はじめに
先日、ある上場企業の方と話していて、一つの「問い」をもらいました。
「社員が作った業務の仕組みを、その社員が管理できなくなったとき、誰が引き継ぐのか」。
その会社には、情報システムの専門部署があります。
それでも、簡単には答えの出ない、深い問いでした。
現場では、社員が次々と便利な仕組みを生み出していく。
そのスピードに、一つの部署だけで追いつくのは難しい。
専門部署があってさえ、そうなのです。
それだけ、本質を突いた問いだと感じました。
私はこの問いを、自分の会社に持ち帰りました。
私が経営しているのは、7人の小さな会社です。
専門部署はありません。
専門部署がある会社ですら悩む問題を、専門部署がいない中小企業は、どう考えればいいのか。
考えるほど、ある事実に行き当たりました。
多くの中小企業の経営者は、この問題があること自体に、まだ気づいていません。
一方で、社会全体では、この問題はすでに大きく取り上げられ始めています。
情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威 2026」では、AIの利用をめぐるリスクが、組織向けの脅威として初めて3位に入りました。
2026年5月には、警視庁が公式のSNSで、組織が管理していないAIの業務利用に注意を呼びかけています。
さらに、ガートナージャパンが2026年6月に発表した調査では、こうしたAIに有効な対策を取れていないと答えた国内企業が、7割を超えました（出典：IPA「情報セキュリティ10大脅威 2026」、警視庁公式X 2026年5月、ガートナージャパン 2026年6月）。
つまり、大企業でさえ、まだ答えを出せていません。
それくらい、新しくて、難しい問題なのです。
だから、この記事を書くことにしました。
「うちは小さい会社だから、AIの管理なんて大企業の話」。
そう思っている経営者にこそ、読んでほしいのです。
私の会社では、社員にAIを自由に使ってもらっています。
文章を書く、翻訳する、資料をまとめる。
それだけではありません。
今は、AIに手伝ってもらえば、社員が自分で簡単な業務ツールまで作れる時代になりました。
これは、とてもありがたいことです。
社員が自分の頭で工夫して、仕事を楽にしていく。
歓迎したい流れです。
でも、最初の問いに戻ります。
その社員が辞めたら、その仕組みは誰が面倒を見るのか。
いや、辞めなくてもいい。
その社員が、急な病気やケガ、家族の介護、産休や育休で、しばらく会社に来られなくなったら。
その仕組みは、止まってしまわないか。
そして、会社の大事な情報を、外に送っていないか。
先に言っておきます。
これは「危ないから禁止しろ」という話ではありません。
その逆です。
社員に安心して「AI、どんどん使っていいよ」と言えるようにするための話です。
社員が良かれと思って作ったAIの仕組みは、禁止するでも野放しにするでもなく、「会社が見える場所に置く」ことで管理できます。
専門部署のない中小企業でも、今日から踏める第三の道です。
この記事では、7人の会社で実際に向き合っている手順を、順にご案内します。
この記事では「社内資産AI」と呼びます
先に、言葉の話をさせてください。
呼び方一つに、この記事の立ち位置が表れるからです。
会社が知らないところで社員が作る、AIを使った仕組み。
これは業界では「シャドーAI」と呼ばれます。
英語の shadow IT、つまり情報システム部門が把握していない社内の仕組み、という言葉から来ています。
ここで大切なのは、社員は隠しているのではなく、良かれと思って作っているだけ、という点です。
ただ、会社がそれを把握できていない。
それだけのことです。
そして情シスの現場では、これを「野良AI」と、少し皮肉を込めて呼ぶこともあります。
「野良」とは、飼い主のいない、管理されていない、という意味です。
でも、私はこの言葉に引っかかります。
「シャドーAI」も「野良AI」も、管理する側が、把握できていないものを見下ろす言葉です。
作った人の工夫や主体性は、そこに一切込められていません。
自分が一生懸命作った仕組みを「野良」と呼ばれたら、作った社員はどう感じるでしょうか。
だから私は、この記事では別の呼び方をします。
作った人への敬意を込めて、「社内資産AI」と呼びます。
「野良」が捨て置かれたものなら、「資産」は会社が大切に守るべきものです。
この呼び方なら、作った社員には「あなたが作ったのは資産だ」という敬意になります。
経営者には「資産なら、把握して管理して当然だ」という行動の理由になります。
以降、この記事では「社内資産AI」と呼んでいきます。
いま中小企業で起きている、2種類のAI
社内資産AIの問題は、実は1種類ではありません。
よく語られるものと、その一歩先があります。
一つ目は、社員が個人のAIに、会社の情報を打ち込むケースです。
顧客リストをAIに貼って「要約して」と頼む。
見積書をAIに読ませる。
こういう使い方です。
入れた情報が、外のサーバーに残る可能性があります。
これは、世間でよく言われている話です。
実際、総務省の令和7年版情報通信白書では、国内企業の生成AIの業務利用率は55.2%に達しています。
使うのが当たり前になった一方で、ルールは追いついていません。
二つ目が、この記事の主役です。
社員が、AIの力を借りて「仕組み」を作るケースです。
スプレッドシートを自動で集計するツール。
問い合わせを自動で振り分ける仕組み。
こういうものを、現場の社員が自分で作れるようになりました。
なぜ、これが中小企業で先に起きるのか。
大企業では、こうした仕組みは専門の部署が作ります。
でも中小企業では、現場の社員が自分で作ってしまう。
「作る」という行為が、AIによって誰にでもできるものになったからです。
この「作る」ほうの問題は、すでに世界で表面化し始めています。
クラウドセキュリティの業界団体CSA（クラウドセキュリティアライアンス）が2026年4月に発表した調査では、企業の82%が「この1年で、自社が把握していなかったAIエージェント（人が指示しなくても自動で動くAIの仕組み）が、社内で動いているのを見つけた」と答えています（出典：Cloud Security Alliance, 2026年）。
把握していないうちに動いている。
これは、もう特別な会社の話ではありません。
この二つ目は、リスクの質が違います。
一つ目が「気づかないうちに、情報が外に出ていく」問題だとすれば、二つ目は「会社の業務そのものに、その仕組みが食い込んでいく」問題です。
だからこそ、退職や、権利や、管理の話になります。
例えるなら、一つ目は「会社の書類を外に持ち出す」問題です。
二つ目は「会社の中に、その人しか開けられない部屋が、少しずつ増えていく」問題です。
なぜ、大企業のやり方を真似できないのか
社内資産AIの対策を調べると、たくさんの記事が出てきます。
でも、そのほとんどが大企業向けです。
専門部署を置く。
AIの管理委員会を作る。
専用の監視ツールを導入する。
国際的な規格に合わせる。
中小企業に、情報システム部門はありません。
委員会を作る人もいません。
専用ツールは高額です。
だから中小企業は、悪気なく「禁止するか、野放しにするか」の二択に追い込まれます。
禁止すれば、せっかくの社員の主体性と生産性が死にます。
野放しにすれば、さきほどのリスクが静かに溜まっていきます。
あなたの会社は今、どちらに寄っているでしょうか。
中小にできる「第三の道」──禁止せず、見えるようにする
私がたどり着いた答えは、この二択の外にあります。
管理とは、縛ることではありません。
見えるようにすることです。
「勝手に作るな」ではなく、「作っていい。
ただし、会社が見える場所に置いてね」。
この考え方に立つと、経営者が今日から踏める手順が3つ見えてきます。
1. まず、何があるか書き出す（棚卸し）
許可制にすると、社員は萎縮します。
だから「許可を取らせる」のではなく「工夫を共有してもらう」形にします。
既存の会議に5分足すだけで十分です。
書き出す項目は、最低この4つです。
何のツールか。
どの業務に使っているか。
外部のAIやサービスを使っているか。
そして、一人しか触れない状態になっていないか。
最後の項目が、退職リスクの早期発見器になります。
なお、この棚卸しは、AIを使うと5分で叩き台ができます。
具体的なやり方は、この記事の最後「まず、今日できる最初の一歩」でご案内します。
2. 会社が管理する場所に置くルールにする
作ったものを、個人のパソコンや個人のアカウントに置いたままにしない。
会社が管理する共有の場所に、必ず置くルールにします。
AIを使うための鍵（APIキーと呼ばれる、AIを使うためのパスワードのようなもの）も、会社の名義に集めます。
個人のアカウントに紐づけさせません。
置き場所を決めるだけで、いつでも中身を確認できる状態が保てます。
3. 権利を、先に一文で決めておく
就業規則か、簡単な同意書に、一文を入れておきます。
「業務に関連して作ったAIの仕組みやプロンプトの権利は、会社に帰属する」。
大げさな契約書は要りません。
（法律の話になるので、正式に決める前には専門家に相談してください。）
ここで大事なのは、伝え方です。
「取り上げる」という文脈で語ると、社員のやる気は下がります。
逆にしてください。
「あなたが作ったものを、会社の資産として正式に認めます。
だから安心して、堂々と作っていい」。
承認の枠組みとして渡すのです。
一番の急所は「その人がいなくなる」とき。契約より、属人化を作らないこと
3つの手順の中で、私が一番大事だと思うのは、ここです。
「その人がいなくなる」とき、と書きました。
退職だけの話ではありません。
急な病気やケガ、家族の介護、産休や育休。
理由は何であれ、その社員が会社に来られなくなる日は、どんな会社にも起こりえます。
退職は避けられても、休むことは誰にも避けられません。
そして、これは社員を警戒する話ではありません。
逆です。
大事な社員が、安心して休める会社にするための備えです。
その人しか触れない仕組みがあると、その人は、しんどくても休めなくなります。
合鍵を用意しておくことは、社員を守ることでもあります。
辞める人を契約で縛っても、頭の中の知識は持ち出せてしまいます。
日本の法律では、辞めた後に同じ商売で競うことを縛る約束（競業避止）は、かなり狭くしか認められません。
だから契約を過信しないほうがいいのです。
本当の守りは、シンプルです。
その仕組みを触れる人間を、一人にしないこと。
「これ、あの人がいなくなったら、誰が直せる？」。
この問いを、棚卸しのときに定期的に投げかけます。
鍵を1本しか作らないから、その人がいないとドアが開かなくなります。
合鍵を会社が持っておく。
それだけの話です。
技術の話も、経営者の言葉で
「見える化」を、仕組みで実現する方法もあります。
ただ、経営者は中身の技術を知らなくて大丈夫です。
「こういうことができる」とだけ分かれば十分です。
一つは、AIの入口を一本化する方法です。
社員がバラバラにAIを使うのではなく、会社の「受付」を必ず一つ通す。
すると、誰がいつ何に使ったかが、受付の記録に残ります。
おかしな動きがあれば、そこで止められます。
使わせながら、見える。
これが利点です。
もう一つは、作ったものの「変更の台帳」を残す方法です。
誰がいつ何を変えたかの履歴が、家計簿のように残ります。
辞めた人が触った箇所も、後から追えます。
この2つは、少し専門的です。
「難しそうだ」と感じたら、そこが専門家に相談するタイミングです。
まず、今日できる最初の一歩
全部を一度にやろうとしないでください。
棚卸しの一枚から始めれば十分です。
しかも、その棚卸しには、AIが使えます。
AIを管理する話なのに、棚卸しにAIを使う。
少し面白い話です。
社員は、自分が作ったものを、全部は思い出せません。
だから、AIに思い出させます。
まず、普段使っているAI（例えばChatGPT）に、こう頼みます。
「私がこれまであなたと作った仕組みを、一覧にまとめて」。
過去のやり取りを覚えているAIなら、作ったものの一覧が出てきます。
次に、別のAI（例えばコードを見られるもの）に、その一覧を読ませます。
「これ以外に作った仕組みがあれば、書き足して」。
実際のファイルから、抜け漏れを拾ってくれます。
この方法が効くのは、そのAIが過去の会話やコードを覚えている場合です。
ゼロから思い出して書くより、AIに下書きさせたほうが、5分で叩き台ができます。
まずはこれを、次の会議で埋めてみてください。
埋めてみて、「一人しか触れない」に丸がついた仕組みが1つでもあったら。
それが、あなたの会社の最初の課題です。
最後に
これは、社員を疑う話ではありません。
管理の仕組みが整うほど、経営者は安心して「AI、どんどん使っていいよ」と言えるようになります。
管理は、禁止の道具ではありません。
解禁を支える土台です。
この記事は、一つの問いから始まりました。
「社員が作った仕組みを、その社員が管理できなくなったとき、誰が引き継ぐのか」。
私はいつも、良い答えより、良い問いのほうが先に来ると考えています。
そして、良い問いは、きれいな場所からは生まれません。
現場の不満や、つい漏れる愚痴。
そういうものの中にこそ、会社を動かす問いの種があります。
答えは変わっても、良い問いは会社を動かし続けます。
今度は、あなたの番です。
あなたの会社に、この問いを一度、投げかけてみてください。
私自身、7人の会社で、いまこの問題に向き合っている最中です。
うまくいったことも、失敗したことも、これから具体的に書いていきます。
自社だけで見極めるのが難しければ、私たちみんなのデジタル参謀が、棚卸しの一歩目から一緒に伴走します。
最後に。
今回、この問いをくださった方へ。
心より感謝いたします。
