シャドーAI対策エージェント「メクバリ」

社員が、どのAIに、どんな情報を送ったか。いま、答えられますか？

メクバリは、ブラウザの内側で生成AIへの送信を記録し、未承認のAIに機微情報を送ろうとしたときは、送る前に止めます。全面禁止にも、社内アンケートにも頼らないシャドーAI対策です。

導入時の社内作業: 半日以内
無料診断の期間: 約2週間
診断の費用: 0円

無料診断で、自社の実態を測る

Chrome・Edge に対応匿名運用モードありWindows・Mac 版は開発中

いま起きている現実

使っている人は9割超。
会社が把握しているのは4割。

悪意はありません。動機は「仕事を早く終わらせたい」だけです。真面目な社員ほど使っています。問題は使っていることではなく、会社がその中身を1件も把握できていないことです。

業務で生成AIを
使っている人

9割超

会社が
把握している

4割

見えていない約5割

流出は、添付ファイルではなく
コピペで起きる

従業員の77%が業務データを生成AIへコピペし、うち82%は会社の管理外アカウント経由（LayerX社調べ）。ファイルは一度も社外に出ないので、ファイル監視型のDLPには何も残りません。

個人アカウントは、
資産管理の外側にある

会社契約のSaaSなら管理コンソールにログが残ります。しかし個人の無料アカウントで開いたAIは、どの台帳にも載りません。IT部門から見れば、そもそも存在しないのと同じです。

禁止すると、
もっと見えない場所へ移る

全面禁止にした会社で起きたのは、スマホや自宅PCへの移行でした。データ侵害の20%はすでにシャドーAIに起因し（IBM 2025年調査）、国内企業の7割超が未対策です（ガートナージャパン 2026年6月）。

出典：MIT NANDA／LayerX社調べ／IBM「Cost of a Data Breach Report 2025」／ガートナージャパン（2026年6月）／IPA「情報セキュリティ10大脅威 2026」ではシャドーAI関連が初選出で第3位。

では、なぜ会社は
把握できていないのか？

シャドーAI対策で最も重要なこと、それは、

推測をやめて、
記録で確かめる
ことです。

ほとんどの会社が最初にやるのは、社内アンケートです。「生成AIを業務で使っていますか？」と全社に配る。

返ってくるのは、使っていないことになっている数字です。

無理もありません。禁止されているかもしれない。怒られるかもしれない。評価に響くかもしれない。そういう質問に、人は正直に答えません。悪意があるわけではありません。誰でも、自分の身を守る答え方を選ぶものです。

そして会社は、
実態より小さい数字を
信じたまま進みます。

「うちは大丈夫そうだ」と判断してしまうのが、いちばん危ない。何も起きていないのではなく、何が起きているか見えていないだけだからです。

事故が起きたとき、真っ先に聞かれるのがこの質問です。

事故が起きたあと

「で、何が、どこに、
出たんですか？」

アンケートには、その答えが1文字も書かれていません。

でも、うちは禁止してるし……

監視みたいで、社員が嫌がりそう……

大丈夫です。

メクバリは、AIの利用をすべて止めるわけではありません。止めるのは、未承認のAIにマイナンバーやカード番号を送ろうとしたときのように、機微情報を含むと判定された送信だけです。それ以外は業務を止めずに記録し、会社が承認したAIへ案内します。

個人名を出すかどうかも、会社の方針で選べます。匿名運用モードなら部署単位の集計だけが表示され、少人数の部署は自動で全社の数字に合算されます。

やることは、全従業員のブラウザに拡張機能を配るだけ。管理コンソールから自動配布するので、従業員がPCを操作する必要はありません。

覚えておいてほしいこと

禁止でも、研修でも、アンケートでもなく、

まず、
見えるようにする。

それが、シャドーAI対策の第一歩です。

見えたら、次に何ができるのか？

見る・止める

まず見て、
必要なときだけ止める。

メクバリでできることは2段階です。まず全社のAI利用を見える化し、そのうえで機微情報を含む送信だけを止めます。どこまで止めるかは、プランと部署ごとに選べます。

個別のご相談

安全活用の支援

社内専用のAI環境や、AIへの情報漏えいを防ぐ仕組みを自社向けに作りたい場合は、AIゲートウェイやAI DLPの構築を個別にお見積りします。

※表示イメージです

止める基準は「情報のレベル × 送信先」で決まります

最初から推奨の既定値が入っているので、ゼロから設計する必要はありません。使ってよいAIサービスは、部署ごとに変えることもできます。

情報のレベル（既定の種類）	承認済みのAIへの送信	未承認のAIへの送信
高マイナンバー、カード番号	止める	止める
中電話番号、メールアドレス（社外）、登録した社外秘キーワード	記録のみ	止める
低ソースコード、長文	記録のみ	記録のみ

ブロックプランの既定値です。検知プランでは「止める」が「注意の表示」になります。情報の種類とレベルの割り当ては、会社ごとに変更できます。

見る

検知プラン

まず、全社のAI利用を見える化したい会社に

含まれる内容

生成AIの利用を記録（誰が・どのAIを・何回。会社／個人アカウントの区別も）
送った内容に含まれる機微情報を記録（種類と件数のみ。本文は保存しません）
機微情報を含む送信に注意を表示（マイナンバー・カード番号・APIキーなど）
AIサービスの台帳（承認／未承認の切り替え）
ダッシュボード・月次レポート
デスクトップAIアプリの利用を記録（Windows・Mac／開発中）

止める

ブロックプラン

機微情報の持ち出しを、送る前に止めたい会社に

含まれる内容

検知プランのすべてに加えて
機微情報の送信・貼り付けを、実行前に止める
AIサービスをまるごと止める（提供予定）
未承認AIアプリのダウンロードを止める
部署ごとに使えるAIを変える
社外秘キーワードの登録（顧客名・案件名など）
利用申請と承認（社員が申請 → 管理者が承認）
未承認デスクトップAIアプリの起動を止める（Windows・Mac／開発中）

個別に構築

安全活用（個別見積）

社内専用のAI環境まで、自社向けに作りたい会社に

ご相談いただける内容

AIゲートウェイの構築
AI DLPの構築
受託開発として、ご要望に合わせてお見積りします

全社員に検知プランを適用したうえで、部署ごとにブロックプランへ引き上げられます。料金はサービス資料でご案内しています。

管理画面では、何が見えるのか？

見えると、こうなる

「使ったかどうか」ではなく、
どんな情報を送ろうとしたかまで残ります。

部署のメンバーを1人1本のバーで並べます。右端はヘビーユーザー、左端は導入したのに使えていない人。守りと攻め、両方の打ち手を同じ画面から考えられます。

app.mekubari.jp/

※管理画面（デモ環境の表示例）。氏名・部署はすべて架空です

今日、誰が・どのAIを使ったか

送信件数・利用人数・カバレッジを、その日のうちに。サービス別の利用も一目で分かります。週次のシャドーAI利用率や機微情報の入力件数は、前週との差を小さなバッジで示します。

1人1本のバーで、使い方の差が見える

右端はよく使う人、左端は導入したのに使えていない人。中央値の0.4倍未満を「要フォロー」として色分けします。セキュリティ対策の画面で、AI活用の進み具合もそのまま測れます。

突出している数人に、個別に声をかける

未承認AIの利用が中央値の1.5倍を超える人を「要注意」として色分け。全社を一律に締めつけるのではなく、声をかける相手を数人に絞れます。個人が出るのは個人特定モードのみで、閲覧は監査ログに残ります。

どの部署で、どんな情報が動いているか

マイナンバー・カード番号・電話番号・社外秘キーワードなど、機微情報の入力を種類ごとに週次で集計。部署 × 種類のマトリクスで、手を打つべき場所が分かります。入力内容そのものは収集していません。

検知したAIサービスを、台帳にする

利用の多い順に並んだAIサービスを、ワンクリックで承認／未承認に切り替えられます。個人アカウントでの利用率や、ダウンロードの検知件数もあわせて表示します。

止めっぱなしにせず、申請で正規の利用へ

社員は拡張機能のポップアップから「このAIを使いたい」と申請でき、管理者はこの画面で承認・却下します。必要なAIは、正規の利用に切り替えていけます。

そのまま経営会議に出せる、月次レポート

独自のスコアに置き換えず、実測値のまま毎月自動で作成します。稟議の資料や、取引先から届くセキュリティ調査票の根拠にも使えます。集計データはMCP連携でClaudeから直接参照でき、追加分析の自動化にも使えます。

現場でよく起きている形

シャドーAIは、たいてい
この12のパターンで起きます。

御社で起きていそうなものを、タップして選んでください。入口ごとに、メクバリでどこまで押さえられるかも正直に書いています。
※「停止」はブロックプランの機能です。

入口 Aブラウザで開いた生成AI

入口 Bブラウザの外へ逃げた利用

入口 CAIだと思われていないAI

0/ 12

御社で起きていそうなものを、タップして選んでください。

無料診断で実測する

検知対象のAIサービス辞書は拡張機能の自動更新で随時追加されるため、新しいサービスにもお客様側の作業なしで対応します。ブラウザ側の仕様で拡張の動作が制限されるサイトもあるため、対象範囲は無料診断時に実機で確認します。

メクバリが選ばれる

4つの理由

ブラウザの内側という、誰も見ていない経路に入る

資産管理もSaaS管理コンソールも、個人アカウントで開いたAIには届きません。拡張機能として、AIサイトの訪問・送信・貼り付け・ダウンロードを、その場で押さえます。Windows・Mac のデスクトップアプリへの対応も進めています。

守りだけでなく、攻め（活用の遅れ）も同じ画面で見える

よく使う人だけでなく、「導入したのに使えていない人」も見えます。セキュリティ対策として入れたものが、そのままAI活用推進の進捗計測になります。稟議を通しやすいのも、この点です。

情シスの運用負荷を、増やさない

配布は管理コンソールから自動、社内作業は半日以内。止める基準には最初から推奨の既定値が入っています。専任チームも数ヶ月のプロジェクトも要りません。

作っているのは、AIの研究開発から伴走支援まで手がける会社

B-Rocaは、AIの研究開発から、企業のAI活用を現場で定着させる伴走支援までを手がけています。検知したあと「じゃあどう使わせるか」まで、研修・伴走で引き受けられます。

導入の流れ

配るだけ。
社内作業は合計半日以内です。

お問い合わせ

現状と課題感を伺い、対象範囲の候補をご相談します。

3営業日以内にご連絡

無料シャドーAI診断

現状を実測し、経営層向けの報告会を実施します。数字を見てから導入をご判断いただけます。

費用0円／期間約2週間

ご契約

診断結果をふまえて、プラン（検知／ブロック）と運用モード（匿名／個人特定）を決めます。部署ごとにブロックプランへ引き上げることもできます。安全活用の支援は、必要に応じて個別にご提案します。

年間契約

導入

設定・従業員への告知・拡張機能の一斉配布まで、B-Rocaが支援します。告知文・AI利用規程のテンプレートもご提供します。

期間約2週間

運用開始

管理画面と月次レポートで日々の利用を把握。必要に応じて研修・AI伴走支援へ。

検知は翌日から反映

よくいただくご質問

先に、お答えしておきます。

デスクトップアプリで使われたら、検知できないのでは？

ブラウザ経由（Chrome / Edge 拡張）はリアルタイムで検知し、プランに応じて警告・停止まで行います。Windows・Mac のデスクトップアプリについては、利用の検知と、未承認アプリの起動ブロック（承認済みのブラウザ版へ案内）を開発中です。拡張の導入前にさかのぼる期間や、スマホなど拡張の届かない利用は、トーク履歴のインポートで棚卸し・分析ができます。 ※デスクトップ版は利用の検知と起動ブロックまでです。アプリ内の入力内容は読み取りません。

入力した文章は、メクバリのサーバーに保存されますか？

入力した文章は、メクバリのサーバーに保存しません。機微情報の判定は従業員のPCの中で行い、検知した機微情報について記録するのは「電話番号 2件」「メールアドレス 1件」のような、情報の種類と件数だけです。入力本文を保存せずに、AIの利用状況とリスクを把握できます。

従業員の監視にあたりませんか？

運用モードを会社の方針で選べます。匿名運用モードなら個人は表示されず、少人数の部署は個人が推測されないよう自動で全社の数字に合算されます。個人特定モードで運用する場合も、事前告知と規程整備をテンプレートで支援します。個人特定モードでの閲覧操作は監査ログに記録されるため、「見る側」の運用も透明に保てます。

Chrome以外のブラウザや、新しいAIサービスには対応できますか？

Edgeにも同じ拡張機能で対応します（Chrome・Edgeで社内PCの大半をカバーできます）。検知対象のAIサービス辞書は拡張機能の自動更新で随時追加されるため、新しく登場したサービスにもお客様側の作業なしで対応します。なおブラウザ側の仕様で拡張機能の動作が制限されるサイトもあるため、対象範囲は無料診断時に実機で確認します。

導入にどれくらい手間がかかりますか？

社内作業は合計半日以内です。管理コンソールから拡張機能を自動配布するため、従業員のPC操作は不要です。告知期間を含めても、約2週間で運用を開始できます。告知文面もテンプレートをご用意しています。

小さく始められますか？

できます。契約は50ID単位です。全社員を検知プランで見える化したうえで、リスクの高い部署だけブロックプランに引き上げる、という始め方をおすすめしています。

費用はどれくらいかかりますか？

検知・ブロックの2プランで、1ID・月額の定額制です。年間契約で、ご利用ID数に応じた割引もあります。まず無料シャドーAI診断（0円）で実態をご確認いただき、対象範囲を決めてからお見積りをお出しします。料金表はサービス資料に記載していますので、お気軽にご請求ください。なお、AIゲートウェイ・AI DLPの構築は個別にお見積りします。

特定のAIを、全面的に使えなくできますか？

ブロックプランで、指定したAIサービスを開いた時点で使えなくする機能を提供予定です。現在は、未承認のAIへの機微情報の送信・貼り付けと、未承認AIアプリのダウンロードを止められます。

まずは、御社の
「見えていないAI利用」を
測ってみませんか。

無料シャドーAI診断で実態を数字にし、経営層向けの報告会でご説明します。結果はそのまま、導入判断・社内稟議の材料としてお使いいただけます。

0円
診断の費用
約2週間
診断の期間
半日以内
導入時の社内作業

無料シャドーAI診断を相談する

診断を受けたからといって、導入の義務はありません。検討を始めたばかりの段階でも、お気軽にご相談ください。

社員が、どのAIに、 どんな情報を送ったか。 いま、答えられますか？

使っている人は9割超。会社が把握しているのは4割。

流出は、添付ファイルではなくコピペで起きる

個人アカウントは、資産管理の外側にある

禁止すると、もっと見えない場所へ移る

まず見て、必要なときだけ止める。

見る

止める