不安87.7%に対策11.4%。九州の中小企業が生成AIを禁止する前に整える可視化

「うっかり顧客名を入れてしまったらどうなる」と、現場がAIを使うたびにモヤモヤしている——そんな声を、大分の中小企業でもよく聞きます。2026年9月2日、ヤマネックスが公開した全国114名調査では、生成AIを業務で使う人の87.7%が機密情報入力に「強い不安」を感じる一方、自動検知・マスキングの仕組みを持つのは11.4%にとどまりました。この記事では、禁止より先に「誰が何を使っているか」を見える化する第一歩を整理します。

—-

9月2日の調査が示す「不安9割・対策1割」のギャップ

ヤマネックスは2026年8月31日、中小企業の生成AI利用実態調査を2本公開しました。全国の中小企業社員・エンジニア114名（2026年7月10日実施）を対象にした調査①では、機密情報入力への不安は87.7%（非常に52.6%、やや35.1%）にのぼります。一方、機密情報を自動で検知・マスキングする仕組みがあるのは11.4%。33.3%は「特に対策はしていない」と答えています。

ルールの有無も深刻です。生成AIの利用ルールが「ない」が45.6%、「あるが形骸化している」が28.9%で、合計74.6%が運用が機能していない状態です。対策として多いのは「入力してよい情報の範囲を定めている」50.9%ですが、これはあくまで人の判断に依存します。ルールがあっても、入力リスクを感じる層は26.9%にとどまりますが、ルールなし・形骸化層では55.3%と約2倍。紙のルールだけでは、現場の「うっかり」を止めきれない実態が数字に表れています。

中国地方5県150名（2026年7月13〜15日）の調査②は、九州に隣接する地域の参考になります。AI・DXを推進できる人材・体制が「社内外ともにない」と答えたのは43.3%で、専任担当者・部署があるのは7.3%だけ。生成AIを利用している83社のうち65.1%に、会社が認めていない・ルールのない利用（シャドーAI）の実態があり、54.2%が機密情報を「入力している」または「入力しかねない」と回答しています。大分でも専任情シスがいない会社は珍しくなく、全国の73%がシャドーAIを管理できていないという調査（別記事でも触れています）と重なります。今日の論点は「禁止」ではなく、見えない利用を放置しないことです。

—-

禁止が隠れ利用を増やす——可視化と線引きの比較

シャドーAI対策でよく聞くのは「使わせない」方針です。しかし、アクト社の2026年5月調査では、現場社員の73.1%が会社非公認のAIを使っており、約9割が「恐怖心を抱えながら」利用していると報告されています。禁止は表面の利用を減らしても、報告されない利用を増やしやすい。経営判断としては、リスクをゼロにするより、どこまで許容し、どこを機械的に止めるかを決める段階に入っています。

今日やること（3分）：社内の生成AI利用について、「誰が」「どのツールを」「どんな業務で」使っているか、口頭で3人に聞いてメモする。答えがバラバラなら、それ自体が可視化の必要性です。

次の4項目で、よくある方針を整理します。

1. 全面禁止：導入コストは低いが、隠れ利用と不満が増えやすい。情シスが1人の会社では監視も教育も追いつきにくい
2. ルール整備のみ：社内規程と研修で始めやすいが、調査①のとおり形骸化しやすく、入力その瞬間は止められない
3. 可視化＋許可ツール：利用ログ・申告チャネル・代替環境をセットにする。現場の効率化欲求を潰さず、経営が把握できる
4. 技術的ゲート：送信前のマスキングや法人契約付きAI環境。11.4%しか持たない層が目指す先だが、小さく試す余地はある

大分県とIPAが2026年3月にDX・AI活用とセキュリティ強化の連携協定を締結した背景にも、デジタル化とリスク管理の両立があります。ランサムウェアで身代金を払っても4割は復旧できないという話（別記事参照）と並べて考えると、AI起因の情報漏えいも「起きてから」では遅い類のリスクです。2026年3月に公表された経済産業省・総務省のAI事業者ガイドライン第1.2版では、AI利用者である事業者にもガバナンス責任が明記されています。「自社でAIを開発していないから関係ない」では済まない時代です。

• 業務で使われている生成AIツール名を、部署ごとに1枚のメモに書き出せた
• 顧客名・単価・未公開情報をAIに入れてよいか、社長と現場で言葉が一致している
• 個人アカウント（無料版）での業務利用がないか、正直に確認できた
• 漏えいが疑われたとき、誰に報告し、どう止めるかの連絡先が決まっている
• 許可するなら、法人契約・ログ取得・入力制限のどれを優先するか、優先順位を1行で書いた

—-

情シス1人でも始められる「可視化の3段階」

第一段階は、禁止ではなく「申告しても怒られない」状態を作ることです。シャドーAIの多くは、業務効率化のための善意から生まれます。利用目的・ツール名・困っている業務を匿名でも報告できる窓口を1つ設けるだけで、IT部門の把握率は上がります。大分の社会福祉法人で2026年6月に約1,990万円のニセ社長詐欺被害が報じられたように、連絡手段のすり替え（メールからLINEへ）一つで確認が抜ける事例もあります。AIも同様で、「便利だから別アプリで」とルートが増えるほど見えなくなります。

第二段階は、許可ツールの明示です。調査①で「あれば利用したい仕組み」の1位は「機密情報の自動検知・マスキング」68.4%。中国地方調査②では「セキュリティ対策まで含めて任せられるAI利用環境」が外部支援の1位24.7%でした。中小企業に必要なのは、高機能な監視より「使っていい場所」の提示です。Microsoft Copilot、Google Workspaceの生成AI、国内クラウドの法人プランなど、契約主体が会社になる選択肢を1つ決め、個人アカウント利用を段階的に減らす。予算が限られる場合は、入力禁止リスト（顧客名、見積単価、人事評価、未公開の新商品情報）をA4一枚にまとめるだけでも、現場の判断は揃いやすくなります。

第三段階は、技術的な関所です。11.4%の層がすでに取り組む領域で、ゲートウェイ型の送信前マスキングや、ゼロリテンション設計の社内AI環境などが選択肢に入ります。全部を一度に入れる必要はありません。例えば、経理・営業・開発のうち、外部に出すデータが多い部署から法人環境を試す。IT担当がひとりの会社では、外部のディレクション支援で要件整理から入る方法もあります。株式会社コラボでは、大分の中小企業向けに、AI活用とセキュリティの線引きを壁打ちで整理する相談も行っています。ツール選定の前に「何を見える化したいか」を決めるほうが、費用対効果は高くなります。

—-

まとめ：不安を数字で共有し、禁止の前に「見える化」を

1. 87.7%が不安を感じているのに、技術対策は11.4%——ギャップがそのまま漏えいリスクになる
2. 中国地方では65.1%にシャドーAIの実態。九州・大分も「禁止だけ」では追いつかない
3. 今日の一手は、3人に聞いて利用実態をメモし、許可ツールと入力禁止リストのたたき台を1枚作ること

次の一手：社内で使われているAIツール名を書き出し、社長が「個人アカウントの業務利用」を認めるかどうかだけでも決める。

—-

参考：ヤマネックス株式会社プレスリリース、2026年8月31日／独立行政法人情報処理推進機構と大分県の連携協定、2026年3月19日