職員は使い始めている、法人は把握していない — 福祉・NPOの現場に広がる「シャドーAI」

介護支援専門員(ケアマネジャー)向けの情報サイト「ケアマネジメントオンライン」には2026年7月13日付で、ケアマネの3割弱が文書生成AIを日常的に活用しており、まったく使わない層も3割程度いる、という趣旨の記事が掲載されました。ただし調査の実施主体や母数を当サイトでは確認できていないため、統計として断定はせず、「〜という報道があります」の伝聞として紹介します。

額面通りに受け取るなら、現場は「積極的に使う人」と「まだ使わない人」がほぼ拮抗する過渡期にあるとみられます。SNS(X)でも2026年7月、医療・介護・福祉現場での生成AI活用と「やってはいけない使い方」をテーマにしたセミナーや出版の告知が相次いでおり、関心の高まりをうかがわせます。

現場での利用は、職員個人の自主的な工夫にとどまりません。厚生労働省の検討会「2040年に向けたサービス提供体制等のあり方」がまとめたとりまとめ(令和7年=2025年7月25日決定)には、介護事業者が作成する計画書やサービス担当者会議等の議事録について、生成AIの技術を活用してその原案を作成することも業務効率化に資する、との記述があります。

同時に、同文書は「AIの信頼性やセキュリティ等の問題がある」とも明記しており、実証を通じて効果や利用における留意点を明らかにしていく必要があるとしています。さらに「AIによるケアプランの作成支援をはじめ、どのように現場に組み込むか、検討が必要である」とも述べており、活用への後押しと慎重な留保が同じ文書の中に併記されている点が特徴です。国としても「使うか使わないか」ではなく「どう安全に組み込むか」を検討する段階にあるとみられます。

「シャドーAI」とは、組織(法人・部署)が把握・許可していない状態で、職員が個人の判断でAIサービスを業務に使ってしまう状態を指す言葉です。私物の端末やアプリを業務に使う「シャドーIT」のAI版といえます。

ガートナージャパンの調査として日経クロステックが2026年6月26日付で報じたところによると、組織における生成AIの利用実態について「把握し対策できている」と回答した組織は24%にとどまる一方、「把握できていない」が43%、「把握しているが対策できていない」が30%だったとされています。合わせると7割超(43%+30%)の組織が、シャドーAIを把握できていないか、把握していても対策が追いついていないことになります(いずれも報道に掲載された概数で、3つの回答の合計は100%になりません)。

この動きを裏づけるように、IPA(情報処理推進機構)が2026年1月29日に発表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織編の第3位に初めてランクインしました。

福祉・NPOの現場に置き換えると、リスクの中心は「職員が、利用者の氏名・病歴・障害・生活状況といった要配慮個人情報を含む記録を、個人アカウントの生成AIにそのまま入力してしまう」というシナリオです。警視庁のサイバーセキュリティ対策本部も2026年5月、シャドーAIについて情報漏えい・著作権侵害・ハルシネーション(もっともらしい誤情報)という3つのリスクを挙げて注意喚起したと報じられています(当サイトでは公式投稿を未確認のため、報道経由の情報として扱います)。

個人情報保護委員会は2023年6月2日付で「生成AIサービスの利用に関する注意喚起等について」を公表し、個人情報を含むプロンプトを生成AIに入力する場合、それが自団体の定めた利用目的の範囲内かどうかを確認する必要があると注意を促しています。本人の同意なく個人データを目的外に利用させれば、個人情報保護法違反となり得るとも明記されています。

この注意喚起から2026年7月時点で3年が経ちますが、生成AIの業務利用に特化した新しい公式ガイダンスは、当サイトで確認できた範囲では出ていません。「何を入力してよいか」の線引きの多くは、依然として各法人の現場判断に委ねられている空白があるというのが実情です。この記事は法律の助言ではありません。実際の運用ルールを定める際は、顧問弁護士や社会保険労務士、所轄庁への確認をおすすめします。

「使うな」と一律に禁止しても、職員は私物のスマートフォンで生成AIを使い続けられます。むしろ実務的なのは、次の3段階で「安全に使える状態」を整えることです。

• 利用実態の把握。まずは「誰が」「どのAIサービスを」「どんな業務で」使っているかを、責め立てずに聞き取ることから始めます。冒頭の報道が示すとおり、利用はすでに始まっている前提で聞くのが現実的です。
• 簡易ルールの明文化。「入力してよい情報」「入力してはいけない情報(利用者の氏名・病歴・障害・生活状況などの要配慮個人情報)」の線引きだけでも、1枚の文書にして共有します。完璧を目指さず、まず最低限のルールを作ることを優先します。
• 個人アカウントから組織管理のプランへ。職員が個人の無料アカウントに頼らざるを得ない状態そのものが、シャドーAIを生む土壌になります。Claude TeamやChatGPT Businessは、通常価格が1席あたり$20〜30前後のプランを、非営利団体は$8/席で利用できます(2026年7月時点、当サイト確認済み)。プランの選び方や入力ルールの具体例は、当サイトの AI導入ガイド にまとめています。

シャドーAIへの向き合い方は、「禁止で潰す」のではなく、「安全な公式ルートを、個人負担よりも安く法人として用意する」ことに尽きます。

• 厚生労働省: 「2040年に向けたサービス提供体制等のあり方」とりまとめ(令和7年7月25日)
• 日経クロステック: シャドーAIに関するガートナージャパン調査の報道(2026年6月26日)
• IPA: 「情報セキュリティ10大脅威 2026」発表(2026年1月29日)
• 個人情報保護委員会: 生成AIサービスの利用に関する注意喚起等について(2023年6月2日)
• 当サイト: AI導入ガイド

ケアマネジメントオンラインおよび警視庁サイバーセキュリティ対策本部に関する記述は報道経由の伝聞情報であり、当サイトが独自に検証したものではありません。X上の投稿やセミナー・出版の告知については、個人名・主催団体名・書名を記載していません。この記事は医療・法律に関する助言ではありません。実際の運用ルールの策定にあたっては、顧問や所轄庁にご確認ください。掲載内容の誤りにお気づきの際は、お問い合わせからご指摘いただけると助かります。