未承認AIを把握できず71.4%。先に決めるのは見つけ方

社員が3人、自分のカードで月3,000円のAIを契約していたとします。年10万8,000円（筆者の仮定）。金額としては小さい支出です。けれど、その先では会社の見積書と顧客名が、会社が結んでいない契約の下に置かれています。

11月6日、JAPAN AIが会社員・経営層370人に聞いた調査を公表しました。会社が許可していないAIの利用実態を把握できていないという回答は71.4%。同じ調査の発表元は、ガイドラインを策定済みの企業であっても約7割が実態を十分に把握できていない、とも述べています。

ルールを作る話は、すでにあちこちで語られています。この記事が扱うのは、その手前です。

最初に結論：ルールを決める前に、3か月分の月額課金を1枚に並べる

やることは1つです。直近3か月の経費精算と法人カードの明細から、月額で課金されているサービス名をすべて抜き出し、1枚に並べます。AIかどうかで絞りません。1時間あれば終わります。

3つの入口と、それぞれで抜けるものは編集部の整理です。

11月6日、370人の調査。実態を把握できていないが71.4%

11月6日、JAPAN AI株式会社が「企業の生成AI活用とガバナンス実態調査」を公表しました。全国の企業・団体に勤務する会社員・経営層が対象で、Webアンケート形式、有効回答は370人です。

勤務先での生成AIの導入・利用状況をたずねた設問では、全社もしくは一部部門で本格利用しているという回答が66.2%でした。

一方、未承認AIの利用について、実態把握ができていないという回答は71.4%。生成AIの利用に関する全社方針やガイドラインが未作成、策定されていない、または不明という回答は53.8%です。3つの数字は図2にまとめました。

出典：JAPAN AIの調査「企業の生成AI活用とガバナンス実態調査」（2026年11月6日発表）

そもそも「未承認AI」とは　会社が契約していない道具で、会社の仕事をしている状態

発表元はシャドーAIを「企業のIT部門が把握・許可していない生成AIなどのAIツールを従業員が独自の判断で業務に利用すること」と注記しています。

この定義は、IT部門がある会社を前提にしています。専任の情報システム担当を置いていない会社では、この言い方がそのままでは当てはまりません。言い換えると、会社が契約していない道具で、会社の仕事をしている状態です。

発表元の定義を契約の側から描いた編集部の整理です。

違いは4つあります。契約の名義。支払いの経路。入れた情報が残る場所。そして、その人が辞めたときに何が会社に残るか。

ここで大事なのは、悪意の話をしていないということです。多くの場合、社員は仕事を早く終わらせようとしてそうしています。公式の道具が用意されていなければ、手元にある道具を使うのは自然なことです。発表元も、シャドーAIが使われる最多の理由として「使い慣れた個人向けツールの存在」を挙げ、背景には「現場が業務で本当に使いたい機能を、会社公式の環境で用意できていない」ことがあると述べています。

問題は、そこに入れた情報の行き先を会社が知らないことです。見積書の文面、客先の名前、会議の音声。入れた先が会社の契約の外にあるなら、何を入れたかの記録も、やめたあとの扱いも、会社の手元にはありません。

本質はどこにあるか　ルールは守る人に効く。把握は守らない人にも要る

本質は、ルールの不足ではありません。ルールを配る仕事と、使われ方を見る仕事が、別の仕事だということです。

ルールは、読んで守ろうとする人にだけ効きます。けれど把握は、読んでいない人にも、読んだうえで使い続けている人にも効かなければ意味がありません。この2つを同じ作業だと思っていると、ルールを配った時点で「対応した」と感じてしまいます。

2つの列は編集部の整理です。右の列が空いたままだと、左の列をいくら丁寧に作っても、守られているかどうかは分かりません。

この見立てを、もう1本の調査が裏づけています。一般社団法人AIガバナンス協会が2026年1月29日に公表したレポートです。会員企業47社の回答で、AIの管理・捕捉のために現在行っている取り組みを複数選択でたずねています。回答を集めたのは2025年8月12日から9月10日で、こちらも公表の時点より前の状態を映した数字です。

出典：一般社団法人AIガバナンス協会「「いつの間にか」AIのリスク実態調査」（2026年1月29日公表）。「制度をつくる」「実態を見る」の2区分は編集部の整理

制度をつくる側の取り組みは7割前後まで進んでいます。最も多いのがルール・ガイドラインの整備と周知で72.3%でした。

一方、実態を見る側は3割前後で止まります。部門ヒアリング・アンケートが34%、既存システム連携による捕捉が29.8%です。社数はそれぞれ図4に入れました。レポート自身も、制度設計や組織作りは進んでいる一方、現場の実態を継続的に見る取り組みは試行錯誤の段階だとしています。

この47社は、AIガバナンスに取り組む団体の会員企業です。5,001人以上の大企業が約38%（18社）を占め、レポートも「本調査結果は、日本企業全体の平均値を示すものではない」と明記しています。つまりこれは平均の会社の姿ではなく、先を行っている会社でもこうなっているという数字です。

同じレポートは、企業がガバナンスを追求すればするほど、管理しきれない「網の目」が見えてくる、という逆説も述べています。見ようとした会社だけが、見えていない範囲を知ることになります。

判断軸でいえば、これは「仕組みになるか」の問題です。守るかどうかを個人の良心に預けている限り、それは仕組みではありません。見る側が決まって初めて、会社の仕組みになります。

「申請されない」には理由がある　無料と、個人のアカウント

申請制にしている会社で、申請が0件のことがあります。使われていないからだ、と読みたくなります。けれど、申請を待つ仕組みは、申請されない利用をゼロ件として数えます。

AIガバナンス協会のレポートには、把握できない理由として回答者の声が並んでいます。

出典：同レポートp.13の自由記述。右側の読み替えは編集部

4つとも、やる気の問題ではありません。前の3つは、探しても出てこないものです。無料のサービスは、そもそも申請する理由が見当たらない。個人のメールアドレスで入ったサービスは、会社の記録に残らない。私物のパソコンやスマホは、会社の管理が届かない。残る1つは種類が違って、見る人が決まっていないというものです。ルールはあるが、守られているかを確かめる役が空いています。

ここから分かるのは、見つからないものには理由があり、その理由ごとに探し方が違うということです。

見つけ方は3つ　支出・成果物・本人。どれも1つでは足りない

探し方は3つあります。そして3つとも、単独では抜けるものがあります。

入口ごとの守備範囲は編集部の整理です。

1つめは支出です。法人カードの明細と経費精算に出てくる月額課金を見ます。いちばん早く、いちばん確実です。ただし無料のサービスは出てきません。社員が自己負担しているものも出てきません。

2つめは成果物です。直近1週間に出てきた資料やメールのうち、文体や精度が急に変わったもの、出どころの分からない数字が入っているものを拾います。無料のサービスもここでは引っかかります。ただし、下調べや要約のように成果物の形に残らない使い方は見えません。

3つめは本人に聞くことです。ここだけが、無料のものも私物の端末も拾えます。ただし、聞かれて言いにくいことは出てきません。本人が「これは会社の許可が要るものだ」と思っていなければ、そもそも申告の対象になりません。

順番は、支出、成果物、本人です。前の2つで出た名前を手元に持って聞くと、「ほかにありますか」ではなく「このサービスは誰が使っていますか」と聞けます。質問が具体になるほど、答えも具体になります。

ただし、3つを通しても残るものはあります。本人が言いにくいこと、本人が未承認だと思っていないもの。だから到達点は「自社には無い」と言い切ることではありません。毎月、名前と名義の一覧が更新されている状態をつくることです。一覧が動いていれば、増えたときに気づけます。

聞き方には1つだけ条件があります。処罰の場にしないことです。最初の聞き取りで誰かを処分した会社は、次から何も出てこなくなります。

IT部門がない会社では、見つける役は経理と総務になる

このテーマの解説は、たいていIT部門がある会社を前提に書かれています。検知の仕組みを入れる、通信を監視する、AI台帳を作る。どれも担当部署があることが前提です。

オーナー企業の多くに、その部署はありません。だからといって、見る方法がないわけではありません。役が移るだけです。

役割の置き換えは編集部の整理です。

IT部門が通信ログで見るものを、経理は明細で見ます。常時の監視は無理でも、月次の締めのあとに3か月に1回なら回せます。やることは同じです。名前を一覧にして、名義を確かめる。

この置き換えには、もう1つ利点があります。経理が見る対象は、AIに限らないということです。翻訳のサービス、文字起こし、クラウドの保管場所、名刺の管理。会社が契約していない道具で会社の仕事をしている状態は、AIだけに起きていることではありません。AIの話として始めた棚卸しが、そのまま月額課金全体の棚卸しになります。

あなたの会社に置き換えると：社員20人と社員150人

同じ手順でも、規模が変わると見る場所が変わります。

規模区分は管理上の目安で、置き換え例は編集部の作例です。

社員20人の会社では、明細は1か所にあります。社長が自分で全部を見られます。1時間で終わります。詰まるのは、社員が自己負担しているものです。これは明細に出てきません。だから3つめの入口、本人に聞く工程が実質的に必須になります。

社員150人の会社では、明細が部門ごとに分かれています。社長が全部を見ることはできません。ここで見るのは明細ではなく、承認した人の一覧です。各部門長に「この3か月で承認した月額課金」を出してもらい、承認の基準が部門ごとにどう違うかを並べます。金額の多寡ではなく、同じ種類のサービスを、ある部門は承認し、別の部門は承認していない状態がないかを見ます。基準が割れている場所が、いちばん早く穴になります。

どちらの規模でも、着地は同じです。出てきた一覧を、会社名義に移すもの、やめるもの、このままでよいものの3つに分けます。3つに分けられて初めて、ルールを作る段になります。

明日の一手：直近3か月の明細を、4列で1枚に並べる

全部の仕事でやる必要はありません。3か月分の明細を1枚にするだけです。

記入欄と記入例は編集部の作例です。

5問で確認する　未承認の道具を見つける入口があるか

3段の区分と「今日やること」は編集部の整理です。

SELF CHECK / 無料・登録不要

5問で確認｜未承認の道具を見つける入口があるか

直近3か月の自社の状態で答えてください。点数が低いほど、ルールを配っても実態が見えない状態です。回答はこの端末の中だけで処理され、送信・保存されません。

回答の進捗0 / 5

1. Q1社員が業務で使っているサービスの名前を、あなたは一覧で言えますか

   言えるだいたい言える言えない
2. Q2直近3か月の経費精算や法人カードの明細を、月額課金という目で見たことがありますか

   見ている以前に一度見た見ていない
3. Q3社員から「このサービスを使いたい」という相談や申請が、この3か月で1件でも上がってきましたか

   上がってきた聞けば出てくる何も上がってこない
4. Q4会社の情報を入れてよいサービスと、入れてはいけないサービスの線引きが、文書で共有されていますか

   共有されている口頭では伝えている決めていない
5. Q5社員が使っているサービスの契約が、会社名義か個人名義かを確かめたことがありますか

   確かめている一部は確かめた確かめていない

結果を確認する›回答をリセット

※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。

関連して、中小企業の生成AI活用では会社として契約する道具をどの業務から入れるかを、部下のAI活用「ほぼなし」40.3%では使っている人の中身をどう見るかを扱っています。社外からの攻撃への備えはサイバーセキュリティの基礎知識に、業務そのものを時間で測る棚卸しの手順は業務効率化の進め方にまとめています。月額課金の棚卸しは、この記事の「明日の一手」が置き場所です。

出典・調査の対象範囲