- 生成AIを使う中小企業の87.7%が、機密情報の入力に強い不安を感じている
- 一方で自動検知・マスキングなどの技術的対策を入れている企業は11.4%だけ
- 利用ルールが「ない・形骸化している」企業は74.6%にのぼる
- 会社が把握していない「シャドーAI」は、利用企業の65.1%で確認された
- 無料版と法人プランの違いを知るだけで、リスクの大部分は下げられる
「この資料、AIに読ませて要約したい。でも顧客名が入っているし、大丈夫だろうか」。そう手が止まった経験はありませんか。実は、同じ不安を抱えている中小企業は87.7%もいます。ところが対策まで進んでいるのは、そのうちのごく一部でした。何が足りていないのかを見ていきます。
中小企業の87.7%が「機密情報を入れるのが怖い」
2026年8月31日、山口県のヤマネックス株式会社が「中小企業の生成AI利用実態調査2026」を公開しました。
調査は2つに分かれています。1つ目は全国の従業員300名以下の中小企業で働く人と、個人開発者・フリーランスエンジニアを対象にした調査です（有効回答114名、2026年7月10日実施）。
2つ目は中国地方5県で、勤務先のIT導入に関わる人を対象にした調査です（有効回答150名、2026年7月13日〜15日実施）。
不安の中身は「やや」より「非常に」が多い
会社や顧客の機密情報を生成AIに入力することについて、87.7%が強い不安を感じていると答えました。
内訳を見ると、「非常に不安」が52.6%、「やや不安」が35.1%です。つまり半数以上が、なんとなくの心配ではなく、はっきりとした恐怖として受け止めています。
ちなみに帝国データバンクが2026年3月に約1万社を対象に行った調査でも、生成AI活用の懸念1位は「情報の正確性」（50.4%）でした。精度と安全性、この2つが日本企業の二大不安になっています。
不安と対策の差は76ポイント｜3社に1社が「何もしていない」
問題は、不安の大きさと対策の量が釣り合っていないことです。
入力してよい情報の範囲を決めている企業は50.9%。ここまではまずまずです。
しかし、機密情報を自動で見つけて隠す仕組みを持つ企業は11.4%しかありません。不安を感じている87.7%との差は、実に76ポイントです。
さらに「特に対策はしていない」と答えた企業が33.3%。3社に1社は、丸腰のまま生成AIを使っていることになります。
ルールがあっても守られていない
ルール面はもっと深刻です。「ルールがない」が45.6%、「ルールはあるが形骸化している」が28.9%。合わせて74.6%が機能していない状態でした。
形骸化とは、規程は存在するのに誰も読んでいない、あるいは現場の使い方に合っていないという意味です。紙の上だけの安全対策は、事故を止めてくれません。
実際、機密情報の入力リスクが「ある」と答えた人は47.4%。自分が入力したことがある人が7.9%、周囲が入力しているのを見た人が11.4%、「状況によっては入力しかねない」が28.1%でした。
興味深いのは、ルールがない・形骸化している層ではこのリスクが55.3%に跳ね上がり、明確なルールがある層では26.9%まで下がる点です。ルールの有無だけで、リスクは約2倍変わります。
会社が知らないうちに使われる「シャドーAI」
中国地方の調査では、生成AIを使っている企業（83社）のうち65.1%でシャドーAIの実態が確認されました。
シャドーAIとは、会社が認めていない生成AIサービスを、従業員が個人の判断で業務に使っている状態を指します。個人アカウントのChatGPTに営業資料を貼り付ける、といった行為です。
悪意はありません。むしろ「早く仕事を終わらせたい」という真面目さから起きます。だからこそ、禁止令だけでは止まりません。
この流れは国も認識しています。IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威 2026」では、「AI利用に関するサイバーリスク」が初登場で3位に入りました。ランサムウェア、サプライチェーン攻撃に次ぐ位置づけです。
実際に情報が漏れるのはこんな場面
抽象的な話だとピンとこないので、具体的な場面を3つ挙げます。
ある製造業の営業担当が、取引先から届いた見積依頼書をそのままAIに貼り付けて、返信文の下書きを作らせました。書類には取引先の社名、担当者名、単価、発注予定数量がすべて載っていました。返信は3分で完成しましたが、他社の価格情報が外部サービスに渡ったことになります。
別の会社では、経理担当者が月末に数百件の請求書データを整理していました。表計算ソフトの関数がわからず、社員番号と口座番号を含む表をAIに丸ごと貼って「並べ替えて」と頼みました。作業は10分で終わりました。
3つ目はエンジニアの例です。動かないコードの原因を探すため、AIにソースコードを貼り付けました。そのコードには、テスト用に直書きしたAPIキーが残っていました。2023年に報じられた韓国サムスン電子の事例でも、社内利用を解禁したわずか20日間で複数の機密情報が入力されています。
共通しているのは、誰も悪いことをしていない点です。事故は「便利に使えた瞬間」に起きています。
無料版と法人プランは何が違うのか
ここが多くの中小企業で誤解されている部分です。「生成AIに入れた内容は必ず学習される」と思い込んでいる人が少なくありません。
法人プランは既定で学習に使われない
主要サービスの法人向けプランは、入力内容をモデルの学習に使わないことを明示しています。ChatGPTのBusiness以上、Claudeのチーム向けプラン以上、Google WorkspaceのGeminiが該当します。
各社ともSOC 2 Type II（外部監査によるセキュリティ認証）を取得しています。API経由の利用も、原則として学習には回されません。
逆に言えば、リスクが高いのは個人の無料アカウントを業務に使っているケースです。会社として月額数千円のプランを配るだけで、入り口の穴はかなり塞げます。
それでも残るのが「入力そのもの」の問題
ただし法人プランは万能ではありません。学習に使われなくても、社外のサーバーに機密情報を送っている事実は変わらないからです。
そこで出てくるのが、送信前に個人情報や社名を自動で検知して隠す仕組み、いわゆるDLP（データ持ち出し防止）系のツールです。今回の調査で「あれば使いたい」の1位になったのが、まさにこの機密情報の自動検知・マスキング（68.4%）でした。
つまり現場が欲しがっている機能と、導入済みの11.4%との間に、大きな空白があります。
日本の中小企業にとって何を意味するのか
この調査結果は、日本特有の構造的な課題を映しています。
帝国データバンクの調査では、生成AIを業務活用している企業は34.5%（2024年6月は17.3%）と2年でほぼ倍増しました。ただし内訳を見ると、大企業46.5%に対して中小企業は32.4%。14ポイントの差があります。
差が生まれる理由は、人の問題が大きいようです。中国地方の調査では「社内外ともにAI・DXを推進できる人材・体制がない」が43.3%で最多。専任の担当者や部署がある企業は、わずか7.3%でした。
情シス部門が存在しない会社では、セキュリティ対策を考える人がそもそもいません。だから不安だけが積み上がり、対策が11.4%で止まります。
実際、外部に求める支援の1位も「セキュリティ対策まで含めて任せられるAI環境」（24.7%）でした。中小企業が求めているのは高機能なAIではなく、考えなくても安全に使える状態です。
なお、今回の全国調査は有効回答114名と規模が大きくありません。傾向をつかむ材料として読むのが適切でしょう。それでも、中国地方150名の調査と同じ方向を指している点は見逃せません。
今日からできる3つのこと
- 実態を数える：誰がどのAIを使っているか、匿名アンケートで1回だけ聞く
- 公式の受け皿を作る：禁止する前に、法人プランのアカウントを配る
- 入れてはいけない情報を3つに絞る：顧客名・口座情報・未公開の資料。長い規程より覚えられる3行が効きます
よくある質問（FAQ）
Q1. 無料版の生成AIは業務で使ってはいけませんか？
禁止する必要はありませんが、機密情報を含まない作業に限るのが安全です。公開情報の要約や、一般的な文章の言い換えなどが該当します。顧客名や社内資料を扱うなら法人プランに切り替えてください。
Q2. 学習に使われない設定にすれば安心ですか？
入り口のリスクは下がりますが、社外のサーバーにデータを送っている点は変わりません。契約書や個人情報など、持ち出しが禁じられている情報は設定に関係なく入力しないのが原則です。
Q3. 社内にIT担当者がいません。何から始めればいいですか？
まずは「入力してはいけない情報リスト」を3項目だけ作り、朝礼で共有するところからで十分です。ツール導入はその後で構いません。ルールがあるだけでリスクが約半分になる、という調査結果があります。
Q4. 社員がこっそりAIを使っているようです。どう対応すべきですか？
叱るより先に、なぜ使ったのかを聞いてください。多くは業務を早く終わらせたかっただけです。公式に使える環境を用意すれば、シャドーAIは自然に減っていきます。
Q5. 中小企業向けの支援制度はありますか？
IT導入補助金など、業務効率化ツールの導入を支援する制度が複数あります。対象や条件は年度ごとに変わるため、公募要領で最新情報を確認してください。
まとめ
- 中小企業の87.7%が機密情報の入力に強い不安を感じている（「非常に」が52.6%）
- 自動検知・マスキングを導入済みは11.4%。不安との差は76ポイント
- ルールが「ない・形骸化」の企業は74.6%、無対策は33.3%
- ルールがあるだけで、機密入力リスクは55.3%から26.9%へ下がる
- シャドーAIは利用企業の65.1%で発生。IPAも脅威3位に位置づけた
- 法人プランなら入力は既定で学習に使われない。まずはここから
次のアクションとして、自社で使われている生成AIを匿名アンケートで一度だけ棚卸ししてみてください。実態が見えれば、必要な対策は自然に絞り込めます。
参考文献
- 生成AIを使う中小企業の87.7%が機密情報の入力に「強い不安」（ASCII.jp、2026年8月31日）
- 中小企業の生成AI利用実態調査2026（ヤマネックス株式会社 プレスリリース）
- 生成AIに関する企業の動向調査（2026年3月）｜帝国データバンク
- 情報セキュリティ10大脅威 2026｜IPA 情報処理推進機構
- 中小企業のAI等の利活用に係る実態調査（2026年3月）｜中小機構
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
