Microsoft 365 Copilot のガバナンス設計｜情シスが導入前に決めるべき6つの論点

Copilot が表面化させる「隠れていた課題」

Microsoft 365 Copilot は、利用者本人がアクセスできる情報のみを参照します。この点でセキュリティモデルは既存の Microsoft 365 と同じです。しかし、これまで「探せなかったから見えなかった」過剰共有のファイルが、Copilot の検索・要約によって見えるようになります。ガバナンス設計の中心は、この構造を理解した上で、権限・分類・ルールを整えることです。

論点1：権限とデータの整備

• 過剰共有の洗い出し：「組織内のすべてのユーザー」に共有されているサイトやファイルを一覧化し、必要なものだけ残す
• サイト構造の整理：部門・プロジェクト単位で SharePoint サイトを整え、個人の OneDrive に業務データが偏らないようにする
• アクセスレビュー：定期的に共有状態を見直す運用を決める

論点2：機密情報の分類

Microsoft Purview の感度ラベルを使い、「社外秘」「個人情報を含む」などの分類を文書に付けます。ラベルに応じて Copilot の参照や出力への表示を制御できるため、ラベル設計は Copilot 展開の土台になります。まず分類の粒度を3〜4段階に絞り、業務部門が迷わず付けられる基準を作ります。

論点3：利用ガイドライン

全社員向けに、次を含む短いガイドラインを作ります。

1. 使ってよい業務・使ってはいけない業務
2. 出力の確認義務（数値・固有名詞・法的表現は必ず人が確認する）
3. 個人情報・顧客情報の扱い
4. 社外への提出物における AI 利用の開示方針
5. 困ったときの相談窓口

作り方の詳細は 生成AI利用ガイドラインの作り方 で解説しています。

論点4：ログと監査

• Copilot の操作は Microsoft 365 の監査ログに記録されます。保存期間と、誰が確認できるかを決めます
• インシデント発生時の調査手順（誰が、いつ、何を参照したか）を事前に整理します
• 利用状況レポートは、監査だけでなく定着支援（利用率の低い部署への対応）にも使います

論点5：ライセンス管理

• 配布の基準：職種・役職・業務内容に基づき、誰に配るかの基準を明文化する
• 見直しの周期：利用実績の低いユーザーのライセンスを回収し、意欲のある社員に回す運用を決める
• コスト管理：部門ごとのライセンス数と利用率を月次で確認する

論点6：Copilot Studio の作成ルール

社内でエージェントを作れる状態にする場合は、次を決めます。

• 作成できる人の範囲（全社員か、情シスと推進担当か）
• 作成時の登録項目（用途・責任者・参照する文書・見直し時期）
• 公開前のレビュー（回答テストと権限確認）
• 放置されたエージェントの棚卸し

基礎は Copilot Studio 入門 を参照してください。

段階的に進める

1. パイロット：情シスと1〜2部署で、過剰共有の洗い出しと感度ラベルの試行
2. ガイドライン制定：パイロットの学びを反映し、短いガイドラインを公開
3. 部門展開：職種別研修と推進担当の配置を伴って拡大
4. 定期見直し：権限・ラベル・ライセンス・エージェントを四半期ごとに棚卸し

情シス向け研修で論点を整理

当社の Microsoft 365 Copilot 研修 では、情シス・推進担当向けに上記6論点の整理と、自社版ガイドラインのたたき台作成を行います。全社展開前の設計段階からご相談いただければ、DX/AXコンサルティング と組み合わせて支援します。無料相談 からお問い合わせください。