Copilot全社展開の前に｜権限とデータ範囲を決める6項目

権限を放置したまま配ると何が起きるか

まず前提を正確に押さえます。公式は、CopilotがOffice 365の信頼境界の中で動作し、データは利用者のものであり続けるとしています。ファイルやCopilotとのやり取りがモデルの学習に使われることも、他の顧客と共有されることも、広告主に売られることもないと明記されています。

そのうえで、公式はこうも書いています。Copilotは、すでに環境を守るために行ってきた作業の上に成り立つ。SharePoint、メール、Teams、OneDrive。既存の権限設計がそのまま働きます。裏返すと、その設計が甘ければ甘いまま働きます。

公式が示すSharePointの6ステップ

Microsoftは、組織のデータを適切に統治するための手順をSharePoint側で6つ挙げています。必ずこの順にやらなければならない決まりではありませんが、前から片付けるほうが後の作業が軽くなります。

1から3までは、Copilotの話を抜きにしてもやっておくべき作業です。つまりCopilotの導入は、先送りされてきたファイル管理の整理に着手する理由になります。予算を取る説明としても、この角度のほうが通りやすいことがあります。

技術的な手順や、共有し過ぎを検知する具体的な方法は、CopilotとSharePointの共有し過ぎ対策で情シス向けに扱っています。この記事では、経営・管理部門が何を決めるかに絞ります。

見落とされやすい2つの仕様

1. 旧IRMで保護した文書は、根拠として使われない

これは知らないと判断を誤ります。準備のページにはこう書かれています。「従来の情報権利管理（IRM）を使用している文書は、Copilotのグラウンディングには使われない」。そのうえで、IRMによる文書保護を使っている場合は、Purviewの秘密度ラベルによる保護へ切り替えて、共有し過ぎを防ぐことを勧めています。

実務では両面あります。守りたい文書を確実に外したい場合と、「重要な資料ほどIRMで守ってある」ために、いちばん答えてほしい資料が対象外になる場合です。どちらの状況なのかを先に確かめてください。

2. OneDriveの見え方は、SharePointの設定に従う

公式は、Copilotを有効にする前にOneDriveの統治を設定するよう案内しています。CopilotがOneDriveのファイルにアクセスするのは利用者の既存の権限の範囲内で、Microsoft 365全体に適用されているセキュリティ・コンプライアンス・プライバシーの制御に従います。

OneDriveには仕組みの面で見落としがあります。基盤としてSharePoint Onlineを使っているため、テナント単位のSharePointの共有ポリシーがOneDriveにも適用されます。外部共有、リンクの種類、既定の権限。これらの制御が、そのままCopilotの回答に出てくる内容を左右します。「OneDriveは個人の領域だから」と分けて考えると、設計が抜けます。

Purviewは権限の上に重ねる層

ここは役割を分けて考えてください。秘密度ラベルは、データの分類と暗号化、そしてCopilotが参照できる範囲の制御に使います。一方、事故が起きたときに範囲を特定するのは監査の役目です。Purviewの監査を有効にしておけば、利用者・時刻・参照したファイルといった記録が残ります。

展開前に確認しておくのは、監査が有効になっているか、ログの保持期間が自社の要件に足りているか、そしてeDiscoveryを使える契約かどうか。ラベルを整えることと、後から追えるようにすることは別の準備です。片方だけでは足りません。

経営・管理部門が決める3つのこと

6ステップの実作業は情シスが担えますが、判断は情シスだけではできません。次の3つは、業務部門と経営が決める話です。

1. 誰が資料の持ち主かを決める

2番目のステップ「すべてのサイトに有効な所有者がいる状態にする」は、技術の話に見えて組織の話です。その資料を誰が管理し、誰が公開範囲を判断するのか。ここが空いているサイトは、情シスが勝手に絞ることも広げることもできません。部署ごとにファイルの管理者を任命するところから始めてください。

2. 見えてよい範囲を業務で決める

「全社員が見てよい」「部署内だけ」「特定の役職以上」。この線引きは規程の話であって、設定の話ではありません。情シスに「適切に設定してください」と依頼しても、適切の定義がなければ動けません。人事、経理、法務の3領域だけでも先に決めておくと、6番目のステップが進みます。

3. 段階展開の区切りと、止める条件を決める

公式も段階的な展開を強く推奨しています。部署単位で区切り、そのたびに共有範囲を見直す。あわせて「何が起きたら止めるか」を先に決めておいてください。見えてはいけない資料が出た、問い合わせが処理しきれない。基準が無いと、事故が起きてから全社で止めることになります。

整理そのものを効率よく進めたい場合は、業務効率化の進め方で扱っている、対象を1つに絞って成果を出してから広げる考え方が使えます。

活用イメージ｜研修の2ケース

よくある質問

登壇・セミナー実績

開催レポートを読む →

開催レポートを読む →

神戸商工会議所・石川県庁など、各地の商工会議所や自治体でAI活用セミナーに登壇しています。現場で得た知見をもとに、京都の中小企業のAI導入を支援しています。

監修

仙入 功樹 せんにゅう こうき

代表取締役

吉村 祐樹 よしむら ゆうき

COO

本記事はAI導入支援の実務担当が監修しています。京都の中小企業を中心に、AI導入の相談から開発・研修・運用定着までを支援しています。監修者の経歴と登壇実績はメンバー紹介をご覧ください。