BYOAIとは？シャドーAIとの違い・企業の利用許可基準を解説

最終更新日:2026/08/27

BYOAI（Bring Your Own AI）とは、従業員が会社から提供されていないAIツールやサービスを自ら用意し、業務に利用することです。日本で仕事にAIを使っている人のうち78%が、自前のAIツールを職場で利用しているという調査結果もあります。「シャドーAIとは何が違うのか」「自社ではどこまで利用を認めるべきか」と迷っている方も多いのではないでしょうか。

本記事では、BYOAI・BYOD・シャドーAIの違いを整理します。そのうえで、情報の機密度に応じて利用を許可・条件付き・禁止に仕分ける判断基準と、企業が今日から始められる管理の5ステップを解説します。

出典：日本でも進む “Bring Your Own AI”｜日本マイクロソフト（2024年6月6日）

BYOAIとは？意味とBYOD・シャドーAIとの違い

BYOAI（Bring Your Own AI）とは、従業員が会社から公式に提供されていないAIツールやAIサービスを自分で用意することです。それを業務に利用する動き全般を指します。個人アカウントで利用しているChatGPTやClaude、Geminiなどを仕事で使うケースが典型例です。

この言葉が使われ始めたのは、少なくとも2023年にさかのぼります。米調査会社Forresterは2023年6月、「BYOAIはすでに現実になっている」と題したブログを公開しました。従業員が許可の有無にかかわらず職場で生成AIを使っている状況を指摘したものです。

同年9月には、企業に向けてBYOAIの管理方針づくりを促すレポートも発表しています。2024年5月には、MicrosoftとLinkedInの「Work Trend Index」でもBYOAIが取り上げられ、AI利用者の78%が自前のAIツールを職場に持ち込んでいるという調査結果が公表されました。

BYOD（私物デバイス持ち込み）との違い

BYOAIとよく似た言葉に「BYOD（Bring Your Own Device）」があります。両者の違いは、持ち込む対象です。

項目	BYOD	BYOAI
持ち込む対象	私物のスマートフォン・PCなどのデバイス	個人アカウントのAIツール・AIサービス
主なリスク	端末紛失・盗難による情報漏洩	入力データの取扱い、出力の誤り
管理の焦点	デバイスの登録・遠隔ロック等	入力してよい情報の線引き、契約条件の確認

BYODは「モノ」の持ち込みです。一方BYOAIは、従業員の意思決定や作業そのものに関わる「AI」の持ち込みという点が特徴です。

BYOAIとシャドーAIの関係

BYOAIとよく混同される言葉に「シャドーAI」があります。両者は同じ意味ではありません。

BYOAIは、企業が把握・許可している利用も含む広い概念です。一方シャドーAIは、そのBYOAIのうち、企業が把握・許可していないまま行われている利用を指します。つまり、BYOAIが「大きな括り」で、シャドーAIはその中の「管理外の部分」という関係です。なお用語の使われ方には媒体によって幅があるため、あくまで本記事での整理とお考えください。

なお、SNS上では「BYOAI＝会社がAIツールを契約すべきという意味では」という誤解も見られます。正しくは、会社ではなく従業員側が自分の意思でAIツールを用意して使う、という動きを指す言葉です。

シャドーAIが企業にもたらす詳しいリスクや検知方法については、こちらの記事で詳しく解説しています。

関連記事：シャドーAIとは？企業が知るべき6つのリスクと5つの対策

出典：BYOAI Is Here — Make The Right Moves To Benefit From It｜Forrester（2023年6月）／Forrester: Tech Leaders Must Develop A “Bring-Your-Own-AI” Management Policy｜Forrester（2023年9月）／Microsoft and LinkedIn release the 2024 Work Trend Index｜Microsoft（2024年5月）

なぜBYOAIは広がっているのか｜国内外の調査データで見る実態

BYOAIが急速に広がっている背景には、あるギャップがあります。生成AIの実用性が高まるスピードに、企業側の公式ツール整備が追いついていないという点です。ここでは、国内外の調査データから実態を見ていきます。調査ごとに対象や手法が異なるため、単純な比較はできない点にご留意ください。

日本で仕事にAIを使う人の78%がBYOAI（Microsoft・LinkedIn調査）

MicrosoftとLinkedInは31カ国を対象に「2024 Work Trend Index」を実施しました。この調査からは、世界的に職場でのAI活用が急速に進んでいることが分かります。日本マイクロソフトが2024年6月に公表した内容によると、日本で仕事にAIを使っている人のうち78%が、自前のAIツールを利用しているという結果が示されました。これは世界平均とほぼ同水準です。

「全従業員の78%」ではなく「AIを使っている人のうち78%」という点に注意してください。

個人アカウント経由の無料AI利用が68%（Menlo Security調査）

セキュリティベンダーのMenlo Securityが2025年に公表したレポートでは、従業員の68%が個人アカウント経由で無料ティアのAIツールを利用していると報告されています。また、57%が機密データを入力していたという結果も示されました（この57%が68%の内数か、別の集計かは原文で明示されていないため、2つの調査結果として紹介します）。

生成AIサイトへのアクセスは、2024年2月から2025年1月の1年間で約50%増加しており、利用の広がりとリスクの両方がうかがえます。

ISOプロ調査：回答者の65.1%がシャドーAIの発生・発生可能性を回答

国内の実態はどうでしょうか。ISOプロが2026年7月22日から23日にかけて、経営者・役員・情報システム部門従事者1,023人を対象に実施した調査（2026年8月5日公表）では、次のような結果が出ています。

「利用状況を把握しているが、一部シャドーAIが発生している」：44.5%
「十分把握できておらず、シャドーAIが発生している可能性がある」：20.6%

合わせて65.1%が、シャドーAIの発生または発生可能性を回答しています（調査対象1,023人の回答結果であり、「日本企業全体の65.1%」を意味するものではありません）。従業員が無断でAIを利用する理由としては、「業務効率を上げたい」（40.1%）、「最新のAIをすぐ使いたい」（32.1%）、「社内ルール・ガイドラインが不十分」（28.9%）が上位に挙がっています。

出典：日本でも進む “Bring Your Own AI”｜日本マイクロソフト（2024年6月）／Menlo Security’s 2025 Report Uncovers 68% Surge in “Shadow” Generative AI Usage｜Menlo Security（2025年8月）／次世代AIとガバナンス実態調査｜ISOプロ（PR TIMES）（2026年8月5日）

BYOAIのメリットと主なリスク

BYOAIには、メリットとリスクの両面があります。

BYOAIのメリット

現場が自分の業務に合ったAIツールを素早く試せる点は、BYOAIのメリットの一つです。企業が正式にツールを導入する前の段階でも、現場から新しいAI活用方法が見つかる可能性があります。また、従業員が個人負担でツールを利用している場合、企業が費用を直接負担せずに現場での活用が始まることもあります。

ただし、これは「会社側にコスト負担がまったく生じない」という意味ではありません。契約の分散や管理工数など、見えにくい形で別のコストが発生する点には注意が必要です。

BYOAIで注意すべき主なリスク

一方で、次のようなリスクにも目を向ける必要があります。

リスク	具体例
情報管理上のリスク	顧客情報や社外秘情報を、データの保存・利用条件を確認しないまま外部AIへ入力する
法令・契約への抵触	個人情報保護法や取引先とのNDA（秘密保持契約）との不整合
出力品質の問題	ハルシネーション（AIが誤った情報をもっともらしく生成する現象）に気づかず業務に使ってしまう
権限管理の不備	AIサービスと社内システムをAPI連携する際のアクセス権限の管理不足
コスト・属人化	部署ごとの個人契約が乱立し、プロンプトやノウハウが個人に閉じてしまう

これらのリスクの詳しい内容や、自社にシャドーAIがないかを確認する方法については、こちらの記事でさらに詳しく解説しています。

シャドーAIとは？企業が知るべき6つのリスクと5つの対策

出典：生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会（2023年6月）

企業はBYOAIをどこまで許可すべき？判断基準とマトリクス

BYOAIへの対応は、「全面禁止」か「野放し」かの二択ではありません。扱う情報の機密度と、利用するAIサービスが企業の管理下にあるかどうか、この2つの軸で利用可否を仕分けるのが現実的な対応です。情報システム部門だけの課題にとどめず、全社的なAI活用戦略の一部として位置づけることも重要になります。

3つの基本方針

全面禁止：機密性の極めて高い業務などでは選択肢になり得ます。ただし、禁止ルールを設けるだけで未承認利用まで完全に防げるとは限らないため、利用実態の把握や安全な代替環境の提供もあわせて検討します。
条件付きで許可：公開情報や匿名化した情報に限定する、会社が把握しているサービスのみ使ってよいとするなど、条件を明確にしたうえで許可する方法です。
法人向けの承認済みAIへ集約：入力データの学習利用の有無や、アクセス権限・ログ管理の機能を確認したうえで、会社として契約したAI環境に利用を集約します。

判断マトリクス：情報区分×AI利用環境

どの情報を、どの環境で扱ってよいかを整理すると、次のようなイメージになります。

扱う情報	未承認・個人アカウントのAI	承認済み法人AI	企業管理下の専用AI環境
公開情報	許可候補	許可	許可
一般的な社内情報	条件付き（内容による）	契約条件を確認のうえ許可	社内規程に従い許可
個人情報・顧客情報	原則入力しない	利用目的・契約・データ利用条件を確認	社内規程・法令に基づき判断
機密情報・未公開情報	禁止	情報区分と契約条件で個別判断	権限・ログ管理を含め個別審査
APIキー・認証情報等	禁止	原則禁止	原則禁止

※この表は法令が定める一律の基準ではなく、企業が社内ルールを設計する際の考え方の一例です。「企業管理下の専用AI環境」であっても、データの処理場所・保存期間・学習利用・外部送信の有無などを確認したうえで利用可否を判断してください。実際の利用可否は、情報の性質、利用目的、AIサービスの契約条件、データの保存・学習利用の有無などを個別に確認したうえで判断します。

個人情報保護委員会は、生成AIサービスへの個人情報の入力そのものを一律に禁止しているわけではありません。個人情報取扱事業者に対しては、生成AIサービスを提供する事業者が入力した個人データを機械学習等に利用しないことなどを確認するよう求めています。また一般の利用者に対しても、利用規約やプライバシーポリシーを確認し、リスクを踏まえたうえで適切に判断することを求める考え方です。この考え方は、上記マトリクスで「契約条件を確認」という基準を置いている理由でもあります。

なお、総務省・経済産業省が2026年3月31日に改定した「AI事業者ガイドライン（第1.2版）」でも、リスクの大きさを把握したうえで対策の程度を対応させる「リスクベースアプローチ」の重要性と、「過度な対策によってAI活用の便益を損なう可能性がある」という考え方が示されています。リスクに応じて許可範囲を調整するという本記事の考え方は、この方向性とも整合するものです。

自社に合う生成AIサービスを比較したい方は、生成AIサービスの比較・企業一覧もあわせてご覧ください。承認済みAIの選定基準は、後述する「BYOAIを安全に管理する5ステップ」の章でも詳しく解説しています。

出典：生成AIサービスの利用に関する注意喚起等について｜個人情報保護委員会（2023年6月）／AI事業者ガイドライン（第1.2版）｜総務省・経済産業省（2026年3月）

BYOAIを安全に管理する5ステップ

判断基準を決めたら、次に組織で実行する5つのステップを確認します。

STEP1：利用実態の棚卸し

まずは、社内でどのようなAIツールが使われているかを把握するところから始めます。アンケートや、社内規程・プライバシーポリシーに沿ったアクセスログの確認などを通じて、「誰が」「どのツールを」「何のために」使っているかを可視化しましょう。

STEP2：利用ガイドラインを「許可・条件付き・禁止」で明文化

前章の判断マトリクスを土台に、自社の業務内容に合わせて具体化し、ガイドラインを作成します。前述のAI事業者ガイドラインが示すリスクベースアプローチの考え方は、社内ルールを設計する際の参考になります。

STEP3：承認済みAIの選定基準を決める

法人向けのAIツールを選ぶ際は、次のような観点をチェックしましょう。

入力データがモデルの学習やサービス改善に利用される条件になっていないか
データの保存期間・削除方法が明確か
SSO（シングルサインオン）や多要素認証などの認証機能があるか
管理者がユーザー・アクセス権限を管理できるか
利用ログ・監査ログを取得できる範囲はどこまでか
外部SaaSとのOAuth・API連携を管理できるか

STEP4：個人契約を可視化し、コストを試算する

部署ごとにばらばらに契約している個人プランを洗い出し、法人プランへの集約を検討します。コストは、AIサービスの月額料金だけでなく、次のような要素を合わせて考えるとイメージしやすくなります。

月間のAIコスト＝「AI利用料」＋「重複・休眠アカウントの費用」＋「契約・請求管理にかかる工数コスト」

たとえば、以下のように仮定すると比較しやすくなります。

整理前：個人契約50アカウント（月額3,000円）＋管理工数月5時間（時給4,000円換算）＝月17万円
整理後：実利用者を精査した35アカウントを法人契約（月額3,000円）に集約＋管理工数月2時間＝月11万3,000円
差額：月5万7,000円

※上記はコストの考え方を示すための仮定例であり、実在するAIサービスの料金ではありません。実際に金額を掲載する場合は、各社の公式料金ページを確認し、出典を明記してください。

STEP5：従業員教育と定期レビュー

ガイドラインを作って終わりにせず、定期的な研修を実施しましょう。従業員のAIリテラシー向上にもつながり、安全な活用が定着しやすくなります。あわせて、利用者からのフィードバックを踏まえてガイドラインを見直すサイクルを組み込むことが大切です。

部門別に見るBYOAI対応のポイント

BYOAIへの対応は、部門によって注意すべきポイントが異なります。部門ごとの主なリスクと対策を整理します。

部門	主なBYOAIリスク	優先したい対策
情報システム部門	未承認ツールや外部連携の把握不足	利用実態の棚卸し、ID・権限・ログの一元管理
人事・労務部門	従業員や応募者の個人情報の入力	入力してよい情報の区分、就業規則・情報管理規程への反映
営業・マーケティング部門	顧客情報や未公開の販促施策の入力	顧客データの入力ルールの明確化
カスタマーサポート部門	問い合わせ内容に含まれる個人情報の入力	匿名化の徹底、承認済みAIツールの提供

情報システム、法務・リスク管理、人事などの関係部門が連携し、各部門の業務特性に応じてルールを具体化していくことが重要です。

BYOAIに関するよくある質問

Q1. BYOAIとシャドーAIは同じ意味ですか？

厳密には異なります。BYOAIは、企業が把握・許可している利用も含む広い概念です。一方シャドーAIは、そのうち企業が把握・許可していない利用を指します。詳しくは記事前半の「BYOAIとシャドーAIの関係」をご覧ください。

Q2. BYOAIとBYODの違いは何ですか？

BYODは私物デバイスの持ち込み、BYOAIはAIツール・AIサービスの持ち込みを指します。対象が「モノ」か「AI」かという点が異なります。

Q3. BYOAIを全面禁止すればリスクを防げますか？

禁止ルールを設けるだけで、未承認のAI利用まで完全に防げるとは限りません。ISOプロの調査では、20.6%が「利用状況を十分把握できておらず、シャドーAIが発生している可能性がある」と回答しています。この調査は全面禁止とシャドーAI発生の因果関係を検証したものではありませんが、企業にはルール策定だけでなく、利用実態の把握や承認済み環境の提供、教育を組み合わせた対応が求められます。