「まさかうちの社員が……」ChatGPTへの顧客情報貼り付けが発覚したら

2023年、国内大手企業の社員がChatGPTに社外秘の情報を入力していたことが発覚し、大きな話題になりました。その後も類似のインシデントは続いており、IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」では 「AIの利用をめぐるサイバーリスク」が組織向け脅威として初めて第3位にランクイン しました。意図しない情報漏えいやAI出力の鵜呑みによるミス、AIを悪用した攻撃の巧妙化などが、その背景として挙げられています。

「AI利用を禁止しているから大丈夫」——本当にそうでしょうか？禁止通達を出しても、業務効率向上の恩恵を感じている社員は別の経路（スマートフォン・自宅PC）から使い続けます。会社のネットワーク外での利用は検知すら困難です。

これが「シャドーAI（Shadow AI）」——会社が許可していないAIサービスを従業員が業務に使用する問題の現実です。

シャドーAIが引き起こす3大リスク

① 個人情報・機密情報の外部流出
ChatGPTをはじめとする多くのAIサービスは、入力された内容がモデルの学習に利用される場合があります（プライバシーポリシーによる）。顧客の個人情報・未公開の財務データ・設計図などを入力すると、個人情報保護法違反や情報漏洩事故につながります。

② 誤情報による業務上のミスと信用失墜
AIが自信を持って誤った情報を出力する「幻覚（ハルシネーション）」は不可避です。社員がAIの回答を検証なしに顧客説明・提案書・契約交渉に使った結果、重大な業務ミスに発展したケースが国内外で報告されています。

③ 著作権・ライセンスリスク
AIが生成したコードや文書には、学習データの著作権が絡む問題があります。生成物を製品・サービスに組み込んだ場合、知的財産トラブルに発展する可能性があります。

管理者視点：対策を講じることで何が変わるか

現状対策後
どの社員がどのAIを使っているか不明使用状況を可視化し、リスクの高い利用を早期検知
情報漏洩時に「誰が・何を・どこへ」の追跡が不可能証跡が残り、インシデント調査と監査対応が可能
禁止ルールを守っているかどうか確認できないポリシー違反を自動検知・ブロックできる
業務効率化の恩恵を安全に享受できていない承認済みAIツールを提供し、生産性向上を安全に実現

Microsoft 365で実現するシャドーAI対策の4ステップ

Step 1：実態の可視化（Microsoft Defender for Cloud Apps）
まず「社内でどのAIサービスが使われているか」を把握します。Microsoft Defender for Cloud Apps（旧MCAS）の「Cloud App Discovery」機能を使うと、社内ネットワーク経由のクラウドサービス利用状況が一覧で確認できます。ChatGPT・Gemini・Claude・Perplexityなどのアクセスも把握できます。

Step 2：AIポリシーの整備
「許可するAIサービス」「禁止する情報の入力カテゴリ（個人情報・機密情報・社外秘）」「違反時の対応フロー」を明文化したAI利用ガイドラインを策定します。現場が実際に守れる内容にすることが重要で、厳しすぎるポリシーはシャドーAIを助長します。

Step 3：DLPポリシーで技術的な抑止を実装（Microsoft Purview）
Microsoft Purview（旧Microsoft 365 コンプライアンス）のDLP（データ損失防止）機能を使い、「機密情報ラベルが付いたファイルを外部サービスへ送信する操作」を検知・警告・ブロックします。完全なブロックよりも、まずは「警告して理由を求める」設定から始めることで現場の混乱を防げます。

Step 4：公認AIツールの提供（Microsoft 365 Copilot）
禁止するだけではシャドーAI需要を根本的に解消できません。Microsoft 365 Copilotのような、社内データとのアクセスが制御されたエンタープライズグレードのAIツールを提供することで、「公認ルートでAIが使える」環境を整備します。

実運用のハマりどころ：DLPの設定が厳しすぎて正規業務をブロックしてしまう

DLPポリシーを急に厳格化したことで、「通常の業務ファイルの送信も止まった」「社内ツールへのアクセスがブロックされた」という事態が現場を混乱させた実例が複数あります。

安全な移行のための原則：「監査モード」→「警告」→「ブロック」の段階的展開

最初はDLPを「監査モード（実際にはブロックせずログだけ取る）」で数週間運用し、どのような操作が検知されるかを確認します。現場の業務フローに悪影響がないことを確かめてから、「ユーザーへの警告」→「ブロック」へと段階的に強化することが、現場の混乱なく対策を定着させるポイントです。

まとめ

シャドーAIは「禁止すれば消える問題」ではなく、可視化・ポリシー整備・技術的抑止・代替提供を組み合わせて管理する継続的な取り組みです。

まず「Defender for Cloud Apps のCloud App Discoveryで自社の実態を把握する」ことから始めてみてください。現状把握の方法やDLPポリシーの設計、Microsoft 365 Copilotの導入設計に不安がある場合は、専門家への相談が最短ルートです。ぜひお気軽にご相談ください。

参考文献