こんにちは。高知県高知市で情報処理支援機関として企業さまに伴走支援を提供している、株式会社ICUの川島です。

ある会社で、こんな場面がありました。社員が個人のGoogleドライブに見積書を保存して、そこから取引先に共有していたのです。会社としてルールを決めていなかったので、本人にとっては「便利だからそうしている」だけのことでした。

こんなご相談がありました。

「社員が私物のスマホで取引先とLINEのやり取りをしているんですが、これって大丈夫でしょうか？」

結論としては、個人のアカウントやサービスで業務データを扱っている状態は、早めに見直したほうがよいです。こうした状態は「シャドーIT」と呼ばれていて、会社が気づかないうちに情報管理の穴になっていることがあります。

会社が知らないところで使われている個人サービス

「シャドーIT」とは、会社が正式に導入したわけではないITサービスやツールを、社員が個人の判断で業務に使っている状態のことです。

個人のGoogleドライブに業務ファイルを保存している。私用のDropboxで社内資料を共有している。取引先との連絡は個人のLINE。フリーのファイル転送サービスで大きなデータを送っている。どれも、中小企業の現場ではよく見る光景です。

悪意があるわけではありません。会社に便利なツールがないから、自分で工夫しているだけです。ただ、その「工夫」が積み重なると、会社のデータが社員個人のアカウントにどんどん溜まっていきます。

個人アカウントに業務データがある怖さ

シャドーITの問題は、会社の管理が一切及ばないところでデータが動いている点です。

個人のアカウントですから、社員は自宅のPCやスマホからいつでもアクセスできます。オフィスにいなくても、取引先の情報や社内資料を手元で見られる状態です。

そして最も見落とされやすいのが、退職時の問題です。会社が契約しているサービスなら、アカウントを停止すればデータへのアクセスを遮断できます。しかし、個人アカウントに入ったデータは、会社側には消す手段がありません。退職した元社員の個人ドライブに、顧客リストや見積書がそのまま残り続けることになります。

私は、ここが中小企業にとって一番怖い点だと感じています。「誰が何を持ち出しているか把握できない」という状態は、問題が起きてからでないと気づけません。

「使うな」ではなく、何を入れないかを決める

「個人のサービスを一切使うな」と言うだけでは、現場は回りません。社員が個人ツールを使っているのは、たいてい会社側に代わりになるものがないからです。

最初にやるべきことは、実態の把握です。社内で業務に使われている個人のサービスを確認してみてください。Googleドライブ、Dropbox、LINE、無料のファイル転送サービスなど、「便利だから使っている」ものを聞き取るだけでも状況が見えてきます。

把握できたら、次は仕分けです。社員が使っているサービスの中に業務に役立つものがあれば、会社として正式に導入を検討する。顧客情報のように外に出てはいけないデータについては、「個人サービスには入れない」というラインを引く。私は、禁止から入るより「何を会社で用意し、何を入れてはいけないか」を具体的に示すほうが、現場は動きやすいと考えています。

前回の記事では、Geminiの個人版と仕事版（Google Workspace）の違いについて書きました。AIに限らず、業務で使うサービスが「個人の契約」なのか「会社の契約」なのかを意識することが、データ管理の出発点になります。

問題が起きる前に、状況を把握しておく

シャドーITは、悪意ではなく「便利だから」で広がります。だからこそ、禁止よりも利用実態の把握から始めるのが現実的です。誰が何を使っているか、そこにどんなデータが入っているか。この2つがわかれば、会社として導入すべきものと、線引きすべきものが見えてきます。

社員が自分で見つけてきた便利なツールは、会社の仕組みに取り込むチャンスでもあります。まずは実態を確認するところから始めてみてください。