経営層の93%がこっそりAIを使っていた──「Shadow AI」を一次調査で確認する

2026年8月27日時点の内容。米セキュリティメディアCybernewsが2025年9月30日に発表した米国従業員1,000人超への調査によれば、59%が会社に承認されていないAIツールを業務で使っており、経営層・上級管理職に限るとその比率は93%まで跳ね上がる。「隠れてAIを使う」現象は「Shadow AI(シャドーAI)」と呼ばれ、企業のセキュリティポリシーが実態に追いついていない状況を象徴している。この記事は動画『会社に黙ってAI使ってる人、実はもう6割います』の内容を、公開後に各調査の一次発表を再確認して記事にしたものです。

• Cybernewsの調査(米国、2025年9月30日発表)では、従業員の59%が未承認AIツールを業務利用。経営層・上級管理職では93%に達し、未承認ツール利用者の75%が機密情報らしきものをAIに共有していた
• IBM「2025 Cost of a Data Breach Report」によれば、未承認AI利用(シャドーAI)が絡む情報漏洩は、世界平均の漏洩コストに追加で67万ドルを上乗せする
• Samsungは2023年の社内ソースコード流出事件を機に生成AIを全社禁止していたが、2026年6月9日に3年ぶりに解禁。幹部約2,300人を対象に2泊3日のAI研修を実施している

何が起きているか、数字で押さえる

Shadow AIとは何か、実際どれだけ広がっているのか

Cybernewsの調査は、米国の従業員1,000人超を対象に実施されたものだ。結果によれば、59%の従業員が「会社が承認していないAIツール」を業務に使っていると回答した。さらに注目すべきは階層別の内訳で、経営層・上級管理職に限ると、この比率は93%まで跳ね上がる。同調査ではまた、未承認ツールを使っている従業員のうち75%が、機密情報の可能性があるものをそのツールに入力したことがあると回答している。同社は調査結果の中で、IBMの「2025 Cost of a Data Breach Report」を引用し、シャドーAI(未承認のAIツール利用)が絡む情報漏洩は、世界平均の漏洩コストに追加で67万ドルを上乗せすると紹介している。

なぜ人はAI利用を隠すのか。学術研究の分野では、2025年に発表された論文「Competence Penalty Is a Barrier to the Adoption of New Technology」が、AIを使ったと正直に開示すると、その人の仕事に対する評価(能力の見え方)が下がるという「能力ペナルティ(competence penalty)」という現象を報告している。この論文はHarvard Business Reviewでも2025年8月に取り上げられている。また、Anthropicが1,000人超のビジネスパーソンに行ったインタビュー調査を紹介する複数の報道によれば、69%が職場でのAI利用に社会的な「スティグマ(恥の意識)」を感じていると回答したとされる。

Samsungが3年かけてたどり着いた結論

Shadow AIが実際にどんなリスクを生むかを示す代表例が、Samsungの事例だ。CIO.com(2026年6月12日付)の報道によれば、Samsungは2023年、従業員が業務用のソースコードをChatGPTにアップロードしたことをきっかけとする情報セキュリティ問題を経験し、以降、外部の生成AIサービスに対して慎重な姿勢を取ってきた。そして同記事は「3年間の禁止を経て方針転換する」と報じている。

その転換点が2026年6月9日だ。Samsungグループはこの日、プレスリリースで全事業会社の業務にAIを導入する「AIトランスフォーメーション(AX)」の本格展開を発表した。CIO.comによれば、Samsung DX部門はChatGPT・Gemini・Claudeという3つの外部生成AIサービスを全社的に導入する方針で、その一環として約2,300人の幹部を対象に「2泊3日」の集中AI研修「AXブートキャンプ」を実施している(2026年8月12日まで)。禁止して終わりではなく、研修とセキュリティの枠組みを整えたうえで解禁するという判断だ。

日本の状況はどうなっているか

日本の企業のAI利用ルール整備は、他国と比べて遅れているという調査結果がある。総務省「令和7年版情報通信白書」によれば、日本・米国・ドイツ・中国の4か国を対象にした調査で、「積極的に活用する方針」または「活用する領域を限定して利用する方針」を定めている企業の比率は、日本では2024年度調査で49.7%(2023年度調査は42.7%)だった。同白書は「今回調査した他の国と比較すると、引き続き日本は他の国より低い傾向にある」と明記しており、日本企業のAI利用方針の整備が他国より遅れていることを公式データとして示している。また同白書は、日本国内でも中小企業では「方針を明確に定めていない」との回答が約半数を占め、大企業と比べて方針決定が立ち遅れている状況にも言及している。

正直に言うと、ここまでしか確認できていない

動画では「Awareways Trend Report 2025」という調査が「59%」の出典として、「Cybernews Survey」が「93%」の出典として別々に紹介されているが、本記事執筆にあたりCybernewsの元記事(2025年9月30日付)を直接確認したところ、59%と93%は同一のCybernews調査(米国従業員1,000人超対象)の中の異なる集計にあたる数値だった。そのため本記事では両方をCybernewsの調査として統一して記載している。

また、動画で紹介されているKPMGの47か国4.8万人調査、Netskopeの72%管理外アクセス、Varonisの98%組織未承認ツール存在率、Slackの48%「怠けている・ズルをしていると思われるのが怖い」調査、CNBCの53%「AIに代替可能だと思われるのが怖い」調査、日本の総務省調査における米国84.8%・中国92.8%という具体的な比較数値、PwC Japanの52%、JIPDECの中小企業23%、Celioの調査、フリーランス市場に関するFreelancer Kompass・Upwork・Ramp・Fiverrの各データ、および銀行の調達チームがプロンプトインジェクション被害で1,200万ドルの損害を受けたという事例については、この記事を書く時点でWeb検索の利用上限に達し、発表元に自分でアクセスして一次確認することができなかった。これらは動画の中で語られている情報として参考にしつつ、本記事では数字を明記せず取り上げていない。

この状況をどう見ればいいか

なお、シャドーAIの利用率を示す数字は調査によって59〜93%と幅があり、対象国や母集団の取り方が異なる点には注意してほしい。Cybernewsの調査が示すのは、「AIを隠れて使っているのは一部の不真面目な社員」という見方が実態と違うということだ。むしろ経営層ほど隠れて使っている比率が高く、しかもその多くが機密情報らしきものをAIに共有している。Samsungの事例が示すのは、「禁止すれば済む」という対応が3年たっても問題を解決しなかったという事実だ。日本企業のAI利用方針の整備が他国より遅れているという総務省の公式データを踏まえると、ルールを作らないまま従業員の利用だけが先行するリスクは、日本でも他人事ではない。社内ルール整備の最小構成については社内AIガイドライン策定の最小構成、生成AI特有のセキュリティリスク全般については生成AIのセキュリティリスク──企業が押さえるべき6つの脅威と対策もあわせて参考にしてほしい。

---

出典・但し書き:本記事の数字は、Cybernews・IBM・CIO.com・総務省公式サイトを2026年8月27日にアクセスして直接確認したものです。動画で言及されている調査のうち、出典元に自分でアクセスして一次確認できなかったものは、上記の理由により本記事では数字を明記せず取り上げていません。また、動画内での「59%=Awareways」「93%=Cybernews」という出典の分け方は、Cybernews原文の確認により両方とも同一のCybernews調査に基づく数値であることが分かったため、本記事ではCybernewsの調査として統一して記載しています。