銀行におけるシャドーAI——従業員が情報システム部門を迂回する本当のコスト

要約

シャドーAIを理由とするSEC Form 8-K（項目1.05）の初の提出は、従業員が社会保障番号や生年月日を含む顧客の個人情報を公開LLMに入力したことが引き金でした。侵害もマルウェアもランサムウェアも関与していません。
シャドーAIは広く浸透しています。従業員の80%が未承認のAIツールを使い、企業のAI利用の89%はセキュリティチームから見えず、従業員の77%がプロンプトにデータを貼り付けています。
主なコストはコンプライアンス上のリスク、見えない支出、そして情報漏えいリスクです。シャドーAIの関与が大きい組織では、侵害対応コストが67万ドル上乗せされ、検知までの期間は中央値で247日に達します。
AIツールの遮断が機能しないのは、利用をなくすのではなく見えなくするだけだからです。公認の代替手段を用意すると、未承認の利用は89%減ります。
銀行がすべきことは、実際のAI利用を棚卸しし、漏えいリスクの高い主要ユースケースを統制し、シングルサインオン（SSO）、ロールベースのアクセス制御（RBAC）、監査ログを備えた監視可能な代替手段を導入することです。こうした機能はJinba Flowが規制業種の企業向けに提供しています。

2026年5月、Community Bankの親会社であるCB Financial Services, Inc.が、SECの項目1.05（サイバーセキュリティ開示項目）に基づくForm 8-Kをはじめて提出しました。対象となったインシデントには、ハッカーもランサムウェアも、従来の意味での侵害も存在しません。ある従業員が、非公開の顧客データ、すなわち氏名、社会保障番号、生年月日を、公開の大規模言語モデルに入力していた。インシデントの全容はこれだけです。侵入もマルウェアもなく、ただ従業員が仕事を速く進めようとして、銀行自身のシステムを迂回しただけでした。銀行は5月5日にこれを検知し、5月7日に重要性ありと判断、2026年5月11日にForm 8-Kを提出しています。これはおそらく、従業員が非公開の銀行データを公開LLMに入力したことによって重要性の判断と開示義務が生じた、初めてのケースであり、業界が必要としていたシグナルでもあります。シャドーAIはもはや生産性をめぐる脚注ではなく、取締役会レベルで扱う報告対象の事象になりました。

私たちは銀行や保険会社と、まさにこの課題に取り組んでいます。従業員がすでに無許可で使っているツールに対して、統制の効いた代替手段を用意する仕事です。Community Bankの提出は、大規模な規制業種の現場で導入の実態を見てきた私たちがすでに得ていた結論を裏づけました。シャドーAIのコストは、第一義的にはセキュリティのコストではありません。それはコンプライアンスのコストであり、検知されないまま過ぎた月数で測られるコストであり、そして銀行がAIリスクの管理に使っているツールがそもそもシャドーAIを見るようにできていないために積み上がっていくコストです。以下では、その実際の勘定と、証拠が実際に支持している唯一の対策を示します。

シャドーAIとは何か、そしてなぜ「名前を変えたシャドーIT」ではないのか。

シャドーITは旧来の問題でした。プロジェクト管理ツールやファイル共有サービスなど、情報システム部門が承認していないSaaSを従業員が勝手に導入する、というものです。シャドーAIはその後継にあたり、より速く、より深く組織を蝕みます。シャドーAIとは組織が承認も統制もしていないAIツールの利用を指し、その規模は従来のシャドーITをはるかに上回ります。従業員の80%が未承認のAIツールを使い、企業のAI利用のおよそ89%はセキュリティチームからまったく見えていません。

銀行にとって重要な違いは、データの流れ方です。シャドーITでは、承認されていないアプリがファイルを保管しているという話でした。シャドーAIでは、従業員が顧客データをプロンプト欄に直接打ち込みます。しかもその多くは、企業のID基盤の外にある個人アカウントからです。いまや生成AIは、法人から個人へのデータ移動の最大の経路であり、全転送量の32%を占めています。従業員の77%がプロンプトにデータを貼り付けており、そのうち82%は管理されていない個人アカウント経由です。アップロードされたファイルの40%には、個人を特定できる情報かカード情報が含まれています。これは銀行業務のかたわらにある仮定の話ではありません。Community Bankの開示を生んだ、まさにその経路です。

実際に発生する三つのコスト

コンプライアンス上のリスク——計算式を変えた開示

Community Bankの8-Kが重要なのは、業務の停止や財務的影響とは無関係に、データの機微性と量だけで重要性の判断が生じうるという前例をつくったからです。SECへの説明義務を負うのに、システム障害もランサムウェアの脅迫文も要りません。必要なのは、善意の従業員とブラウザのタブ一つです。

そこから波及するリスクは積み上がります。Community Bankの顧客基盤はペンシルベニア州南西部、オハイオ州、ウェストバージニア州、そしてニューヨーク州とマサチューセッツ州の一部に広がっており、この営業圏は連邦のOCCによる監督に加えてNYDFSの措置、さらにはプライバシーをめぐる集団訴訟の可能性まで開いてしまいます。従業員一人のプロンプトが、複数の法域にまたがる規制上の事案になるのです。

タイミングも事態を悪化させています。2026年、米国の銀行監督当局は2011年以来はじめてモデルリスク管理ガイダンスを改定しました。そして問題は、その適用範囲から何が外されたかです。連邦準備制度理事会のSR 26-2（2026年4月）は、モデルリスクのガイダンスを改定し、生成AIとエージェント型AIを明示的に適用対象外とし、従来型の定量的・非生成モデルのみを対象としました。ほぼ同じ時期に、OCCのBulletin 2026-13は、誰が承認したかにかかわらず、第三者のAIツールについて銀行が責任を負うと定めています。両者を併せて読むと、そこにあるのはガバナンスの空白です。銀行のなかで最も急速に伸びているAIツールの領域が、導入が加速するまさにそのタイミングで従来のモデルリスクの枠組みの外に置かれ、それでいて銀行は引き続きその全責任を負います。この隙間を設計したコンプライアンス責任者はいません。同じ四半期に二つの規制当局が別々の課題を解こうとした結果、生まれてしまったものです。

さらにEU AI Actが重なります。高リスク区分の義務には最大1,500万ユーロ、または全世界年間売上高の3%の制裁金が科され、Digital Omnibusによる延期の議論はあるものの2026年8月2日に拘束力が生じます。いずれにせよ、AIシステムの棚卸しが不完全であること自体がコンプライアンス上のリスクになります。EUに事業接点のある銀行にとって、「従業員がそうしたツールを使っていると知らなかった」は弁明になりません。それこそが違反です。

見えない支出——同じ機能に二重に払う

ここでの金銭的な負担は、ベンダーを問わず使える単一の金額として示せるものではありませんが（今回の材料からはそうした数字は出てきませんでした）、普及率を通じて測ることはできます。そしてその普及率が決定的です。AI利用者の78%が自前のツールを職場に持ち込み、法人アカウントからの生成AI接続の58%はシングルサインオンを経由せず、ChatGPTの企業利用の73.8%はライセンス契約した法人プランではなく個人アカウント上で動いています。つまり銀行は、自社の従業員が使っていない企業向けAIライセンスに支払い続けている一方で、その従業員は銀行から見えず契約上の保護も及ばない並行ツールに、自腹で（あるいは無料プランで）アクセスしている、という状態です。

誰も予算に計上しない重複です。調達部門が一つのプラットフォームを承認し、セキュリティ部門はライセンスどおりに利用が広がると想定し、実際の利用はまったく別の場所で、計測も計上もされないまま発生しています。これは企業のLLMトークンコストが見積もりにくいのと同じ、隠れコストの力学です。違うのは、ここでは支出が費目になる前から見えないという点だけです。

情報漏えいリスク——業界がついに明示的に値付けを始めたコスト

IBMの2025年版「Cost of a Data Breach Report」は、シャドーAIを情報漏えいの正式な区分としてはじめて扱いました。シャドーAIの関与が大きい組織では、侵害対応コストが67万ドル上乗せされ、インシデントの検知までに中央値で247日かかっています。247日は、インシデント対応の時間軸における誤差のような数字ではありません。流出した顧客データが手つかずのまま置かれる、一年の大半にあたる期間です。これとは別に、未承認のAIツール自体は、セキュリティ部門の誰かが気づくまで中央値で403日間稼働し続けています。

ツールへの支出を予算委員会に説明しなければならないリスク部門やコンプライアンス部門の責任者にとって、この検知の遅れこそが論拠になります。抽象的な「リスク態勢」の議論が、具体的な数字に変わるからです。現状維持のコストは、漠然とした不安ではなく、気づかれないまま過ぎた曝露の月数で測られます。すでに69%の組織が、従業員による禁止された生成AIツールの利用を疑っているか、その証拠をつかんでいます。またGartnerは、2030年までに企業の40%超がシャドーAIに関連したセキュリティまたはコンプライアンスのインシデントを経験すると予測しています。これはテールリスクではありません。むしろ基準となる発生率に近いものです。

「禁止する」という直感が失敗する理由

思いつきやすい対応、つまりファイアウォールでChatGPTを遮断し、方針を通達して終わりにするやり方は、データが「効かない」と示している対応でもあります。ただ、銀行がそれでもこの手を選ぶ理由は公平に述べておくべきでしょう。既知のツールを遮断するのは速く、安く、監査の場でコンプライアンス部門が示せる材料にもなります。ガバナンスらしく見えるのです。

この手が失敗するのは、需要がどこから来ているかを取り違えているからです。従業員が情報システム部門を迂回するのは悪意からではありません。公認の代替手段が——そもそも存在するとして——ブラウザに開いてあるツールより遅いか、出来が悪いからです。AIガバナンスの方針を何らかの形で持っている企業は37%にとどまり、自律型・エージェント型AIについて成熟したガバナンスモデルを持つ企業は5社に1社程度しかありません。方針がある場合でも、周知が機能していません。1万2,000人を超えるホワイトカラー従業員への調査では、60.2%が職場でAIを使った経験がある一方、会社の公式なAI方針が存在すること自体を知っていたのは18.5%でした。従業員が存在を知らないルールは、運用できません。

禁止は利用を止めません。止まるのは「見える利用」だけです。職場でAIを使う人の45%は、上司に伝えずに使っています。生成AIアプリの乱立は、遮断で管理しきれる水準をとうに超えました。Netskopeは2025年半ばまでに1,550を超える個別の生成AI系SaaSを捕捉しており、これは年初の約5倍です。平均的な企業はいま、公認アプリ490に対して約1,200の未承認アプリを抱えています。URLを一つ遮断しても、同じ従業員は1,550の候補のうち次のツールへ移るだけです。需要は消えません。ただ見えにくくなるだけで、それはOCCの検査やSECへの提出を控えたコンプライアンス部門が必要とするものの正反対です。

すでに起きていることを統制する

銀行が実際に直面しているガバナンスの問いは、もはや「AIを許可すべきか」ではありません。次の8-Kが出る前に、従業員がすでにやっていることを管理するのか。それとも事後に発見し続けるのか。証拠が指し示す打ち手は一つで、効果の大きさが際立っています。公認のAIツールを正式に用意すると、未承認の利用は89%減ります。これは今回の材料のなかで最も投資対効果の高い施策で、検知ツールや方針の徹底を大きく上回ります。そしてこの数字は、ガバナンスの目的そのものを組み替えます。目指すべきはAI支援に対する従業員の需要をなくすこと（その需要は消えません）ではなく、監視できる場所へ流し込むことです。

これは聞こえるほど難しい話でもありません。リスクが一点に集中しているからです。6つのアプリケーションが、生成AI経由の機微データ漏えいリスクの92.6%を占めており、漏れる中身の4分の3近くはソースコード、法務文書、財務データです。リスクの大半を消すために、銀行が1,550のアプリケーションを取り締まる必要はありません。必要なのは、漏えいの多い少数のユースケース（文書レビュー、契約分析、顧客向け文書の下書き）を、置き換える対象の公開ツールと同等以上の速さで、統制された仕組みの中から使えるようにすることです。上位6つのユースケースを公認の代替手段で解けば、乱立の問題は扱える範囲の裾野に縮みます。

この打ち手を軸にした対策プログラムは、実務では次のようになります。

まず、実態に即したAIの棚卸しをつくる。承認済みベンダーの一覧ではなく、従業員が今日どのツールを使っているかの実際の集計です。SSOのログに残らない個人アカウント経由の利用も含めます。現状、企業の86%はAIツールとの間でデータがどう流れているかを把握できておらず、この工程だけでも方針と実態のずれがたいてい表に出てきます。

乱立ではなく、集中しているところにリスク評価をかける。ソースコード、法務データ、財務データが貼り付けられている「6アプリ相当」の領域を優先します。統制の手間を追加したときに、リスクの低減が最も大きく返ってくるのがこの領域です。

需要がすでにあるところに、統制された代替手段を用意する。対象は、文書処理やKYCのワークフローから、契約チェック、融資ファイルの点検、コンプライアンス確認までです。汎用のチャットボットを配って利用が移るのを期待する、というやり方ではありません。銀行にとってこれは、確率的なエージェントではなく決定論的なワークフローを採用するのと同じ理屈です。公認ツールが非公認ツールにできることをできないとき、従業員は情報システム部門を迂回します。機能で並ぶことは、選べる要件ではありません。

監査ログ、ロールベースのアクセス制御、シングルサインオンを、ツール自体に組み込む。可視性が、従業員が公認の選択肢を思い出すかどうかに左右されないようにするためです。法人アカウントからの生成AI接続の58%がすでにSSOを迂回している以上、ID連携は後付けではなく設計要件として扱うべきです。そして、そこで得られる統制は、すべての銀行に必要な7つのガバナンス構成要素の一部として位置づけます。後から取り付けた関門としてではありません。

点検の対象をツールだけでなくIDにも広げる。ChatGPTの企業利用の73.8%が個人アカウント上で動いている以上、法人ライセンスだけを確認するユーザーアクセス点検では、実際の利用の大半を取りこぼします。

方針を、従業員が実際に目にする場所で伝える。認知率18.5%は、ガバナンスの失敗であると同時に周知の失敗です。誰も知らない方針は、何も統制しません。

これは、銀行・保険の顧客企業で同じパターンが繰り返されるのを見てきた私たちが、Jinbaに組み込んだ設計そのものです。KYC処理、契約レビュー、コンプライアンス確認のワークフローがオンプレミスで動き、実行を一件ずつ記録し、Active DirectoryとSSOを通じてロールベースのアクセス制御を効かせます。その結果、規制当局が求める監査証跡は、事後に組み立て直すのではなく、すでにそこにある状態になります。評価対象を絞り込むCISOやコンプライアンス責任者にとって、これは企業向けAIコンプライアンス基盤の選定ガイドを、一つの設計上の選択に煮詰めたものだと言えます。統制すべきは許可ではなく、ワークフローです。要点は製品そのものではなく、その製品が答えようとしているパターンのほうにあります。実際に使えるだけの速さを持つツールを従業員に渡せば、未承認利用の89%減は希望的な予測ではなくなります。公認の選択肢が速さでシャドー側に負けなくなったときに、実際に起きることです。

正直な反論——統制されたツールにも相応の負担がある

この進め方に対する最も強い反論は、禁止のほうが理屈として優れているというもの（これはデータが決着をつけています）ではありません。銀行の規模で統制されたAIツールを立ち上げるには、方針の通達にはかからない実際のコストと時間がかかる、という反論です。レガシーの勘定系、ID基盤、既存のコンプライアンス業務との統合には、エンジニアリングの工数が要ります。すでに少人数でコンプライアンス部門や情報システム部門を回している銀行は、新しい基盤を評価し、調達し、導入する余力を捻出しなければなりません。この資金と人員の投入は、各社が着手を遅らせる正当な理由になります。

この反論はもっともですが、代替案の実際のコストと突き合わせると持ちこたえません。現状維持は無料ではないからです。気づかれないまま曝露が続く247日、シャドーAIが絡んだ場合に上乗せされる67万ドル、そして従業員が役に立とうとしただけでSECへの提出が生じるという、いま現実になった前例。これが現状維持の中身です。統制された代替手段の統合コストは、上限が見えて計画できるコストです。シャドーAIのコストは上限がなく、しかも他人の都合、たいていは規制当局か原告側弁護士の都合で発覚します。

次の局面——エージェント型AIは、良くなる前にまず事態を悪化させる

ここまでの話は、人間が読んでから動く文章を生成するAIについてのものです。エージェント型AI、つまり下書きを出すだけでなく自律的に行動するツールは、同じリスクの形をより速い速度で走らせます。そして両当局はこれを名指しで指摘しました。SR 26-2とOCCのガイダンスがエージェント型システムを取り上げているのは、顧客データへの認証情報を持つ自律エージェントが、人間の送信操作を待たないからです。開示に至る事象が、ワークフローの中で自動化されてしまいます。自律型・エージェント型AIについて成熟したガバナンスモデルを持つ企業が5社に1社程度しかないことを踏まえると、銀行は平均して、いまSECへの提出を生んだ生成AIの問題よりも、この領域への備えが薄いことになります。いまエージェント型の自動化を構築・導入している金融機関は、業界がまだほとんど値付けできていないリスク領域について、ガバナンスの下限を自ら定めていることになります。

これが正しいとすれば、次に来るもの

シャドーAIのコスト構造が、コンプライアンス上のリスクと見えない支出と情報漏えいリスクの合計であるなら——そして証拠は、どれか一つではなく三つが同時に効いていると示しています——各行のリスク委員会の前にある判断は、もう一本方針を書くかどうかではありません。次のインシデントが問いを突きつける前に統制された代替手段へ投資するのか、それとも突きつけられてからにするのか、です。Community Bankの8-Kは、静かに書き留めて仕舞い込むべき例外ではありませんでした。それは、普及の数字が示すとおりすでに多くの銀行の内側で進行していて、記録も報告もされないまま自分の提出日を待っているパターンの、最初の一例でした。

よくあるご質問

シャドーAIの利用は、自動的にSECへの開示義務を生じさせるのでしょうか。自動的にではありませんが、Community Bankの提出は「生じうる」ことを示しました。決め手になったのは露出したデータの機微性（社会保障番号と生年月日）であって、露出の経路ではありません。重要性の判断に必要なのはハッキングの有無ではなく、非公開の顧客データが監視されていない経路で外部に出たかどうかです。

統制されたツールを整備するまでの暫定策として、ネットワークレベルでAIツールを遮断するのは説明のつく対応でしょうか。管理下の端末で目に見えるトラフィックは減るかもしれませんが、個人アカウント経由の利用には手が届きません。そしてそこがすでに高リスクな活動の大半を占めています（たとえばChatGPTの企業利用の73.8%）。ネットワーク遮断は、ガバナンスの解そのものではなく、部分的で一時的な措置として位置づけてください。

地域密着型の小規模銀行と、大手の地方銀行や全国規模の銀行とでは、シャドーAIのリスクはどう違うのでしょうか。仕組みは同じですが、露出する範囲は従業員数とデータ量に比例して広がります。大規模行ほど従業員が多く、未承認のAI利用の回数も増え、顧客基盤も複数州・複数法域にまたがります。Community Bankの複数州にわたる営業圏が連邦当局に加えてNYDFSまで呼び込んだのと同じ形で、規制上のリスクが広がるということです。

コンプライアンスやリスク管理の責任者が今四半期に取るべき、最初の具体的な一歩は何でしょうか。方針をつくる前に、AI利用の棚卸しをつくることです。従業員がどのツールをすでに使い、どのデータがそこを通っているかを正確に把握しないままでは、リスク評価も統制された代替手段の導入も、推測の上に組み上げることになります。