たぶん機密情報ではなかった』（36.2％）

『機密情報かどうかはわからない』（12.6％）

『機密情報だった』（8.6％）

【301〜500人】

『機密情報ではなかった』（36.2％）

『たぶん機密情報ではなかった』（40.5％）

『機密情報かどうかはわからない』（16.4％）

『機密情報だった』（6.9％）

【501〜1,000人】

『機密情報ではなかった』（46.7％）

『たぶん機密情報ではなかった』（33.3％）

『機密情報かどうかはわからない』（8.9％）

『機密情報だった』（11.1％）

【1,001〜5,000人】

『機密情報ではなかった』（51.4％）

『たぶん機密情報ではなかった』（25.1％）

『機密情報かどうかはわからない』（12.0％）

『機密情報だった』（11.5％）

【5,001人以上】

『機密情報ではなかった』（55.1％）

『たぶん機密情報ではなかった』（19.2％）

『機密情報かどうかはわからない』（10.1％）

『機密情報だった』（15.6％）

従業員数別に見ても、各レンジで2割以上が機密情報かわからないが入力している、もしくは機密情報だとわかっていながらも入力している深刻な実態が明らかになりました。

特に、機密情報だとわかっていながら情報を入力した方の割合が最も多かったのは5,001人以上の企業ということが示されました。

従業員数が少ない企業では、情報管理が不十分な場合や情報の区分が曖昧なことが示唆され、従業員の機密情報の取り扱いに関する認識が統一されていないことがうかがえます。

さらに職種別だと下記の結果になりました。

【開発、情報システム】

『機密情報ではなかった』（54.3％）

『たぶん機密情報ではなかった』（27.2％）

『機密情報かどうかはわからない』（9.8％）

『機密情報だった』（8.7％）

【総務】

『機密情報ではなかった』（46.5％）

『たぶん機密情報ではなかった』（31.8％）

『機密情報かどうかはわからない』（15.5％）

『機密情報だった』（6.2％）

【営業】

『機密情報ではなかった』（41.0％）

『たぶん機密情報ではなかった』（41.0％）

『機密情報かどうかはわからない』（10.6％）

『機密情報だった』（7.4％）

【人事、採用】

『機密情報ではなかった』（42.0％）

『たぶん機密情報ではなかった』（31.0％）

『機密情報かどうかはわからない』（11.0％）

『機密情報だった』（16.0％）

【営業サポート／営業事務】

『機密情報ではなかった』（36.2％）

『たぶん機密情報ではなかった』（31.9％）

『機密情報かどうかはわからない』（17.4％）

『機密情報だった』（14.5％）

【商品開発、新規事業開発】

『機密情報ではなかった』（48.4％）

『たぶん機密情報ではなかった』（27.4％）

『機密情報かどうかはわからない』（6.5％）

『機密情報だった』（17.7％）

【製造、生産管理】

『機密情報ではなかった』（46.6％）

『たぶん機密情報ではなかった』（27.6％）

『機密情報かどうかはわからない』（12.0％）

『機密情報だった』（13.8％）

【財務、経理】

『機密情報ではなかった』（43.1％）

『たぶん機密情報ではなかった』（31.4％）

『機密情報かどうかはわからない』（15.7％）

『機密情報だった』（9.8％）

特に機密情報とわかっていながら入力したことがあると回答した割合が高かった職種は、「人事、採用」「商品開発、新規事業開発」「営業サポート／営業事務」ということが明らかになりました。

また、ほとんどの職種で半数以上が入力した情報に対して、「たぶん機密情報ではなかった」「機密情報かどうかはわからない」「機密情報だった」と回答している深刻な実態も明らかになりました。

4割以上が「情報漏洩」「権利侵害」「ハルシネーション」などのリスクを認識

続いて、「業務で生成AIを利用することにはどのようなリスクがあると思いますか？（複数回答可）」と質問したところ、『情報漏洩（48.7％）』と回答した方が最も多く、次いで『権利侵害（著作権、商標権、意匠権、肖像権、パブリシティ権、プライバシーなど）（43.3％）』『事実とは異なる情報の生成（ハルシネーション）（41.4％）』となりました。

業務で生成AIを利用することで、情報漏洩や権利侵害、誤情報生成など大きなリスクがあると思っている方が多いようです。

まとめ：会社が許可していない生成AIは今後も従業員に利用される。必要なのは会社全体での生成AIリテラシーの向上

今回の調査結果で、生成AIの利用に対する会社の規制状況や、従業員の利用実態が明らかになりました。

業務での生成AIの利用について、2割以上が「利用規制なし」、約6割が「条件つきで利用を許可」と回答し、8割以上が利用可能な環境にあることが示されました。

会社が許可していない生成AIを業務で利用したことがある方は約半数おり、理由として「アイデア取得」「業務効率向上」「好奇心」などがあげられました。

「条件つきで利用を許可」されている方は『業務効率を上げるため』『アイデアを得るため』に生成AIを使う傾向がありますが、「全面的に利用を禁止」されている方は『好奇心で試してみたかったから』という理由が上位にあがり、理由に違いがあることが示されました。

これらの結果から、社内で利用規制や利用してよい生成AIなどを定められていても、会社が許可していない生成AIの利用を完全に制御することは難しいことがうかがえます。

生成AIに入力した内容としては、企画書やプレゼンテーション資料、会議の内容、データ分析の結果などが多く、その情報が機密情報だったかどうかをうかがうと、「機密情報ではなかった」と回答した方が約半数である一方で、「機密情報だった」と回答した方が約1割いるという結果になりました。

この結果から、生成AIを利用する際に少なくとも約1割が機密情報を入力している可能性があることが示されました。また、約半数は機密情報ではないと認識しているものの、生成AIに入力される情報の内容をしっかりと確認していないケースも考えられます。

業務で生成AIを利用することに対してどのようなリスクがあるかわかってはいながらも、そもそも入力する”その情報”が機密情報かどうかの判断ができていないことや、禁止されていながらも生成AIを利用していることを踏まえると、会社が利用規制や利用してよい生成AI定めていても、許可されていない生成AIは今後も従業員に利用されるでしょう。

生成AIは今後も普及していくことが予想されます。

会社はとりあえずガイドラインを策定するのではなく、従業員の生成AI利用の実態に基づいて柔軟に対応していくことが重要でしょう。

そのためにも会社の規模や職種にかかわらず、会社全体で生成AIを積極的に利用して利用者側としての解像度を上げていき、生成AIリテラシーを向上させていくことが必要なのではないでしょうか。