NEWS
RIZAPの事例から考える「シャドーAI」の危険性
「ChatGPTなどの生成AIを仕事で使っていますか？」
この質問に対して、「使っている社員はいると思うけれど、会社としては特にルールを決めていない」という企業も少なくないのではないでしょうか。
生成AIは、文章作成や情報整理、Excelデータの分析など、業務効率化に役立つ便利なツールです。
一方で、会社が利用を許可していない生成AIサービスへ、社員が業務上のデータをアップロードしてしまう「シャドーAI」が、新たな情報セキュリティ上の問題になっています。
今回は、2026年9月に公表されたRIZAP株式会社の事例をもとに、企業が生成AIを利用する際に注意すべきポイントを分かりやすく解説します。
RIZAP株式会社は、健康経営・保険者事業部の社員が、特定保健指導に関するデータ集計作業中に、個人で使用していた外部の生成AIサービスへ顧客情報を誤ってアップロードした事案を公表しました。
対象となったデータには、
などの個人情報が含まれていました。
さらに、
などに関する情報も含まれており、いわゆる「要配慮個人情報」に該当する情報も含まれていました。
RIZAPは生成AIサービスを運営する事業者への照会を行い、アップロードされた情報が生成AIの学習に利用された可能性はないことなどを確認したとしています。
しかし、ここで重要なのは、「AIに情報が悪用されたかどうか」だけではありません。
そもそも、会社が許可していない外部サービスへ、社員が顧客情報をアップロードできてしまったこと自体が、企業の情報管理上の大きな課題です。
シャドーAIとは、簡単にいうと、
「会社が正式に認めたり管理したりしていない生成AIを、社員が業務で勝手に利用すること」です。
例えば、こんなケースです。
顧客から届いたメールをコピーして、「このメールへの返信文を作って」と生成AIに入力する。
顧客リストや売上データを生成AIにアップロードして、「このデータから傾向を分析して」と依頼する。
社内会議資料や取引先との契約内容を生成AIに読み込ませ、「この資料を分かりやすくまとめて」と依頼する。
本人に悪意がなくても、「仕事を効率化したい」という気持ちから情報を外部サービスへ入力してしまう可能性があります。
これがシャドーAIの怖いところです。
「生成AIに個人情報を入力してはいけません」
と社員に教育することはもちろん重要です。
しかし、それだけで十分でしょうか？
例えば、
「個人情報を外部AIに入力してはいけない」
というルールを作ったとしても、社員が
「このデータなら大丈夫だろう」
「少しだけなら問題ないだろう」
「仕事を早く終わらせるためだから」
と判断してしまえば、ルールをすり抜けてしまう可能性があります。
そのため、生成AIの情報管理では、
「人」＋「ルール」＋「仕組み」
の3つを組み合わせることが重要です。
まず必要なのは、社員が「何をAIに入力してはいけないのか」を理解することです。
例えば、
などです。
単に「生成AIは禁止」とするのではなく、
「何なら使ってよいのか」まで明確にすること
がポイントです。
社員が個人で契約した生成AIを自由に使うのではなく、
会社として利用を認める生成AIサービスを決める
ことも重要です。
例えば、
「生成AIは利用禁止」
ではなく、
「会社が指定した生成AIサービスは利用可能。ただし、個人情報・機密情報・顧客情報の入力は禁止」
というように、具体的なルールを作ります。
さらに、
なども決めておくと、社員が判断に迷いにくくなります。
ここが、これからの情報セキュリティでは特に重要です。
社員教育やルールだけに頼るのではなく、
「そもそも会社の情報を勝手に外部へ持ち出しにくくする」
仕組みを検討します。
例えば、
といった対策です。
つまり、
「社員を信用しない」のではなく、「間違えても事故になりにくい仕組みを作る」
という考え方です。
「うちは大企業ではないから、そこまで必要ない」
と思われるかもしれません。
しかし、むしろ中小企業では、
一人の社員が顧客情報から請求書、契約書、社内資料まで幅広く扱っている
ケースがあります。
そのため、1人の操作ミスが会社全体の情報漏えいにつながる可能性があります。
また、生成AIは特別なIT知識がなくても利用できます。
スマートフォンからでも簡単に利用できるため、
「会社のパソコンだけを管理していれば大丈夫」
とも限りません。
生成AIは、正しく利用すれば企業の業務効率化に大きく貢献します。
例えば、
など、さまざまな業務で活用できます。
だからこそ、「危険だから禁止」だけではなく、
「安全に使うためのルールと環境を作る」ことが重要です。
生成AIの利用について、まだ社内ルールがない企業は、まず次の3点から始めてみることをおすすめします。
会社で利用してよい生成AIを決める
AIに入力してはいけない情報を明文化する
社員向けに30分程度の生成AI・情報セキュリティ研修を実施する
さらに、社員数や扱っている情報に応じて、
などを組み合わせていくと、より安全な環境を構築できます。
RIZAPの事例から分かるのは、
生成AIそのものが危険なのではなく、「会社が管理していないAIに、社員が重要な情報を入力できてしまう環境」が危険だということです。
生成AIの普及によって、これまでの情報セキュリティ対策だけではカバーしきれない新しい課題が生まれています。
これからは、「社員に気を付けてもらう」だけではなく、
「社員が間違えても事故につながりにくい仕組みを作る」ことが重要になります。
「生成AIを導入したいけれど、情報漏えいが心配」
「社員がどのAIを使っているのか把握できていない」
「生成AIの社内ルールを作りたい」
という企業様は、まず現在のIT環境と情報管理の状況を整理することから始めてみてはいかがでしょうか。
当社では、PC・ネットワーク環境の整備から、Microsoft 365の設定、セキュリティ対策、クラウドサービスの利用環境整備、生成AI活用に関するご相談まで、企業のIT環境をまとめてサポートしています。
「何から始めればよいか分からない」という段階でも、お気軽にご相談ください。
