生成AIを業務に取り入れる企業が増えるなか、その裏で会社の許可を得ずに社員が外部のAIサービスを使う「シャドーAI」が問題になっている。管理外のAIサービスに顧客情報や社内資料を誤って入力すれば、情報漏洩につながりかねない。

こうした課題を受け、金融システム開発やAI関連ソリューションを手がける『RGS株式会社（以下、RGS）』は8月3日、東京都内で情報漏洩対策ソリューション『SecureGo（セキュアゴー）』の新製品発表会を開いた。

RGS代表取締役社長の余澤洋平さんらが登壇し、開発の背景や企業が抱える課題を説明したほか、実際の機能を紹介する操作デモも披露された。

「便利だから使いたい生成AI」しかし、会社の管理が追いつかない

セキュリティ市場が拡大する一方、企業の情報漏洩事故は増加している（RGS発表資料より）

発表会にてRGSがまず示したのは、セキュリティ市場規模と情報漏洩件数の推移だった。セキュリティ市場が拡大する一方で、情報漏洩事故も増加している。独立行政法人情報処理推進機構（IPA）の『情報セキュリティ10大脅威 2026』では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初選出されているという。

RGS株式会社 代表取締役社長 余澤洋平さん

こうしたAI利用をめぐるリスクの一つが、シャドーAIだ。

同社 代表取締役社長 余澤さんによれば、現場では生成AIを使わなければ時代の流れに取り残されるという意識が広がっているが、企業側では、利用可能なサービスや入力してよい情報などのルール整備、リテラシー教育が追いついておらず、その結果、社員が無料の生成AIや個人アカウントに、顧客情報や社内資料を入力してしまう事例があるという。

本人に情報を持ち出す意図がなくても、会社の管理外へ業務情報を送ってしまう可能性があるのだ。

そこでRGSが掲げたのは、「AI活用を止めず、情報漏洩を止める」という考え方だ。生成AIそのものを禁止するのではなく、社員がどのサービスを使っているのかを把握し、機密情報が外部へ送られる直前に止める仕組みを目指した。そうして開発されたのが今回の『SecureGo』であると、余澤さんは説明した。

重要な機密情報を検出し送信前にブロック

RGS株式会社 営業本部 白波瀬大海さん

SecureGoは、社用PCなどで利用するセキュリティツールだ。ユーザーが生成AIに入力した内容を7カテゴリ・214の検知ルールに照らし、個人情報や認証情報などが含まれていないかをリアルタイムで確認する。機密情報を検知した場合は、利用者へ警告を出すほか、送信そのものをブロックする。

操作デモでは、生成AIの入力欄に氏名やマイナンバーを含む文章を入力。そのまま送信しようとすると警告が表示され、情報が生成AIへ渡る前に処理が止まる実際の挙動が示された。

機密情報を検知した場合でも、該当箇所だけをマスクし、残りの文章を生かす仕組みも備える。デモでは「マスクして送信」を選ぶと、氏名やマイナンバーに当たる部分だけが伏せられ、残りの文章は生成AIへ送信された。生成AIの利用を止めるのではなく、送ってはいけない情報だけを取り除く。必要な作業を続けながら、情報漏洩を防ぐ設計だ。

AI時代のリテラシー向上へ　検知ログを社員教育に活用

SecureGoでは、管理者画面から社員が利用している生成AIや入力履歴、検知された内容などを確認できる。利用サービスや操作ログを記録することで、問題が起きた際の原因調査や、取引先から監査を求められた場合の証跡として使える。

検知ログをもとに部署や社員ごとのリスクを分析し、教育や監視ルールの見直しにつなげる（RGS発表資料より）

こうした検知ログは社員教育にも活用される。白波瀬さんは「検知したログから部署、もしくは個人ごとの情報漏洩に対する弱点を特定し、その弱点に応じた教育・訓練を実施する」と説明。

特定したリスクに応じて、社員向けのeラーニングや、役員などになりすましたメールを使った訓練を実施することも可能だ。管理者は受講状況やリスクの分布、教育後の変化を画面上で確認する。

こうした端末管理、ログ監視、情報漏洩防止、セキュリティ教育など、AI関連のセキュリティソリューションとして、これまで別々の製品で管理していた機能を一つにまとめた「4-in-1」もSecureGoの特徴だ。

余澤さんは、セキュリティ製品を導入しただけで、情報漏洩を完全に防げるわけではないとみている。システムで危険な操作を止めると同時に、社員がその危険性を理解し、訓練を重ねることが継続的なリスク低減につながるのだ。

日常業務を妨げず、危険な操作だけを検知

SecureGoは社員の操作ログを記録する。そのため、発表会の質疑応答では、社員が「監視されている」と感じ、心理的な抵抗を抱くのではないかとの質問が出た。

余澤さんは「本製品はあくまで操作ログを記録するもので、設定したルールへの抵触や通常とは異なる操作が検出された場合を除けば、管理者が逐一ログを確認する必要もない」と説明。

続けて、「RGSでも実際に運用しているが、普段の業務への影響はほとんどない」とし、「たった一つであったとしても、情報の漏洩は企業の信頼を大きく揺るがしかねないものであり、そのリスクは誰もが共通して理解しているものだと思います。そのうえで、単に監視を増やすのではなく、何を記録し、どのような場合に操作を止めるのかを社内で共有することが重要であり、導入時の抵抗を減らす際に欠かせないことなのではないでしょうか」（余澤さん）

白波瀬さんは「生成AIによる生産性向上は今後避けて通れない」とみている。利用を禁止して社員を管理外へ追いやるのではなく、会社が利用状況を把握できる環境で使ってもらう。そのうえで、機密情報だけを送信前に止めるというのが、SecureGoの考え方だ。

一方、アクセス制御の対象となったWebサイトが業務上必要な場合は、管理者がホワイトリストへ登録すればアクセス可能になる。こうした柔軟な設定により、企業や業種ごとの運用ルールに合わせて利用可能な点も特徴である。

管理できるのは会社が管理する端末まで

余澤さんによると、SecureGoは生成AIを利用する企業に限らず、社用端末で顧客情報や社内データを扱う企業も導入対象としている。端末管理や操作ログの監視、情報漏洩防止などの機能を備えているためだ。

生成AIでは、Web版のChatGPT、Gemini、Claudeなどでの利用を想定している。一方、アプリ版ではサービスによって一部機能に制限があるという。

また、SecureGoで管理できるのは、企業が管理する端末に限られる。私物のスマートフォンや個人所有のパソコンまでの管理を行うわけではないため、業務情報を扱う端末や利用可能な生成AIを社内で定めるなど、運用ルールと組み合わせた対策が必要になる。

対応OSはWindowsとmacOSで、クラウドとオンプレミスの両方に対応する。操作ログや生成AIの利用状況、教育の実施結果などはレポートとして出力でき、社内監査や取引先への説明にも活用できるという。

RGSアンバサダーの柔道家 角田夏実さん

発表会には、RGSのアンバサダーに就任した柔道家の角田夏実さんも登壇した。SecureGoのデモを見た角田さんは、自分では気づけない「うっかり」を未然に防いでもらえる点に安心感があると話し、「守りがしっかりしているから、自信を持って攻められる」と語った。

SecureGoは2026年8月3日に提供を開始した。初期費用は10万円から。機密情報の検知・ブロックなどの機能は1端末当たり月額1,000円から、セキュリティ教育機能は1ユーザー当たり月額1,000円から利用可能だ。RGSは提供開始から1年間で100社、1万ライセンスの導入を目指す。

生成AIの業務利用が広がる一方、社内規則として利用を禁止するだけでは、会社の管理外で使われるシャドーAIを防ぐことは難しい。余澤さんも「どんなに強いシステムでも安全ではない」と話し、社員のセキュリティ知識を高める重要性を説く。

機密情報を送信前に止め、実際の検知内容を社員教育に生かすSecureGoは、技術と人の両面から情報漏洩に向き合う試みだ。生成AIの利便性を損なわず、安全に使い続けるための一つの現実的な答えになるのではないだろうか。

---

取材・文・写真：平木昌宏
編集：土田洋祐