ガイドラインを「知らない」社員は50.5%—現場で起きているAIセキュリティのギャップ
会社としてはAIのルールを整備している。しかし現場では、その中身が伝わっていない。従業員500名以上の企業・団体に勤務する社会人400名への調査から、決める側と使う側のあいだにある溝が見えてきました。
- ガイドラインがあると認識している人のうち、内容を理解していない人は50.5%。ちょうど半分です
- 研修を受けた人と受けていない人で、ガイドラインの理解度は52.2pt違います
- 役職が下がるほどルールは伝わっていません。契約社員・派遣社員では41.5%が「わからない」
- 会社が許可していないAIを業務に使うことが「よくある・ときどきある」は26.5%
1. ガイドラインがある会社でも、内容を知らない社員は50.5%
生成AIの利用ガイドラインについて、「策定されている」と認識している277名の内訳です。
認識 | 人数 | 277名に占める割合 |
|---|---|---|
策定されており、内容も理解している | 137名 | 49.5% |
策定されているが、内容はよく理解していない | 90名 | 32.5% |
策定されていると思うが、自分は見たことがない | 50名 | 18.1% |
内容を理解していない人（下2つ）は140名、50.5%。 ガイドラインがある会社でも、半分の社員には中身が届いていません。
「見たことがない」の18.1%はとくに重い数字です。存在は聞いているが実物を見ていない。この状態では、ガイドラインはあってもリスクを減らしません。
2. 研修を受けた人と受けていない人で、理解度は52.2pt違う
生成AIのルール・セキュリティに関する研修の受講状況です。
受講状況 | 割合 |
|---|---|
必須の研修を受けた | 37.8% |
任意の研修を受けた | 14.8% |
案内はあるが受けていない | 11.5% |
実施されていない | 27.5% |
わからない | 8.5% |
何らかの研修を受けた人は52.6%（210名）。受けていない人は47.4%（190名）です。
この2群で、「策定されており、内容も理解している」と答えた割合を比べました。
内容も理解している | n | |
|---|---|---|
研修を受けた | 59.0% | 210 |
研修を受けていない | 6.8% | 190 |
差は52.2pt。 この調査で最も大きい差です。
研修を受けていない人で「内容も理解している」のはわずか6.8%。研修以外の経路でガイドラインの中身が伝わることは、ほとんど起きていません。 配布や社内ポータルへの掲示だけでは届かない、ということです。
因果の向きには注意が必要です。整備が進んだ会社ほど研修も実施しているので、研修そのものの効果と、会社の整備水準の効果が混ざっています。ただ、52.2ptという差の大きさは、他の要因が混ざっていることだけでは説明しきれません。ガイドラインを配るだけでなく、研修とセットにすることの意味を示す数字だと考えます。
なお、「実施されていない」が27.5%あります。策定率が56.8%であることを思えば、ガイドラインをつくったが研修まで手が回っていない企業が相当数あることになります。
3. 役職が下がるほど、ルールは伝わっていない
役職別に、ガイドラインの認知状況を見ました。
役職 | 内容も理解している | わからない | n |
|---|---|---|---|
事業部長・本部長クラス | 75.0% | 0.0% | 24（参考値） |
部門長・マネージャークラス | 58.0% | 4.5% | 88 |
経営者・役員 | 57.1% | 0.0% | 7（参考値） |
リーダー・主任クラス | 31.3% | 12.5% | 96 |
一般社員・スタッフ | 18.8% | 27.8% | 144 |
契約社員・派遣社員 | 17.1% | 41.5% | 41 |
きれいな階段です。 事業部長クラスでは75.0%が内容を理解し、「わからない」は0.0%。一般社員では18.8%と27.8%、契約社員・派遣社員では17.1%と41.5%。
とくに契約社員・派遣社員の41.5%が「わからない」という数字は考えさせられます。外部人材にこそルールを伝える必要があるはずですが、実態は逆になっています。
一般社員と契約・派遣を合わせると185名、全体の46.2%です。この層の8割はガイドラインの中身を知らないまま、生成AIが身近にある職場で働いていることになります。
4. 決める側は「整備されている」、使う側は「わからない」
ルール策定やツール選定への関与度別に見ると、差はさらに鮮明になります。
関与度 | ガイドライン理解 | 整備度スコア | 決定主体が「わからない」 | n |
|---|---|---|---|---|
主導している | 100.0% | 4.17点 | 0.0% | 18（参考値） |
メンバーとして関与 | 63.5% | 3.27点 | 0.0% | 52 |
意見を求められることがある | 43.1% | 2.77点 | 2.8% | 72 |
関与していない | 21.3% | 2.09点 | 32.9% | 258 |
関与していない層は258名、全体の64.5%を占めます。 この層では、ガイドラインを理解しているのは21.3%、誰がルールを決めているか知らない人が32.9%。
整備度スコアも、主導層の4.17点に対し非関与層は2.09点と半分です。これは会社の実態が違うというより、立場によって見えているものが違う可能性があります。決める側は「整備されている」と答え、使う側は「わからない」と答える。立場によって、組織の見え方が二通りに分かれているわけです。
この記事で示す数字の多くは、こうした見え方の差を含んでいます。「策定率56.8%」という数字も、決める側だけに聞けばもっと高く出たはずです。社員から見たときの整備状況として読むのが正確です。
5. セキュリティ制約でAI活用を諦めた経験は40.8%
セキュリティやルール上の制約でAI活用を諦めた・制限された経験を聞きました。
経験 | 割合 |
|---|---|
顧客情報・機密情報を入力できず使えなかった | 13.5% |
個人情報を扱う業務では使えなかった | 11.8% |
社外に出す成果物には使えなかった | 10.8% |
使いたいツールが許可されなかった | 9.3% |
社内データ・社内システムと連携できなかった | 7.2% |
会議の音声・議事録を入れられなかった | 5.8% |
ソースコードや技術資料を入れられなかった | 4.0% |
（制約で諦めた経験はない） | 32.8% |
（わからない） | 27.0% |
何らかの制約を経験した人は40.8%。 上位に来るのは情報の種類による制約で、ツールが許可されなかった（9.３%）よりも、入れられる情報の範囲による制約のほうが大きいことが分かります。
これは別記事「禁止ではなく整備—AIを活用できている企業のセキュリティレベル」の結論と表裏の関係にあります。活用が進んだ企業は閉域環境や法人契約で「入れられる箱」をつくっていました。それがない企業では、ツールはあっても実務データを入れられず、活用が止まる。制約はツールの有無より、情報の扱いの設計に起因しています。
6. 会社が許可していないAIを業務に使ったことがある人は26.5%
会社が公式に許可していない生成AIを、個人のアカウントや個人のスマートフォンで業務に使う頻度を聞きました。この設問は匿名で集計しており、企業や個人が特定される形では扱いません。
頻度 | 割合 |
|---|---|
よくある | 8.5% |
ときどきある | 18.0% |
ほとんどない | 23.8% |
まったくない | 37.8% |
わからない | 12.0% |
「よくある」「ときどきある」を合わせて26.5%。 4人に1人が、会社の許可を得ていないAIを業務で使っていることになります。
別記事「なぜMicrosoft Copilotだけなのか—ChatGPT・Claudeが社内で使えない理由」で見た「ChatGPTは使える状態37.8%に対し利用経験54.5%」という16.8ptの差と、整合する数字です。
7. 禁止している会社ほどシャドーAIが多い、わけではない
会社のルール類型別に、シャドーAIの発生率（「よくある」＋「ときどきある」）を見ました。
会社のルール類型 | シャドーAI発生率 | n |
|---|---|---|
一部の部署・業務で公式に導入されている | 51.0% | 49 |
全社的に公式導入され、利用が推奨されている | 30.8% | 156 |
会社が指定したツールに限り利用が認められている | 28.6% | 63 |
明確なルールはなく、個人の判断に任されている | 26.5% | 49 |
利用は原則禁止されている | 0.0% | 17（参考値） |
わからない | 3.0% | 66 |
予想と逆の結果でした。
「禁止するから隠れて使う」という仮説なら、原則禁止の企業でシャドーAIが多くなるはずです。しかし原則禁止の企業では0.0%（n=17と少ないため参考値ですが）。
代わりに突出しているのが、「一部の部署・業務で公式に導入されている」企業の51.0%です。
これは理解できる話です。社内に「使える人」と「使えない人」が同時に存在する状態が、いちばん強い動機を生みます。隣の部署がAIで仕事を速く片づけているのを見て、自分の部署では使えない。そこで個人のアカウントを開く。全社導入なら公式ツールで済み、全面禁止なら組織全体に諦めが共有されます。中途半端な部分導入が、最も差を意識させるわけです。
なお、原則禁止はn=17と回答者数が少ないこと、また「わからない」（3.0%、n=66）は、そもそも自社のルールを把握していない人がシャドーAIの自覚を持ちにくいことに留意が必要です。
8. まとめ：ルールをつくることと、伝わっていることは別
自社のAIセキュリティ対応について、回答者自身の実感を聞いた結果です。
実感 | 割合 |
|---|---|
判断できない・わからない | 33.5% |
おおむね適切なバランスだと思う | 29.3% |
やや厳しいが、必要な範囲だと思う | 23.5% |
必要な整備が足りておらず、情報漏洩などが不安だ | 10.5% |
厳しすぎて、業務の妨げになっている | 3.3% |
「厳しすぎる」は3.3%しかありません。 現場が締めつけに不満を持っているという構図は、数字には表れていません。むしろ最も多いのは「判断できない・わからない」の33.5%で、評価する材料を持っていない人が3分の1います。
今後1年で強化すべきことの1位も、「社員向けの研修・教育」が42.8%でした。2位の「業務で使えるツールの拡充」31.5%、3位の「ガイドライン・社内規程の策定や見直し」31.0%を上回ります。
現場が求めているのは、ルールを緩めることではなく、きちんと伝えてもらうことです。
ガイドラインの策定率は56.8%です。しかしその半分は中身が伝わっていない。研修を受けた人と受けていない人の理解度は52.2pt違う。役職が下がるほど届かない。次に取り組むべきは、新しくルールを書くことより、いま書いてあるものを届けることだと、この数字は示しています。
調査概要
- 調査名：企業のAIセキュリティ・ガバナンス実態調査（2026年9月）
- 調査主体：株式会社データインサイト
- 調査方法：インターネット調査（ユニーリサーチ）
- 調査対象：従業員500名以上の企業・団体に勤務する社会人（経営者・役員／会社員／公務員）
- 有効回答数：400名（スクリーニング回答1,042名、通過率38.4%）
- 調査実施日：2026年9月26日
- 割付：なし（自然回収・ウェイトバックなし）
シャドーAIに関する設問（第6章）は匿名調査として実施し、企業名・個人が特定される形では集計していません。制約経験の設問では、「制約で諦めた経験はない」と他項目を同時に選択した矛盾回答が3名ありましたが、本記事の40.8%は選択肢1〜7のいずれかを選んだ人の割合として算出しているため影響を受けません。
回答者の属性内訳は「大企業のAI利用ガイドライン策定率は56.8%—AIセキュリティ対応の現在地」に記載しています。各セルはn≧30を断定の目安とし、これを下回るものは参考値として表記しています。関与度と整備度スコアの関係は相関であり、企業側の実態差との交絡を含みます。構成比は小数第2位を四捨五入しているため、内訳の合計が100%にならない場合があります。
本文中の企業・会社に関する割合は、回答者が自身の勤務先について答えた結果を集計したもの（回答者ベース）です。同じ企業に勤める回答者が複数含まれる場合があります。
出典：データインサイト調べ
