LRM株式会社（本社：兵庫県神戸市、代表取締役CEO：幸松 哲也、以下「当社」）は、業務でAIを利用している会社員・公務員・経営者1,080名を対象に、「AI活用と組織のガバナンスに関する実態調査」を実施しました。

その結果、会社が把握していない個人アカウントでAIを業務に使っている人（以下、シャドーAI利用者）は、AI利用に関する方針・指示が特にない組織で54.0%にのぼり、推奨・制限など方針を示している組織（17.5%）の約3倍でした。

一方、利用実態を可視化・把握する仕組みがある組織では、シャドーAI利用者は12.0%にとどまり、仕組みがない組織（33.9%）の約3分の1でした。
なお、シャドーAI利用者のうち30.9%は作業の大半をAIに任せており、組織が契約・発行したアカウントのみを使う人（16.5%）の約2倍でした。

調査背景

生成AIやAIエージェントの業務利用が広がるなか、IPA（独立行政法人情報処理推進機構）が公表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の第3位に選ばれました（※1）。多くの組織が「AIは積極的に活用したいが、安全に使う方法が分からない」というジレンマを抱えています。

当社は、セキュリティ教育クラウド「セキュリオ」とコンサルティングを通じて、「人」と「組織」に起因するセキュリティリスクに向き合ってきました。2026年7月には、組織のAI利用を可視化しながら安全な活用を支援するAIガバナンスサービス「マモルオ」の提供を開始しています。

本調査は、組織のAI活用を加速させる要因と、安全な活用推進を阻む要因を明らかにすることを目的に実施しました。本リリースでは、そのうち会社が把握していないAI利用の実態とリスクについて報告します。

出典
※1 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（2026年1月29日）https://www.ipa.go.jp/pressrelease/2025/press20260129.html

調査概要

- 調査名：AI活用と組織のガバナンスに関する実態調査
- 調査対象：業務でAIを利用している20〜59歳の会社員・公務員・経営者
- 有効回答数：1,080名
- 調査期間：2026年9月8日〜9月11日
- 調査方法：インターネット調査
- 調査主体：LRM株式会社

※構成比は小数点第2位を四捨五入しているため、合計が100%にならない場合があります。
※本調査の回答者は全員が業務でAIを利用しており、AIを利用していない人は含まれていません。
※本調査の結果は項目間の関連を示すものであり、因果関係を示すものではありません。
※性別・年代などによるウェイトバック（補正）は行っていません。
※組織の状況（仕組みの有無、AI活用の段階、会社のスタンスなど）は、いずれも回答者の認識に基づくものです。
※シャドーAI：一般に、組織の承認を得ずに業務で利用されるAIを指します。本リリースでは、そのうち会社が把握していない、プライベートで契約している個人のアカウントでのAIの業務利用（組織アカウントとの併用を含む）を指して「シャドーAI」と呼びます。

結果サマリ

調査サマリ

シャドーAI利用者は全体で24.0%。方針・指示が特にない組織では54.0%
業務で使うAIアカウントを尋ねたところ、「プライベートで契約している個人のアカウント（会社は把握していない）」を業務に使っている人は全体の24.0%（n=259）でした。また、自社の中に「組織が把握していないAI利用がある」と認識している人は69.2%（「利用している人を知っている」29.8%、「いると思う」39.4%）にのぼります。

シャドーAIの利用について会社のスタンス別に見ると、AI利用に関する「方針・指示が特にない」組織では54.0%にのぼりました（「会社の方針を知らない・わからない」人では59.2%）。
「制限している」組織（「どちらかといえば制限している」「禁止・強く制限している」の合計）では23.2%、「推奨している」組織（「積極的に推奨している」「どちらかといえば推奨している」の合計）では15.8%です。
推奨・制限のいずれかの方針を示している組織（両者の合計）では17.5%で、「方針・指示が特にない」組織はその約3倍にあたります。

また、ルール・ガイドラインが「ある」組織では13.1%、「ない」組織では32.5%でした。
禁止や制限よりも、方針を示さないまま個人の判断に委ねている状態のほうが、シャドーAI利用者の割合が高い傾向が見られました。

シャドーAIの利用者の割合

利用実態を可視化している組織では、シャドーAI利用者が可視化していない組織の約3分の1
「社員のAI利用実態を可視化・把握する仕組み（利用状況の調査、ログ管理など）」があると答えた人は40.2%（n=434）でした。この仕組みがある組織では、シャドーAIの利用者は12.0%で、仕組みがない組織（33.9%）を大きく下回りました。

可視化の仕組みの有無について、会社のAI利用スタンスをそろえて比べると、AI利用を推奨している組織では11.4%(可視化あり)対23.0%(可視化なし)、制限している組織では14.8%(可視化あり)対27.6%(可視化なし)と、いずれも仕組みがある組織のほうがシャドーAIの利用者はおおむね半分の水準でした。

シャドーAIの利用者の割合（利用実態を可視化する仕組みの有無別）


また、お勤め先が組織内のAI利用実態をどのくらい把握していると思うかを尋ねたところ、「十分把握していると思う」「ある程度把握していると思う」と答えた人は、仕組みがある組織で87.1%、ない組織で42.9%でした。
利用状況を可視化する仕組みがない組織では、会社が利用実態を把握していると思う人が半数に届いていない状態です。

お勤め先は組織内のAI利用実態を把握していると思うか

シャドーAI利用者の3割が、作業の大半をAIに任せている
AIに業務をどの程度まで任せているかを尋ねたところ、シャドーAIの利用者（n=259）では、「成果物の大部分を任せて、自分は確認・修正する」が20.8%、「一連の作業をAIエージェントに任せている（指示と最終チェックは自分で行う）」が10.0%で、合わせて30.9%でした。
これは、組織が契約・発行したアカウントのみを使う人（n=516）の16.5%と比べ、約2倍です。

AIエージェントに一連の作業を任せている人に限ると、シャドーAIの利用者は10.0%（259人中26人）、組織アカウントのみの人は2.9%（516人中15人）でした。

AIに作業を任せる範囲が広いほど、AIに入力する情報も、AIが関わる業務も増えます。AIに深く仕事を任せる人ほど会社が把握していないアカウントも使っているという状況は、情報漏えいなどのリスクにつながりうるだけでなく、組織がその使い方や知見を活かせない機会損失にもなりえます。

AIに業務をどの程度まで任せているか

シャドーAI利用者は、AIを使うのを「ためらう」割合も低い
直近3か月にAIを使うのをためらった場面が「ある」と答えた人は、シャドーAIの利用者（n=259）では55.6%で、それ以外の人（69.3%）より13.7ポイント低くなりました。
ためらった場面が「ある」と答えた人（n=713）に理由を尋ねたところ（複数回答可）、最も多かったのは「機密情報・個人情報を入力してよいか不安だった」（36.9%）でした。

勤務先の仕組みの面から見ても、仕組みが「ない」（「わからない」を含む）層では、AI利用へのためらいが少ない傾向が見られました。
AI利用に関する6つの仕組み（ルール・社内向け公開プロンプト・研修・ノウハウ共有の機会・利用実態の可視化・効果測定）について尋ねたところ、6つすべてに「ない」または「わからない」と答えた人（n=301）は、ためらった場面が「ある」人の割合（46.5%）が、仕組みの数別で最も低くなりました。

その一方で、この層はシャドーAIの利用者の割合が48.5%と、最も高くなりました。
ためらいが少ないことは、必ずしも安心して使えていることを意味せず、判断の基準がないまま使われている可能性もあります。

シャドーAIのリスクを抑えながら活用を広げるために

今回の結果から、当社は組織がシャドーAIのリスクを抑えながらAI活用を広げるために、次の3つに取り組むことを提案します。
1. 利用実態を可視化する
可視化の仕組みがある組織では、AI利用を推奨・制限のいずれの立場でも、シャドーAIの利用者がおおむね半分の水準でした。誰が・どのAIを・どの業務に使っているかを把握することが出発点となります。
2. 方針を明文化し、浸透させる
シャドーAIの利用者が最も多かったのは、禁止・制限している組織ではなく、方針・指示が特にない、または方針が伝わっていない組織でした。「何に使ってよいか」「何を入力してはいけないか」を示し、繰り返し伝えることが土台になります。
3. 組織が管理できる体制を整える
シャドーAIの利用者のほうがAIに深く仕事を任せている傾向が見られました。「業務で使うAIは組織アカウントを基本とし、個人アカウントは申請制とする」「入力できる情報や入力内容の学習可否を設定する」など、管理体制を整えてシャドーAIの解消を推進することが、リスク低減につながります。

代表取締役CEO 幸松 哲也 コメント

シャドーAIの利用は、社員がAIを使いこなそうとする意欲の表れでもあります。今回の調査では、会社が把握していない個人アカウントでAIを使う人のほうが、AIに深く仕事を任せている実態が見えてきました。これを一律に禁止しても、利用は止まらず、より見えにくくなるおそれがあります。そのため、まずはAI利用の実態を把握し、安全に使える方針と環境を示す必要があります。

AIは新しい従業員のような存在です。採用した従業員にルールも教育もなく仕事を任せる会社がないように、AIにも同じ向き合い方が求められます。当社は、セキュリティ教育で培ってきた『人と組織の行動変容』の知見を、安全なAI活用の推進に役立てていきます。


LRM株式会社について
当社は「Security Diet(R)」を企業理念に掲げ、情報セキュリティに関するプロの知見を提供するとともに、教育によって人や組織の行動変容を促すことで、持続可能な情報セキュリティ体制構築と企業価値向上に貢献します。

2,800社を超える導入実績があるセキュリティ教育クラウド「セキュリオ」事業、ならびに3,600件を超える支援実績がある情報セキュリティコンサルティング事業を展開し、日本で一番身近な情報セキュリティ会社となるために日々活動しています。

2026年7月からは、AI利用の可視化とガバナンス構築を支援するAIガバナンスサービス「マモルオ」（https://lrm.jp/mamoruo/）も提供しています。

会社名：LRM株式会社
本社　：兵庫県神戸市中央区栄町通1-2-10 読売神戸ビル5F
代表者：代表取締役 幸松哲也
設立　：2006年12月
公式サイト：https://www.lrm.jp/
事業　：セキュリティ教育クラウド「セキュリオ」の開発提供、情報セキュリティコンサルティング支援