新しい道具が現場に入ってくるとき、最初からしっかりルールが整っているとは限りません。むしろ多くの場合、最初に動くのは「これを使えば、もっと早くできる」「もっと楽にできるはずだ」と考えた現場の人々です。エンジニアの世界では、とくにその傾向が強いでしょう。いま話題になっている「BYOAI（Bring Your Own AI）」は、その典型です。会社が正式に導入したAIではなく、個人やチームが自分たちで見つけたAIツールを業務に使う動きです。会社のルールが追いつく前に現場で利用するため、もちろん、そこにはリスクがあります。機密情報を外部サービスに入力してしまったり、未承認ツールの利用によって検証やレビューのルールが曖昧になったり、契約や著作権をめぐる法的な問題が起きたりすることです。一方で、BYOAIを単なる「危ない持ち込み」とだけ見てしまうと、現場発の進化のサインを見落とすことにもなります。かつてBYOD（私物デバイスの持ち込み）が働き方を変えたように、BYOAIもまた、次の標準が生まれる前に見られる現象なのかもしれません。そこで今回はBYOAIとシャドーITの関係を整理しながら、2026年のエンジニアに求められるAI活用のマナーを考えてみたいと思います。
- もくじ
1. エンジニアの「もっと良くしたい」がルールを追い越す
1-1. 「BYOAI」とは？
BYOAIとは「Bring Your Own AI」の略で、直訳すれば「自分のAIを持ち込む」という意味です。会社が正式に契約したAIサービスではなく、社員や部署が自分で選んだAIツールを仕事の中で使う動きを指します。セキュリティ企業のGrip Securityは、BYOAIを従業員や部署がIT部門やセキュリティ部門の監督なしにAIツールを選び、業務改善のために活用する傾向だと説明しています。
たとえば、エンジニアが個人で契約している生成AIサービスに「このエラーの原因を整理して」「このコードの改善点を教えて」「仕様書のたたき台を作って」と頼むケースが典型です。本人に悪気はありません。むしろ目的は、仕事を速く、正確に進めることです。ただし、仕事で使う以上、それは完全な個人利用ではありません。入力した内容がどこに保存されるのか、AIサービス側でモデルの学習に使われるのか、ログが会社として確認できるのか----便利さと危うさが同時に存在するのが、BYOAIの特徴です。
1-2. かつての「BYOD」と同じ構図？
BYOAIを考えるとき、思い出したいのがBYODです。BYODは「Bring Your Own Device」の略で、個人所有のスマートフォンやノートPCを業務に使うことを指します。2010年代初頭、会社支給のPCやフィーチャーフォンといった端末の使い勝手への不満とプライベート端末の高性能化がBYODの広がり背景にありました。
最初は「セキュリティリスクだ」として厳しく禁止した企業も、その利便性と生産性の向上はやがて無視できないレベルに達し、「どう安全に持ち込ませるか」というマネジメントの議論へと移行していきます。端末管理、認証、暗号化、リモートワイプなどの仕組みが整い、BYODは一部の企業においては「禁止すべき例外」から「管理すれば使える選択肢」へと変わっていったのです。
BYOAIにも、これと同じ構図があります。最初は、個人で自分が契約したAIツールをこっそり使うところから始まります。しかし、それが本当に生産性を高めるなら、組織はいつまでも見ないふりをするわけにはいきません。現場の工夫を「危険な逸脱」として切り捨てるのか、それとも安全な形に整えて標準化するのか。ここに、組織の力量とバランス感覚が問われています。
かつての「勝手な持ち込み」が効率化を後押ししたように、BYOAIもまた、現場主導の試行錯誤が将来の標準化につながる可能性があるのと同時に「新たなリスク」かもしれないという不安ももたらしている形です。
1-3. 「シャドーIT」との比較
シャドーITとは、会社のIT部門が把握していないシステムやクラウドサービスを、社員や部署が業務で使うことです。正式に承認されていないファイル共有サービス、個人契約のチャットツール、勝手に作った業務アプリなどが含まれます。BYOAIは、このシャドーITのAI版と考えると理解しやすいでしょう。
ただし、BYOAIにはシャドーITの中でも際立った「見えにくさ」があります。従来のシャドーITであれば、特定のSaaSサービスにログインしてファイルを置く、外部ツールで業務フローを回すといった形で、比較的わかりやすい痕跡が残りました。しかし生成AIは、Webブラウザを開いて数行の文章を貼り付けるだけで使えてしまいます。個人アカウントでも利用できますし、スマートフォンからでもアクセスできます。
セキュリティ企業のCyberhavenは、従業員が未承認のAIツールを使う「Shadow AI」では、セキュリティチームがデータの移動先や扱われ方を把握できない点を大きな問題として指摘しています。
What Is Shadow AI? Risks, Examples, and Prevention Guide（cyberhaven）
言い換えると、BYOAIは「承認や監督なしに使われるAIツールの利用を指し、シャドーITの一種」です。だからこそ、禁止の通達を1枚出しただけでは止まりません。見えないものは管理できず、管理できないものは改善もできないのです。この不可視性こそが、BYOAIが従来のシャドーIT以上に深く、急速に現場へ浸透する要因となっています。
1-4. エンジニアがBYOAIに走る理由
エンジニアがBYOAIに走る理由は現実的です。開発の現場には、常に時間が足りません。仕様を読み、既存コードを追い、バグを再現し、原因を探し、レビューを受け、テストを書き、ドキュメントも整える。どれも重要ですが、すべてを手作業で進めるには負荷が大きすぎます。
AIは、この負荷を大きく軽減してくれます。難しいエラーメッセージを読み解くとき、知らないライブラリの使い方を調べるとき、コードレビューの観点を洗い出すとき、READMEの下書きを作るとき、AIは非常に優秀な壁打ち相手になります。複雑なアルゴリズムのプロトタイプをAIに頼めば、数時間かかる作業が数分で終わることもあります。
ここで重要なのは、BYOAIの背景には怠慢ではなく、改善したいという純粋な気持ちがあるという点です。「もっと良くしたい」「もっと早く届けたい」「退屈な作業を減らして、本質的な設計に時間を使いたい」といった情熱が、組織のルールを追い越しているのです。ですから、「禁止して終わり」では止まらないかもしれません。
2. BYOAIは危険なのか、それとも進化のサインか？
2-1. リスク候補 1：情報漏洩
ここまで見てきたように、BYOAIは個人にとってメリットがありますが、リスクも伴います。しかしそれは単なる危険なリスクなのか、それとも現場の進化の兆候なのか、見極める必要があります。
BYOAIがもたらすリスクとして最もわかりやすいのが、情報漏洩です。生成AIに質問するとき、人はつい文脈をたくさん入れたくなります。「このコードを見て」「この障害ログを解析して」「この顧客向けメールを直して」と頼むほど、AIの回答は具体的になります。しかし、その入力欄に機密情報やソースコード、APIキー、顧客名、契約情報、個人情報が混ざっていたらどうなるでしょうか。
問題の核心は、外部AIサービスの裏側を利用者が完全には把握できないことにあります。入力データが保存されるのか、モデルの改善に使われるのか、誰がアクセスできるのかは、企業向けのAIプランではコントロールできる場合もありますが、個人契約や無料版では会社のポリシーと合わないことがあり得ます。
とくにソースコードは注意が必要です。コードには単なる文字列以上の情報が含まれています。設計思想、脆弱性、内部APIの構造、未公開機能、事業上の競争力の源泉がにじみ出ます。ほんの一部を貼り付けただけでも、それが外部に出してよい情報かどうかは慎重に判断しなければなりません。
2-2. リスク候補 2：品質低下
2つめのリスクは、品質低下です。AIは品質を上げるために使うのではないか、と感じる人もいるでしょう。たしかに、うまく使えばAIは品質向上に役立ちます。しかし、検証せずに使えば逆効果になり得ます。
AIは、もっともらしい誤り「ハルシネーション」を返すことがあります。存在しないAPIを提案する、古い仕様を前提にしたコードを生成する、安全でない実装を自然な文体で勧める、ライセンス上の注意を飛ばすといった回答をそのままコードや設計に取り込んでしまうと、バグや脆弱性の種になります。場合によっては次項で述べるように著作権侵害のリスクもあります。
CyberCubeは、BYOAIに関するリスクとして、生成AIが架空の事実や安全でないコードを出力し、従業員がそれを十分に検証しないまま利用する可能性を指摘しています。
BYOAI Policies for Enterprise Safety & Innovation（cybercube）
AIは優秀な相棒になり得ますが、責任者にはなれません。最終的に品質を保証するのは、AIではなく人間のエンジニアです。BYOAIが危険になるのは、AIを「相談相手」ではなく「正解を出す機械」と認識したときなのかもしれません。
2-3. リスク候補 3：法的問題
BYOAIには、法的な問題も伴います。契約、著作権、ログ、監査、個人情報保護など、業務利用では避けて通れない論点が多いからです。
たとえば、顧客との契約に「第三者サービスへのデータ提供は禁止」と定められている場合があります。その状態で顧客の仕様書や障害情報を外部AIに入力すれば、たとえ悪意がなくても契約違反になる可能性があります。また、AIが生成した文章やコードを使う際にも、著作権やライセンスの確認が必要になる場面があります。
さらに、監査の問題もあります。後から「この設計判断はどの情報をもとに行ったのか」「どのAIツールを使ったのか」「入力したデータは何か」と問われたとき、個人利用のAIでは説明が難しくなります。「自分のアカウントだから関係ない」では済まないのが、業務利用の実態です。
2-4. BYOAIのリスクは本当なのか？
では、BYOAIは全面的に危険なのでしょうか。答えはそこまで単純ではありません。リスクがあるのは事実です。しかし同時に、BYOAIは現場の実験場でもあります。新しいAIツールをいち早く試し、何に使えるか、どこで失敗するかを発見するのは、多くの場合、現場のエンジニアです。禁止によって地下に潜らせる（シャドーIT化させる）よりも、その存在を認め、可視化することの方が重要だという考え方が広まっています。
その先駆的な事例として注目されているのが、GMOインターネットグループの取り組みです。同社は2025年5月、AI活用を加速するため「GMO AIブースト支援金」を創設し、従業員1人あたり月1万円を目安に生成AIサービスの利用費用を支援すると発表しました。年間約10億円を投資するという規模の制度です。
現場が使いたいAIをすべて禁止するのではなく、一定の枠組みの中で選択できるようにする。危険だから閉じるのではなく、見えるところに出して、教育し、ログを取るという発想の転換です。今後の展開に注目したい取り組みです。
GMOインターネットグループ、 AI人財の支援に年間約10億円を投資 「GMO AIブースト支援金」を創設（GMOインターネットグループ株式会社）
3. 2026年のAI活用マナー
3-1. 欧州AI法で変わりはじめた空気
2026年のAI活用は、「自由に使う」から「責任を持って使う」へと変わりつつあります。これは、エンジニアにとって窮屈な話というだけではありません。むしろ、AIをプロの道具として使うための成熟段階に入った、と前向きに見るべきなのかもしれません。昔、インターネット検索やOSSの利用が進むときにも同様の流れがありました。AIにも同じように、新しい作法が求められているのだと思います。
この空気を強めている大きな要因の一つが、欧州AI法（EU AI Act）です。欧州AI法は段階的に適用が進んでおり、欧州委員会の公式情報によると、2025年2月2日に禁止されるAIの利用行為に関する規定とAIリテラシー義務が適用開始、2025年8月2日に汎用AI（GPAI）モデルに関する規定が適用開始、2026年8月2日に高リスクAIの主要規定が適用開始というタイムラインになっています。
AI Act | Shaping Europe's digital future（European Commission：欧州委員会）
この法律は欧州だけでなく、グローバルにビジネスを展開するすべての企業にとって、事実上の基準になりつつあります。日本のすべての企業が欧州AI法の直接の対象になるわけではありません。しかし、グローバルにサービスを提供する企業、欧州市場と関わる企業、海外顧客のシステムを扱う企業にとっては無視できません。そして法規制は、直接適用されるかどうかに関係なく、企業のAIガバナンスの基準にも影響を与えます。
つまり、AI利用は「個人の工夫」だけでは済まなくなってきています。どのAIを、何の目的で、どのデータに対して使ったのか。リスクをどう評価したのか。利用者や組織が説明責任を負う時代へと、確実に移行しているのです。「よくわからないけど便利だから使う」という態度は、プロフェッショナルとして許容されにくいものになりつつあります。
3-2. エンジニアに求められる新しい作法
これからのエンジニアに求められるのは、AIを使えることだけではありません。AIをどう使ったかを説明できることです。
これからのプロのAI使用法とは、勝手に使うことではありません。自分の判断で道具を選びつつ、組織や顧客に対して説明できる形で使うことです。入力前にデータを匿名化する、社外秘の情報は入れない、AIの出力は必ずレビューする、重要な判断は一次情報に戻る、利用したAIツール名や用途をメモしておくといった地味な習慣の積み重ねが、AI時代のプロフェッショナルとしての信頼につながります。BYOAIとの向き合い方にも注意が必要になってきました。
自分の情熱を形にするためにルールを理解し、その枠組みの中で最大限のパフォーマンスを発揮する。この自律的な姿勢こそが、組織から信頼を勝ち取る鍵となるのです。
3-3. "使ってよいAI／注意が必要なAI／使ってはいけないAI"
AIツールを考えるときは、「使えるか、使えないか」の二択ではなく、リスクの段階で見るとわかりやすくなります。3つの区分で整理してみましょう。
まず「使ってよいAI」は、会社が承認しており、業務利用の条件が明確で、入力データの扱いも確認されているAIです。企業向け契約があり、ログ管理や権限管理ができ、社内ルールに沿って使えるものがここに入ります。Microsoft CopilotのEnterpriseプランやGoogle Vertex AIのような企業向けプランは、データの学習利用の扱いを契約や管理設定で制御できる場合があり、候補になり得るといってよいでしょう。
次に「注意が必要なAI」は、便利ではあるものの、入力データの扱いや利用条件に不明点があるAIです。個人アカウントで使う生成AI、無料の各種AIサービス、ブラウザ拡張型のAIアシスタント、コード補完ツールなどが該当します。使い方によっては大きな助けになりますが、機密情報や顧客データを入れてよいとは限りません。使うならば、入力内容を限定し、会社のルールを事前に確認する必要があります。
最後に「使ってはいけないAI」は、業務データを守れない、利用規約が不明確、出どころが怪しい、ログや権限管理ができない、または会社が明確に禁止しているAIです。欧州AI法（第5条）では、禁止されるAIの利用行為が定められており、社会的スコアリングや、職場・教育機関で感情を推測するAIの利用などは法的リスクとなります。便利そうに見えても、後から説明できないAIは仕事の道具としてはリスキーなのです。
Article 5: Prohibited AI Practices | EU Artificial Intelligence Act
3-4. BYOAIに組織はどう対応すべきか？
組織側に必要なのは、「使うな」ということだけではありません。安全に使える環境を整えることです。現場がAIを使いたがるのは怠けたいからではなく、成果を出したいからです。その気持ちを無視して禁止だけを強めると、利用は地下に潜ります。つまり、シャドーAIが増えるだけです。
まず必要なのは、承認済みツール一覧（ホワイトリスト）の整備と共有です。どのAIなら使ってよいのか、どの用途なら問題ないのか、何を入力してはいけないのかを明確にします。次に、AIブースト支援金のような費用補助の仕組みです。GMOインターネットグループの事例のように、組織として投資することで、エンジニアは「自腹を切ってリスクのある無料版を使う」という動機を失い、より安全で高品質なツールを選択するようになります。
そして、ログや監査の仕組みも欠かせません。これは監視するためではなく、問題が起きたときに調べられる状態を作るためです。さらに、AIの基本的なリスク、プロンプトに入れてはいけない情報、出力の検証方法、著作権や契約の考え方を、エンジニアだけでなく全社員に共有する教育研修と、「これは入れてよいのか」「このAIを使いたいが大丈夫か」と気軽に聞ける相談窓口も重要です。相談できる場所があれば、現場は隠さずに済みます。BYOAIを単なるリスクと見るのではなく、次の働き方を探るサインとして受け止める姿勢が、組織に求められているといえるでしょう。
4. まとめ
BYOAIは単なるルール違反でも"魔法の杖"でもありません。情報漏洩・品質低下・法的問題という現実的なリスクがある一方で、現場の「もっと良くしたい」という思いが効率化のきっかけにもなり得ます。2026年以降のAI活用に必要なのは、禁止か放任かではなく、可視化し、説明できる形で安全に使うことです。エンジニアには責任ある使い方が求められると同時に、組織には安全に使用できる環境づくりが必要になっていくでしょう。
