BYOAIとは？BYODには慎重だった日本企業が考えるべきシャドーAIのリスクと対策

生成AIの業務利用が急速に広がる中、企業の情報システム部門や経営層に新たな課題が生まれています。

それが、BYOAI（Bring Your Own AI）とシャドーAI（Shadow AI）です。

従業員が個人で契約した生成AIを仕事でも利用する。会社が承認していないAIサービスに業務上の相談をする。自分用にカスタマイズしたAIを、そのまま職場でも使う。

こうした使い方は、すでに特別なものではありません。

MicrosoftとLinkedInが公表した2024 Work Trend Indexでは、仕事でAIを利用する人の78％が、自分で用意したAIツールを職場に持ち込んでいるとされています。日本でもBYOAIを行っているとの回答は78％で、世界平均と同じでした。Microsoftの発表を見る

しかし、ここには一つ大きな疑問があります。

個人所有のPCやスマートフォンを仕事に持ち込むBYODには慎重だった日本企業が、個人のAIを仕事へ持ち込むBYOAIを、そのまま認めてよいのでしょうか。

BYODには慎重だった日本企業

BYOAIを考える前に、BYOD（Bring Your Own Device）を振り返ってみましょう。

BYODとは、社員が個人で所有するPC、スマートフォン、タブレットなどを業務に利用することです。

日本企業では、BYODは必ずしも広く普及しませんでした。

IPAの「DX白書2023」によると、「個人保有のモバイルデバイスの業務活用」について、日本企業では「すでに導入」が11.3％、「導入予定」が13.9％であるのに対し、「導入予定なし」が50.1％でした。

一方、米国企業では「すでに導入」が29.8％、「導入予定」が30.1％で、日本企業よりBYODに積極的な傾向が確認できます。IPA「DX白書2023」を見る

日本企業がBYODに慎重だった理由は理解しやすいでしょう。

個人端末に会社の情報を保存すれば、紛失、盗難、マルウェア感染、退職後のデータ残存など、さまざまな情報管理上の問題が発生します。

そのため企業は、会社支給端末、端末管理、アクセス制御などを利用し、企業データを企業側で管理することを重視してきました。

ところが生成AIの時代には、BYOD以上に難しい問題が発生しています。

BYOAIとは？

BYOAIは「Bring Your Own AI」の略で、従業員が個人的に契約・利用しているAIサービスを業務にも持ち込んで利用することを指します。

たとえば、会社が契約している生成AIとは別に、個人契約の生成AIで資料を作成したり、業務上の相談をしたり、個人的に作成したカスタムAIやAIエージェントを仕事でも利用したりするケースです。

これに対してシャドーAIは、企業の情報システム部門や管理者が把握・承認していないAI利用を広く指します。

Google Cloudも、Shadow AIをBYODやShadow ITに続く企業IT上の問題として取り上げ、未承認の生成AI利用によるデータセキュリティ、プライバシー、コンプライアンス上のリスクを指摘しています。Google Cloudの記事を見る

つまり、BYOAIは「個人のAIを業務へ持ち込むこと」、シャドーAIは「企業から見えないAI利用が発生している状態」と考えると分かりやすいでしょう。

BYOAIが企業の管理外で行われれば、そのままシャドーAIになる可能性があります。

BYOAIはBYODより管理が難しい

BYODの場合、主な管理対象は「端末」と、その端末に保存されるデータでした。

端末を特定し、アクセス権を制御し、退職時には会社データへのアクセスを停止する、といった対応が可能です。

しかしBYOAIでは、個人が利用するAI環境の中に、業務に関するさまざまな情報が蓄積されていく可能性があります。

• 会話履歴
• アップロードしたファイル
• カスタム指示
• プロンプト
• AIエージェントの設定

しかも、問題は「ファイルが保存される」ことだけではありません。

AIに蓄積されるのは「仕事の文脈」

BYOAIのリスクとして最初に思い浮かぶのは情報漏えいでしょう。

顧客情報、設計情報、価格情報、契約書、ソースコード、経営資料などを、企業が管理していない生成AIへ入力することには慎重であるべきです。

ただし、「生成AIへ入力した情報は必ず学習され、他の利用者へ漏れる」と一括りにするのも正確ではありません。

データの保存期間、学習利用の有無、管理機能などは、AIサービス、契約プラン、設定によって異なります。

BYOAIでより本質的な問題になるのは、企業側が契約条件、データ保持、アクセス状況などを十分に管理・監査できないことです。

さらに、生成AIを継続的に使うと、単なるファイル以上のものがAIとの関係の中に形成されていきます。

たとえば営業担当者が個人AIへ、顧客への提案方法、過去の失注理由、価格についての考え方、競合企業への対応、上司が重視する判断基準、提案資料の作り方などを繰り返し相談していたとします。

そのAIは単なるファイル置き場ではありません。

その企業で仕事をするための文脈を持った、個人専用の仕事環境に近づいていきます。

BYOAIでは、企業秘密が「データ」として外部へ出るだけでなく、仕事の進め方や判断の背景、業務ノウハウまで企業の管理外に形成される可能性を考える必要があります。

個人が育てたAIは誰のものなのか

一方、ここでBYOAI特有の難しい問題が生じます。

生成AIを長期間利用している人の中には、自分の仕事のスタイルに合わせてAIをかなりカスタマイズしている人もいるでしょう。

たとえば、自分の文章表現、資料の構成方法、アイデア整理の方法、問題分析のフレームワーク、プログラミングのスタイル、よく使う指示方法などです。

こうしたものは、本人が時間をかけて培ったAI活用能力の一部とも考えられます。

実際、Microsoftの調査では、AI利用者は「時間を節約できる」「重要な仕事へ集中できる」「より創造的になれる」などの効果を挙げています。Microsoftの発表を見る

では、企業は社員に対して、「個人で育てたAIは業務では一切使用してはいけません。会社が用意した初期状態のAIだけを使ってください」と言えばよいのでしょうか。

これは簡単な問題ではありません。

個人が培ったAI活用方法と、会社の業務を通じて得たノウハウや情報の境界は、徐々に曖昧になっていく可能性があるからです。

個別の権利関係については契約や法制度、情報の内容によって異なるため、一律に「会社のもの」「個人のもの」と断定することはできません。

だからこそ、企業側であらかじめ方針を定めておく必要があります。

退職時にBYOAIの問題はさらに大きくなる

BYOAIで特に重要なのが、退職・転職時の問題です。

会社支給PCなら返却できます。

会社が発行したMicrosoft 365やGoogle Workspaceなどのアカウントであれば、退職時に停止できます。

しかし、社員本人が契約しているAIアカウントは企業側で管理できません。

もし個人AIの中に、業務上の会話履歴、会社資料、顧客情報、カスタム指示、業務で作成したAIエージェントなどが残っていれば、そのAI環境を退職後も本人が使い続ける可能性があります。

さらに、その社員が競合企業へ転職する可能性もあります。

従来の情報持ち出しでは、USBメモリへファイルをコピーするといった行為が問題になりました。

BYOAIでは、それとは異なり、会社で仕事をする中で形成された文脈やノウハウを持つAI環境そのものが、個人側に残る可能性があるという新しい問題が生じます。

退職時に削除を求めれば解決する、とも限りません。

企業に管理権限のない個人アカウントについて、企業側が完全な削除を確認・保証できるとは限らないからです。

そのため、退職時の対応だけでなく、在職中から企業情報を個人AIへ蓄積させない設計が重要になります。

シャドーAIはすでに企業リスクとして顕在化している

AIガバナンスの問題は、理論上の話だけではありません。

IBMの2025年「データ侵害のコストに関する調査」では、調査対象600組織の63％が、AIを管理したりシャドーAIの利用を防止したりするためのAIガバナンスポリシーを整備していませんでした。

また、シャドーAIの利用レベルが高い組織では、そうでない組織と比べ、世界平均のデータ侵害コストが67万米ドル高かったと報告されています。IBMの記事を見る

もちろん、この金額をそのまま日本企業へ当てはめることはできません。

しかし、生成AIの利用速度にガバナンス整備が追いついていないこと自体が、企業の新たなリスクになっていることは無視できません。

グローバル企業では、日本だけのAI利用ルールでは足りない

海外拠点を持つ企業では、問題はさらに複雑になります。

日本本社では法人契約AIのみを利用している一方、海外子会社では個人AIが自由に利用されている、といった状態になれば、企業グループとして統一した情報管理ができません。

個人情報、データの国外移転、プライバシー、AI関連規制などは国・地域によって異なります。

そのため、グローバル企業では、企業グループ共通のAI利用原則を設け、その上で各国・地域の法制度や事業環境に応じた追加ルールを設計するという考え方が必要になります。

「日本本社の生成AI利用ガイドライン」を作るだけでは十分ではない可能性があります。

情報システムガイドラインは「生成AIの項目を足す」だけでよいのか

これまで企業の情報セキュリティや情報システムに関する規程では、PC、スマートフォン、USBメモリ、メール、クラウドストレージ、パスワード、BYODなどが管理対象でした。

生成AI時代には、新たに多くの論点が加わります。

• プロンプト
• AIとの会話履歴
• アップロードファイル
• 個人AIアカウント
• AIの長期記憶
• カスタムAI
• AIエージェント
• AIから社内システムへのアクセス
• AIによる外部操作

さらに、社員の異動・退職や、海外拠点でのAI利用まで考えなければなりません。

したがって企業によっては、既存規程へ「生成AI利用上の注意事項」を数ページ追加するだけではなく、情報セキュリティ、アカウント管理、データ管理、外部サービス利用、開発、退職者管理などの関連規程全体を、AI利用を前提に再検討する必要が生じる可能性があります。

GBSでは、BYOAIの業務利用は原則慎重に考えるべきだと考えます

ここまでの論点を踏まえ、GBSでは、企業情報を扱う業務で個人管理のAIをそのまま利用するBYOAIについては、原則として慎重な立場を取るべきだと考えます。

特に、会社が管理できない個人AIへ企業情報や業務上の文脈が蓄積され、退職後もその環境が残る可能性を考えれば、企業情報を扱うAIは会社が管理することが基本になるでしょう。

これは生成AIそのものを禁止するという意味ではありません。

むしろ企業としてAIを積極活用するからこそ、会社の情報を扱うAIは、会社が管理できる環境で利用するという原則が重要になります。

一方で、それだけでは新たな問題が残ります。

では、個人が育ててきたAIの価値はどうするのか

BYOAIを原則禁止した場合、それまで社員が個人AIを使い込むことで培ってきたものはどうすればよいのでしょうか。

• 自分に合った文章表現
• 思考を整理する方法
• よく使うプロンプト
• 資料作成の進め方
• AIへの指示方法

こうしたものまで一律に捨てさせれば、AIを使いこなしてきた社員ほど、会社のAI環境に移ったときに生産性が低下する可能性があります。

BYOAIを制限することと、個人が培ったAI活用能力まで失わせることは、同じではありません。

では、個人が培ったAI活用能力を活かしながら、会社の情報や業務ノウハウは企業側で管理するには、どのような仕組みが必要なのでしょうか。

ここから先は、単なる「生成AI利用禁止事項」の作成では解決できません。

個人AIと会社管理AIの境界、パーソナライズ情報の扱い、企業データとの接続方法、アクセス権限、利用履歴、AIエージェントの実行権限、異動・退職時の管理、海外拠点を含む運用ルールなどを、企業ごとの業務実態に合わせて設計する必要があります。

まとめ―BYOAIは「使うか、使わないか」だけの問題ではない

BYOAIは、単純に「BYODのAI版」と考えるべきではありません。

BYODで企業が管理しようとしていたのは、主として端末と保存データでした。

BYOAIでは、それに加えて、AIとの対話、仕事の進め方、判断の背景、業務ノウハウ、個人向けに形成されたAI環境そのものが問題になります。

日本企業は、かつてBYODに慎重でした。

BYOD以上に企業と個人の境界が曖昧になる可能性があるBYOAIについても、利便性だけを理由に安易に解禁すべきではありません。

一方、個人AIを禁止するだけで、社員が培ってきたAI活用能力まで失わせる必要もありません。

これから企業が考えるべきなのは、「個人AIを会社へ持ち込む方法」ではなく、「個人が培ったAI活用能力を、企業情報を守りながら会社のAI環境で活かす方法」ではないでしょうか。

そのためには、AI利用規程だけではなく、企業の情報管理、AI環境、権限、データ、組織、人材を含めた新しいAIガバナンス設計が必要になります。

BYOAI・シャドーAIに関するよくある質問

参考情報

• Microsoft Japan「日本でも進む “Bring Your Own AI”」
• IPA「DX白書2023」
• Google Cloud「Spotlighting ‘shadow AI’」
• IBM「2025 Cost of a Data Breach Report」