結論から言う。あなたの会社のAI支出、たぶん把握できていない

従業員がChatGPTの有料プランを自分のクレカで契約している。Copilotを個人ライセンスで使っている。画像生成AIに月額3,000円払っている。——これ、あなたの会社でも起きていないと言い切れるだろうか。

会社として正式に導入したわけでもないAIツールを、従業員が勝手にサブスクして業務に使う。これが「シャドウAI」だ。シャドウITのAI版と思えばいい。

問題は2つある。コストが見えないことと、情報がどこに流れているか分からないことだ。

人事・IT管理プラットフォームのRipplingが2025年5月にリリースした「AI Spend Console」は、まさにこの問題を可視化するためのツールだ。注目すべきは、Rippling自身がこの問題の当事者だったという点にある。同社は自社内のAI利用状況を調査した結果、把握していなかったAI関連の支出が年間数百万ドル規模で発生していたことを発見した。自分たちが痛い目を見たから、製品にした。この順番がリアルだ。

月いくら漏れているのか？——中小企業こそ深刻な理由

大企業なら、IT部門がSaaS管理ツールで一元管理している。だが中小企業はどうか。

従業員30人の会社を想像してほしい。そのうち10人がChatGPT Plus（月額20ドル＝約3,000円）を個人契約で使っていたとする。それだけで月3万円。年間36万円だ。「たった36万円」と思うかもしれない。

だが実際には、ChatGPTだけでは済まない。Midjourney（月額10ドル〜）、Notion AI（メンバーあたり月額10ドル）、GitHub Copilot（月額19ドル）、Perplexity Pro（月額20ドル）——個人が「便利だから」と契約するAIツールは増え続けている。

仮に10人が平均して月5,000円分のAIツールを個人契約していたら、月5万円。年間60万円。50人の会社なら年間150万円を超える。しかもこの支出は、経費精算に上がってこないケースが大半だ。個人のクレジットカードで払って、会社に請求しない。つまり「会社の金が漏れている」のではなく、「従業員が自腹で会社の業務を回している」という、別の意味でも歪んだ構造になっている。

問題はコストだけではない。

本当に怖いのは「情報漏洩」のほうだ

従業員が個人アカウントでChatGPTを使っているとき、入力されたデータはどこに行くのか。

OpenAIのビジネスプランやEnterprise契約であれば、入力データがモデルの学習に使われないことが保証されている。だが個人プランではその保証がない（オプトアウトは可能だが、設定していない人がほとんどだ）。

顧客リスト、売上データ、社内の議事録、契約書のドラフト——これらが個人アカウント経由でAIに入力されている可能性がある。中小企業の場合、情報セキュリティポリシーが明文化されていないことも多く、「何を入力してはいけないか」のルールすらない会社が珍しくない。

シャドウAIの本質的なリスクは、月数万円の支出ではない。一度の情報漏洩で取引先の信頼を失うことだ。中小企業にとって、取引先1社を失うダメージは致命的になりうる。

SaaS管理の属人化——「誰が何を使っているか」を誰も知らない

もう一つ、中小企業に特有の構造的な問題がある。SaaS管理の属人化だ。

大企業にはIT部門がある。SaaS管理ツールがある。だが従業員30〜100人規模の会社では、「ITに詳しい人」が片手間でツール管理をしているのが実態だ。その人が退職したら、どのツールに月いくら払っているかすら分からなくなる。

Ripplingの調査によれば、企業が把握しているSaaSアプリケーションの数と、実際に利用されている数には大きな乖離がある。AI系のツールは特にその傾向が強い。なぜなら、AIツールは「個人が試しに使い始める」ハードルが極端に低いからだ。クレジットカード1枚あれば、5分で契約できる。

この「導入の手軽さ」がAIの最大の強みであると同時に、管理する側にとっては最大の弱点になっている。

で、結局どうすればいいのか

RipplingのAI Spend Consoleのような専用ツールを導入するのは一つの手だが、正直に言えば、従業員30人の地方の中小企業にとっては「管理ツールのためのコスト」がまた増えるという話になる。

もっと現実的な打ち手は3つある。

1. まず「棚卸し」をやる。今日やる。

全従業員に「業務で使っているAIツールを全部書き出してください」とアンケートを取る。Googleフォームで十分だ。ツール名、月額、何に使っているか。これだけで実態の8割は見える。やるのに必要な時間は、フォーム作成15分、集計30分。コストはゼロだ。

2. 会社としてのAIツールを1〜2本に絞って契約する

個人がバラバラに契約するから管理できない。であれば、会社としてChatGPT TeamやClaude Proを契約し、「業務でAIを使うならこれを使ってください」と決める。ChatGPT Teamは1人あたり月額25ドル（約3,800円）。10人で月38,000円。個人がバラバラに5つのツールを契約するより安いし、入力データの管理もできる。

3. 「入力してはいけない情報」のルールだけは決める

完璧なセキュリティポリシーは要らない。A4一枚でいい。「顧客の個人情報」「契約金額」「未公開の経営情報」——この3つはAIに入力しない。これだけ決めて、全員に共有する。ルールは短いほど守られる。

シャドウAIは「禁止」しても消えない

一番やってはいけないのは、「AIツールの利用を全面禁止する」ことだ。

従業員がシャドウAIを使う理由は単純だ。便利だから。業務が楽になるから。禁止すれば、もっと見えないところで使うようになるだけだ。

正しいアプローチは、「使うな」ではなく「こう使え」だ。会社として推奨ツールを決め、ルールを最小限に定め、コストを一元管理する。これだけでシャドウAIの問題は大幅に減る。

考えてみれば、これはAIに限った話ではない。かつてのDropbox、Slack、Zoomも最初は「従業員が勝手に使い始めた」ツールだった。シャドウITが正式なITインフラになった歴史を、我々はすでに経験している。

AIも同じ道をたどる。違いがあるとすれば、AIのほうがスピードが速く、扱うデータがより機密性の高いものになりやすいということだ。だからこそ、今すぐ手を打つ意味がある。

地方の中小企業にとっての本当の論点

最後に、もう一つだけ。

シャドウAIの議論は「コスト管理」や「セキュリティ」の文脈で語られがちだが、地方の中小企業にとっての本当の論点は別にある。

「従業員がAIを使いたがっている」という事実そのものが、経営にとっての最大のシグナルだ。

現場は、今の業務に非効率を感じている。AIで解決できると直感している。だから自腹を切ってでも使っている。これは「問題」ではなく「機会」だ。

経営者がやるべきは、この動きを潰すことではなく、正しいレールに乗せることだ。棚卸しをして、推奨ツールを決めて、ルールを最小限に定める。それだけで、従業員の自発的なAI活用が「会社の競争力」に変わる。

シャドウAIの請求書が届く前に、まずは今日、Googleフォームを1つ作るところから始めてみてはどうだろうか。

—