従業員のシャドーIT・シャドーAIにどう備える？ 事例に学ぶ法的リスクと規程・体制整備、発覚時の対応を弁護士解説

1　シャドーITが企業にもたらす法的リスクと責任の所在

シャドーITとは、会社が把握または許可していないIT機器やクラウドサービス、ソフトウェアなどを、従業員が業務に用いる状態をいいます。個人向けのオンラインストレージや無料のファイル転送サービス、私用のチャットツール、私物のパソコンやスマートフォン、無償の生成AIなどが典型例です。このうち、会社の許可なく生成AIを業務に利用することは、シャドーAIとも呼ばれます。会社が許可した私物端末を管理下で利用させるBYOD（Bring Your Own Device）と異なり、会社の管理が及ばない点に特徴があります。シャドーITの多くは業務を効率化したいという動機から生じますが、次のような法的リスクを伴います。

第一に、個人情報保護法上のリスクです。個人データを会社の管理外のサービスで取り扱うと、個人情報取扱事業者に求められる安全管理措置義務、従業者の監督義務、委託先の監督義務を尽くしていないと評価されるおそれがあります ¹。個人の権利利益を害するおそれが大きいものとして規則で定める一定の漏えい等が生じた、またはそのおそれがある場合には、個人情報保護委員会への報告と本人への通知の義務も生じます ²。

これらの義務を負うのは、行為をした従業員個人ではなく、個人情報取扱事業者である会社です。なお、2026年7月には、違法な取扱いにより得た利益に着目した課徴金制度の導入等を内容とする改正個人情報保護法が公布されました。多くの規定は公布から2年以内に施行予定であるため、個人データの管理不備が企業にもたらす経済的な影響は、今後さらに大きくなることが見込まれます。

第二に、不正競争防止法上のリスクです。営業秘密として保護を受けるには、秘密管理性、有用性、非公知性の3要件を満たす必要があります ³。重要情報が無許可のクラウドや個人アカウントに置かれ、会社の管理を離れると、秘密管理性の判断上、不利な事情となり、不競法上の差止め・損害賠償等が困難となるおそれがあります ⁴。経済産業省「営業秘密管理指針 ⁵」は、機密保持の定めや十分なセキュリティ措置のない生成AIに営業秘密を入力させているような場合には、秘密管理性に疑義が生じ得ることを指摘しています。

第三に、会社法上のリスクです。取締役は、善管注意義務の一環として、会社の規模や特性に応じた内部統制システム（リスク管理体制）を整備する責任を負います。特に大会社の場合は、体制整備に関する事項の決定が義務付けられています ⁶。シャドーITを放置し、体制の不備により損害が生じた場合には、取締役が善管注意義務違反を問われる可能性があります。

このほか、無許可のソフトウェア利用はライセンス違反となり得るほか、取引先から開示を受けた秘密情報がシャドーIT経由で流出すれば、秘密保持契約違反として会社が責任を負う場面もあります。責任の所在を整理すると、対外的な一次責任は会社が負い、取締役は体制構築について責任を問われ得るほか、行為をした従業員は懲戒や損害賠償、場合により刑事責任の対象となり得ます。

2　参考となる過去の事例

シャドーITそのものを正面から扱った裁判例は多くありませんが、会社の管理を離れた経路からの情報漏えいや、秘密管理性の有無が争われた事案が参考になります。

2-1　シャドーITのリスクを示唆する3つの裁判例

伊藤忠商事ほか事件（東京地裁令和4年12月26日判決）は、退職を予定していた従業員が、社内資料をクラウドサービスの個人アカウントにアップロードして保存していた事案です。裁判所は、当該情報の営業秘密該当性は否定したものの、情報の保存行為が私的目的によるものと推認されるとして、漏えいによる損害が現実に生じていない段階での懲戒解雇を有効と判断しました。個人クラウドへの業務情報の保存というシャドーITの典型場面について、規程に基づく対応を裏付ける裁判例といえます。

ベネッセ個人情報漏えい事件では、システムの開発・運用を委託していたグループ会社の再委託先の従業員が大量の個人データを持ち出して名簿業者に売却し、行為者は刑事処罰を受けたほか、会社は顧客からの損害賠償請求を受け、役員に対する株主代表訴訟も提起されました。最高裁は、漏えいによりプライバシーが侵害されたと認め、損害について審理を尽くさせるため原審に差し戻しています（最高裁平成29年10月23日判決）。個人データの管理体制と委託先の監督の在り方が問われた事案です。

また、取締役のリスク管理体制構築義務を明示した裁判例として、大和銀行株主代表訴訟事件（大阪地裁平成12年9月20日判決）があります。リスク管理体制の不備が取締役個人の責任に結びつき得ることを示すものです。

2-2　インシデント事例と統計データ

インシデント事例としては、業務連絡にも広く使われていた無料のファイル転送サービスが不正アクセスを受け、約481万件の会員情報が流出し、最終的にサービス自体の終了に至ったものがあります ⁷（「宅ふぁいる便」事案・2019年）。会社が把握していないサービスを業務に用いることは、そのサービスのセキュリティ水準や存続に自社の情報を委ねることを意味し、シャドーITに固有のリスクが現実化した例といえます。

統計面では、独立行政法人情報処理推進機構（IPA）の「企業における営業秘密管理に関する実態調査2024 ⁸」によれば、営業秘密の漏えいルートとしては、サイバー攻撃による漏えい（36.6％）が最も多く、現職従業員等のルール不徹底による漏えい（32.6％）がこれに続きます。過去5年以内に、営業秘密の漏えい事例・事象を認識した企業が35.5％にのぼっているなか、規程とその運用の不徹底が、漏えいの主要な原因の1つであることがうかがえます。

3　事前対策・再発防止策

シャドーITは、許可していないITサービスの利用禁止を周知するだけでは防ぎきれません。規程、体制、教育の3つを組み合わせることが効果的です。

3-1　規程面の手当て

情報セキュリティ規程と就業規則に、次の事項を定めておくことが基本となります。

BYODや生成AIの利用を認める場合には、対象となる端末・サービスの要件、MDM（モバイル端末管理）の導入、入力してはならない情報の類型などを定めた個別のポリシーをあわせて整備します。

3-2　体制・審査フローの整備

規程を実効的なものとするために、ITサービス等の利用状況を把握し、新たなツールの導入可否を判断する仕組みを整備します。具体的には、次の方法が考えられます。

3-3　従業員への実効的な教育・周知のポイント

規程の内容を従業員に浸透させ、審査フロー等の運用を定着させるため、教育と周知を継続的に実施します。具体的には、次のような取組みが考えられます。

また、シャドーITが生じる背景には、正規のIT環境が業務上のニーズに応えられていないという事情があることが少なくありません。申請手続を簡便にし、承認済みサービスの一覧を公開するなど、従業員が正規の手段を選びやすくする工夫が、結果としてシャドーITの抑止につながります。

4　シャドーITの利用発覚時の初動対応や法的措置

初動対応では、まず事実関係の確認と証拠の保全を行います。いつ、誰が、どのサービスで、どの情報を取り扱ったかを特定し、アクセスログや端末などの証拠を保全したうえで、当該利用の停止、アカウントの遮断、影響範囲の特定を進めます。証拠保全は、のちの懲戒処分や法的措置の前提となるため、初動の段階で確実に行うことが重要です。

個人データの漏えい等が確認された場合には、個人情報保護委員会への報告（速報はおおむね3〜5日以内、確報は原則30日以内・不正の目的をもって行われたおそれがある場合は60日以内）と、本人への通知の要否を判断します ⁹。営業秘密の流出が疑われる場合には、その情報の拡散防止と保存先からの削除要請を行い、必要に応じて差止請求、損害賠償請求、刑事告訴を検討します。

行為をした従業員への対応は、就業規則上の根拠、処分の相当性、適正な手続を踏まえて判断します。事実関係を固めないまま重い処分を行うと、処分が無効と判断されるおそれがあります。

これらの初動を迅速に行うため、連絡体制と対応手順を平時に整備し、従業員が問題に気付いた際に申告しやすい窓口を設けておくことが望まれます。事後には原因を分析し、規程や審査フローの見直しに反映させることで再発防止を図ります。