シャドーAI検知エージェント「メクバリ」の提供を開始。社内の生成AI利用を可視化し、未承認利用と機微情報の入力を検知
株式会社B-Roca（東京都文京区、代表取締役：二宮忠志郎）は、シャドーAI検知エージェント「メクバリ」の提供を開始しました。ブラウザ拡張を配布するだけで、誰がどのAIサービスに何を送ったかを検知・記録し、未承認利用と機微情報の入力を中央値ベースのしきい値で可視化します。
◾️ 概要
AIシステム開発および企業向けAI活用支援を行う株式会社B-Roca（本社：東京都文京区、代表取締役：二宮忠志郎、以下 B-Roca）は、社内の生成AI利用を可視化するシャドーAI検知エージェント「メクバリ」の提供を開始しました。
メクバリは、従業員のブラウザに拡張機能を配布するだけで、誰がどのAIサービスに何を送ったかを検知・記録し、経営がAI利用の実態を数字で把握できる状態をつくります。一律に遮断して業務を止めるのではなく、実態を見えるようにして手を打つ設計です。
◾️ 背景：シャドーAIは、ファイル監視型の対策では見つからない
会社が契約・許可したAIの外側で、従業員が個人アカウントや無料のツールを業務に使う。これがシャドーAIです。悪意があって起きるものではなく、多くは仕事を早く終わらせたいという動機から始まります。
やっかいなのは、持ち出しの経路が添付ファイルではなくコピー＆ペーストだという点です。提案書を早く仕上げようと顧客リストをそのまま個人契約のAIに貼り付けても、ファイルは一度も社外に出ていないため、ファイルの送受信を監視する仕組みには何も残りません。個人の無料アカウントで開いたAIは、SaaSの管理コンソールにも資産管理台帳にも載らず、情報システム部門から見れば存在しないことになっています。
禁止という手もありますが、実際に起きるのはスマートフォンや自宅PCへの移動です。見えない場所が増えるだけで、リスクは減りません。
◾️ メクバリでできること
誰がどれだけAIを使っているかが分かる
ブラウザ拡張として、AIサイトの訪問・チャットの送信・貼り付けを検知します。部署のメンバーを1人1本のバーで並べると、右端にはヘビーユーザーが、左端には導入したのに使えていない人が現れます。守りの打ち手と活用推進の打ち手が、同じ画面から出てきます。
未承認のAI利用と機微情報の入力を検知する
見るのは3つの指標です。シャドーAI利用（未承認のAIサービスへの送信）、機微入力（個人情報や機密情報を含む送信）、シャドーAI App-DL（AIアプリのダウンロード）。いずれも中央値の1.5倍をしきい値として、突出している人を自動で色分けします。
全社を一律に締めるのではなく、突出している数名に個別に声をかける、という打ち手に落とせます。
平均ではなく、中央値と裾で見る
リスクは全体の平均には現れません。平均は少数のヘビー利用に引っ張られるためです。メクバリは「AI利用スコア72点」のような独自の合成スコアを作らず、中央値・パーセンタイル・歪度といった記述統計をそのまま表示します。数字の根拠を誰でも検証できる状態にしておくためです。
週次サマリと月次レポートで、経営会議にそのまま出せる
平均利用日数、シャドーAI利用率、機微入力件数、登録メンバー数を前週比とあわせて表示し、ChatGPT・Claude・Geminiなどサービスごとの利用件数も並べます。月次レポートは自動で生成され、集計データはClaudeから直接参照できます（MCP連携）。
本記事に掲載している管理画面のスクリーンショットは、デモ環境の表示例です。表示されている人物名・部署名・数値はすべて架空のものです。
◾️ 個人名を出すかどうかは、会社の方針で選べます
匿名運用モードでは部署単位の集計のみを表示し、個人名は管理画面に出ません。少人数の部署は、統計的に個人が推測されないよう自動でマスクされます。
個人特定モードでは、誰がどのAIに何を入力したかを確認でき、個別の注意喚起や、インシデント発生時の影響範囲の特定に使えます。このモードでの閲覧操作は監査ログに記録されるため、見る側の運用も透明に保てます。
いずれのモードでも、従業員への事前告知を前提としています。告知文・就業規則・AI利用規程のテンプレートをあわせてご提供します。
◾️ 導入の流れ
拡張機能は管理コンソールから自動配布するため、従業員側のPC操作は不要です。社内作業は合計半日以内、告知期間を含めて約2週間で運用を開始できます。
導入前には、無料のシャドーAI診断（費用0円・期間約2週間）をご用意しています。アンケートと簡易ログで現状を診断し、経営層向けの報告会でご説明します。数字を見てから導入をご判断いただけます。
対象部署を絞ったスモールスタートも可能です。1部署で始め、レポートの数字を根拠に全社へ広げる進め方をおすすめしています。
◾️ よくあるご質問
シャドーAIとは何ですか
シャドーAIとは、会社が契約・許可していない生成AIサービスを、従業員が個人のアカウントなどで業務に使っている状態を指します。IT部門の管理外で使われるため利用記録が残らず、情報漏えいが起きても事後に経路を確認できないことが問題になります。
デスクトップアプリで使われた場合も検知できますか
検知は二層構えです。ブラウザ経由（Chrome・Edge拡張）の利用はリアルタイムで検知・記録します。デスクトップアプリや、拡張機能の導入前にさかのぼる期間については、トーク履歴のインポートによって棚卸し・分析ができます（インポートはスナップショットのため、アラートの対象にはなりません）。業務でのAI利用の大半はブラウザ経由のため、まず最大の経路を押さえる設計にしています。
対応するブラウザとAIサービスを教えてください
ChromeとEdgeに、同じ拡張機能で対応します。検知対象のAIサービスの辞書はサーバーから配信・随時更新されるため、新しく登場したサービスにもお客様側の作業なしで対応します。
従業員の監視にあたりませんか
運用モードを会社の方針で選べます。匿名運用モードなら個人は表示されず、少人数部署は自動でマスクされます。個人特定モードで運用する場合も、事前告知と規程整備をテンプレートで支援します。個人特定モードでの閲覧操作は監査ログに記録されるため、見る側の運用も透明に保てます。
AIの利用をブロックしますか
一律に遮断することはしません。業務を止めずに統制を効かせることを優先した設計です。そのうえで、どこまで介入するかは会社の方針に合わせて設定できます。AI利用規程に沿わない使い方を検知したときに、ブラウザ上にポップアップで注意を表示する機能も備えており、強制的に止めるのではなく、その場で気づいてもらう形にできます。
部署単位で始められますか
できます。対象部署の人数分から始められるため、全社の稟議を待たずに導入し、効果を確認してから広げられます。
費用はどれくらいですか
対象人数の区分に応じた定額制で、プランによる機能差はありません。まず無料のシャドーAI診断で実態をご確認いただき、対象範囲を決めてからお見積りをお出しします。
◾️ 関連リンク
メクバリ サービスサイト：https://www.broca.co.jp/mekubari
AIガバナンス支援サービスの提供開始について：https://www.broca.co.jp/news/ai-governance-support-service-launch
◾️ 株式会社B-Roca について
株式会社B-Rocaは、企業のAI活用を「導入して終わり」にせず、日々の業務に定着させるところまで支援するAIスタートアップです。AI伴走支援、AIシステム開発、AIプロダクトの3つを軸に、AIツールの選定・導入から業務への実装、人材育成までを一貫して提供しています。
会社名：株式会社B-Roca
本社所在地：東京都文京区本郷6-25-14
代表取締役：二宮忠志郎
設立：2024年7月
従業員数：20人（業務委託を含む）
コーポレートサイト：https://www.broca.co.jp/
◾️ 本件に関するお問い合わせ
本サービスに関するご相談・お見積りのご依頼は、下記のお問い合わせフォームよりご連絡ください。