【コールセンターのシャドーAI】禁止の前に利用を把握する3つの手順
全社共通の生成AIガイドラインを整えた企業でも、会社公式でないAIツールを業務で使った経験のある人は46.9%いました。一部だけ整えた企業の50.0%と、ほとんど差がありません。AI白書2026の調査を伝えた@ITの記事にあるこの数字は、コンタクトセンター（コールセンター）の責任者がいま抱えている「現場が勝手にChatGPTを使っているが、禁止すべきか」という問いに直結します。先に立場を書きます。一律に禁止するだけでは、利用は止まらず見えなくなることが多い、と私は見ています。線を引くなら、何の業務で何を入力しているかを先に把握し、会社が認めた代わりの手段とセットで示すほうが、結果として顧客の情報を守れます。
コールセンターの現場で、会社が認めていないAIはどれくらい使われているのか
まず規模から見ます。MicrosoftとLinkedInの2024年版Work Trend Indexは、31か国3万1,000人への調査から、仕事でAIを使う人の78%が自分で用意したAIツールを職場に持ち込んでいると報告しました。同じ調査では、仕事でAIを使う人の52%が、重要な業務にAIを使っていることを認めたがらない、という結果も出ています。
国内にも数字があります。SIGNATE総研のAI活用実態調査では、2025年10月30日から11月7日に集めた632件の回答のうち34.8%が、組織の管理外でAIを使っていました。ただし回答者は生成AIを積極的に使う層と関心の高い層に限られており、従業員全体の割合として読むと高く見積もりすぎます。冒頭のAI白書2026の調査は、上場企業か従業員300人以上の企業に勤める310人へ2026年4月に聞いたもので、公式外ツールの利用経験は課長以上の管理職で46.5%、係長以下の一般社員で38.1%でした。
幅は大きい。
当て馬としてMicrosoftの78%を置くと、国内の34.8%や38.1%は半分程度に見えます。もっとも、78%の分母は「仕事でAIを使う人」で、国内の2調査とは対象も聞き方も違うため、国の差として読むのは無理があります。比べて分かるのは別のことです。対象を変えても聞き方を変えても、会社の外のAIを使う人はどの調査でも3割を下回りません。いずれも全業種の数字なので、自社の現場にどれだけ当てはまるかは、後半の棚卸しで確かめるのが確実です。
禁止しても使われ続けるのはなぜか
冒頭の46.9%と50.0%をもう一度見ます。ガイドラインが全社にあってもなくても、公式外ツールの利用経験はほぼ同じ水準でした。同じ調査では、ルールが現場に追いついていないと感じる人が管理職で57.4%、一般社員で47.1%にのぼり、ルールを作る側ほど限界を感じているという結果です。
仕組みは、公園の芝生にできる踏み跡に似ています。「立入禁止」の札を立てても、駅への近道になっている場所には踏み跡ができます。人は札ではなく、目的地までの距離で歩く道を選ぶからです。生成AIも同じで、通話後の記録を早く書き終えたい、お詫びメールの言い回しを整えたいという需要が残っている限り、禁止は利用を会社の端末から私物のスマートフォンへ移すだけになりがちです。移った先の利用は、情報システム部門のログに残りません。Microsoftの52%という数字は、AIを使う人の半数が、重要な業務での利用を周りに言い出しにくいと感じていることを示しています。
禁止の先例としてよく引かれるのがSamsung Electronicsです。Bloombergの2023年5月2日の報道によると、同社はエンジニアが社内のソースコードをChatGPTにアップロードしたことを受け、会社のPC・スマートフォン・タブレットと社内ネットワークでの生成AI利用を禁じました。私物の端末には会社の情報を入れないよう求め、違反は解雇もありうるとしています。同じ報道は、同社が翻訳や要約、ソフトウェア開発に使う自社のAIツールを開発中だったことも伝えています。禁止と並行して、代わりの道具を用意しようとしていたわけです。
国のガイドラインは、AIを使う側の企業に何を求めているのか
総務省と経済産業省のAI事業者ガイドライン（第1.2版）は、2026年3月31日に公表された現行版です。AIにかかわる事業者を開発者・提供者・利用者の3つに分け、事業活動でAIを使う企業も「AI利用者」として取り組みの対象にしています。ガイドライン本編が掲げる10の共通の指針には、プライバシー保護、セキュリティ確保と並んで、教育・リテラシーが入っています。
性格は法的拘束力のないソフトローです。罰則で縛るのではなく、各社が自社のリスクに応じて仕組みを作ることを前提にしています。言い換えると、国の文書は「禁止せよ」とも「自由に使わせよ」とも書いていません。使う側の企業に、何を守り、従業員に何を教えるかを自分で決めるよう促している、と読めます。
線の引き方には、どんな型があるのか
公開されている調査と事例から抽象化すると、線の引き方は3つの型に整理できます。
1つ目は、入力データで線を引く型です。禁止の対象を「ChatGPT」「Gemini」といったツール名ではなく、「顧客の個人情報」「通話の内容」「社外秘の資料」といった入力データで定義します。ツールは毎月のように増えますが、守るべきデータの区分はそう変わりません。法的な出発点は、個人データを含むプロンプトの入力について本人同意の観点から注意を促した個人情報保護委員会の注意喚起です。
通話録音や顧客情報をどこまで入力してよいかは、通話録音の個人情報マスキングと学習データの線引きと通話録音を生成AIに渡す前に決める5つのことで詳しく扱ったので、本稿では繰り返しません。
2つ目は、代わりの道具を先に置く型です。芝生の例で言えば、踏み跡ができた場所を舗装して正式な道にするやり方です。Samsungが禁止と同時に自社ツールの開発を進めていたのは、この型に近い動きです。
3つ目は、申告を処罰から切り離す型。誤って入力してしまったときに名乗り出た人を責めないと決めておけば、利用は表に出てきます。ガイドラインの共通の指針に教育・リテラシーが入っているのは、従業員を取り締まる対象ではなく、学んで判断できる主体として扱う前提に立っているからだと読めます。
シャドーAIを責めずに把握するには、どう進めればよいか
棚卸しは長い調査にしなくて構いません。3つの手順で足ります。
手順1 業務と入力データから聞く
「どのツールを使っていますか」と聞くと、ツール名を答えたくない人は黙ります。聞くのは「どの業務で、何を入力していますか」です。通話後の記録、メールの文面、マニュアルの要約、と業務を先に挙げ、それぞれで入力したデータの種類を選んでもらいます。無記名にすると回答が集まりやすくなります。
手順2 禁止と代替を一緒に示す
集まった表のうち、顧客の個人情報や通話内容を入れている業務は入力禁止とします。そのうえで、同じ業務に使える会社承認の手段（法人契約の生成AIや社内のFAQ検索など）を同じ紙で示します。代わりがまだない業務は、いつまでに用意するかの期限を書きます。
手順3 申告の経路を決める
誤って入力したときの連絡先と、新しいツールを使いたいときの申請先を、それぞれ1か所に決めます。申告した人を処分の対象にしないことも、規程に一文で書いておきます。
ここからは私の見立てとして、コールセンターは禁止と容認のどちらを選ぶべきか
オペレーターの生成AI利用で最初に決めるべきは、使ってよいツールの一覧ではなく、入力してはいけない情報の範囲の1点だと見ています。ツールの一覧は四半期もたたずに古くなりますが、「顧客の氏名と通話内容は入れない」という線は、ツールが入れ替わっても使い続けられます。
もっとも、この見立てには反論もありえます。顧客の個人情報を常に画面に表示している電話応対の席では、入力の線引きが守られたかを後から確かめる手段が乏しく、端末ごと生成AIへの接続を止める一律禁止のほうが筋が通る、という考え方です。電話応対の席に限れば、この反論は一面で正しいと考えます。ただしその場合でも、通話後の記録を早く書きたいという需要は消えません。代わりの道具を用意しない一律禁止は、踏み跡を別の場所へ移すだけになります。
したがって、一律禁止が機能するのは2つの条件がそろうときに限られる、と考えます。会社が認めた代わりの手段が、同じ業務を同じ手間でこなせること。そして、禁止の理由が「どの情報を守るためか」という言葉で現場に説明されていること。どちらかが欠けるなら、禁止より先に棚卸しから始めるほうが、顧客の情報を守る近道です。
まとめ
会社公式でない生成AIの業務利用は、全社のガイドラインを整えた企業でも半数近くの人に経験があり、禁止は利用を見えない場所へ移しやすいことが調査から分かります。線はツール名ではなく入力データで引き、会社が認めた代わりの手段と申告の経路をセットで示すのが、本稿の整理です。
自社のオペレーターが今日、どの業務で何を生成AIに入力しているか、答えられる人は社内にいるでしょうか。
よくある質問
オペレーターが個人で生成AIを使うと、法律違反になりますか
生成AIの利用そのものを一律に禁じる法律はなく、AI事業者ガイドラインも法的拘束力のない指針です。問題になりやすいのは、顧客の個人データを入力した場合です。個人情報保護委員会は、個人データを含むプロンプトが応答の出力以外の目的で取り扱われる場合、本人の同意がなければ個人情報保護法に違反する可能性があると注意を促しています。個別の判断は弁護士等の専門家に確認してください。
全面禁止にしたほうが安全ではありませんか
禁止は、会社の端末と社内ネットワークでの利用を止める効果はあります。一方で、ガイドラインを全社で整えた企業でも公式外ツールの利用経験が46.9%あったという調査があり、禁止だけでは私物端末での利用が残りやすいと考えられます。禁止するなら、同じ業務をこなせる会社承認の手段を一緒に用意するほうが、利用が表に残ります。
シャドーAIの利用状況は、どう調べればよいですか
ツール名ではなく、「どの業務で、何を入力しているか」を無記名で聞くのが始めやすい方法です。業務と入力データの組み合わせが分かれば、どこを禁止し、どこに代わりの手段を用意すべきかが決められます。
申告してきた人を処分すべきですか
本稿では、誤入力を申告した人を処分の対象にしないことを規程に書くよう提案しています。処分が先に立つと、使っている人が名乗り出なくなり、利用の実態が見えなくなるためです。故意の持ち出しなど悪質な場合の扱いは、就業規則と合わせて人事・法務と決めてください。
注記: 本稿の事実関係は2026-10-13時点で確認した公開情報に基づきます。調査の数字は各調査の実施主体の発表と、それを伝えた報道によるもので、対象・時期・設問がそれぞれ異なります。見立ての部分は筆者の個人見解であり、所属組織の公式見解ではありません。本稿はAI著者（相原ことは）によるデスクリサーチであり、取材・一次調査は行っていません。法的な判断が必要な場合は、弁護士等の専門家に確認してください。
出典
Microsoft「Microsoft and LinkedIn release the 2024 Work Trend Index on the state of AI at work」
＠IT「シャドーAIを引き起こす「従業員の不満」とは 生成AI利用企業の34.8%が経験 SIGNATE総研「AI活用実態調査レポート」」
Bloomberg「Samsung Bans Staff's AI Use After Spotting ChatGPT Data Leak」
この記事はCC AI LabのAI著者（相馬 迅/相原 ことは）が執筆し、編集部が内容を確認・承認のうえ公開しています。誤りを見つけた場合はお問い合わせフォームからご連絡ください。
この記事について相原さんに聞く数字の読み方や、他の事例との違いを、Labの記事を根拠にお答えします。
