Copilotに会社や顧客の情報を入力して大丈夫？業務で判断するポイント

Copilotを業務で利用するとき、「会社や顧客の情報を入力しても大丈夫か」と迷うことがあります。

Microsoft 365 CopilotやMicrosoft Copilot Chatには、企業向けのデータ保護が適用されます。ただし、システム上データが保護されていることと、その情報を業務で利用してよいことは同じではありません。

Copilotへの情報入力を判断するには、情報の種類だけでなく、利用目的、利用する環境、Web検索や外部接続、社内規程、契約・NDAなどを確認する必要があります。

この記事では、会社や顧客の情報を一律に禁止するのではなく、必要な情報を整理し、利用条件や対策を決めるための判断ポイントを紹介します。

目次

Copilotへの情報入力では、保護と利用可否を分けて考える

Microsoft 365 CopilotやMicrosoft Copilot Chatには、企業向けのデータ保護が適用されます。プロンプトや回答は企業向けの保護対象となり、基盤モデルの学習には使用されません。

ただし、Microsoft側でデータが保護されることと、会社や顧客との約束上、その情報を利用してよいことは別の判断です。

例えば、顧客から預かった情報が企業向けの環境で保護されていても、契約やNDAによって利用目的が制限されている場合があります。社内規程で、利用できるAIや入力できる情報が定められている場合もあります。

そのため、Copilotへの情報入力では、システム上の保護だけでなく、次の点も確認します。

• どのような情報を使うのか
• 何の目的で利用するのか
• 社内規程で認められているか
• 契約やNDAの条件に反しないか
• Web検索や外部サービスを利用するか
• 生成した回答を誰が確認し、どこへ共有するか

「企業向けのCopilotだから入力してよい」「顧客情報だからすべて入力してはいけない」と一律に決めるのではなく、情報、目的、利用環境、契約条件を分けて確認することが判断の出発点になります。

Copilotに適用される企業向けデータ保護やWeb検索時の処理については、「Microsoft 365にCopilotが加わると何が変わる？企業向けデータ保護を整理」で紹介しています。

次に、実際に使いたい情報と利用目的を整理していきます。

使いたい情報と利用目的を整理する

Copilotへの情報入力を判断するには、まず「何の情報を使い、何をしたいのか」を整理します。

例えば、「顧客情報を使いたい」だけでは、入力してよいかを判断できません。顧客から受け取った業務資料、契約書、問い合わせ履歴では、含まれる情報や契約条件が異なります。同じデータでも、要約する場合と、外部情報と組み合わせて分析する場合では、情報の扱われ方が変わります。

最初に、次の内容を確認します。

ここで大切なのは、「顧客情報だから利用不可」「社内情報だから利用可能」と、情報の名称だけで判断しないことです。誰の情報なのか、どのような目的で預かったのか、AIで何を行い、生成した結果をどこで使うのかによって、必要な確認は変わります。

最初からすべてを細かく調べる必要はありません。まずは情報区分、契約・NDA、AIで行いたいこと、利用環境を洗い出し、重要な情報や判断に迷うものだけ詳しく確認します。

例えば、次のような簡易チェックを使うと、公開情報、社内情報、顧客情報ごとに、データの内容、AIで行いたいこと、利用環境、必要な確認を一覧で整理できます。

この段階で利用可否をすべて確定する必要はありません。判断に迷う情報や、契約・個人情報の確認が必要なものだけ、詳細版の判断シートで確認します。

Copilotへ情報を入力する前に、対象データと利用目的を整理しておくと、利用可否だけでなく、必要な条件や対策も検討しやすくなります。

次に、使用するCopilotやエージェント、データが渡る先を確認します。

利用するAIと、データが渡る先を確認する

使いたい情報と利用目的を整理したら、次に確認するのは、どのAIを利用し、データをどのように渡すかです。

Copilotのデータの流れは、利用するサービスや機能によって異なります。Microsoft Copilot Chatへの直接入力、Microsoft 365 Copilotによる組織内情報の参照、Copilot Studioのエージェントによる外部接続では、それぞれ確認する点が変わります。

主に確認する内容は、次のとおりです。

例えば、Microsoft 365内の情報を権限の範囲で参照して要約する場合と、外部Toolを利用して別のサービスへ情報を送信する場合では、確認すべき接続先や契約条件が異なります。

また、ファイルをアップロードするときは、分析対象だけでなく、別シート、非表示列、コメント、添付画像などに不要な情報が含まれていないかも確認します。必要な部分だけを抜き出して利用できる場合は、元のファイルをそのまま渡す必要はありません。

Copilotへの情報入力では、名称だけを見て「Copilotだから大丈夫」と判断するのではなく、利用するアカウント、データの渡し方、Web検索や外部接続の有無まで確認することが重要です。

次に、確認した情報のうち、実際の処理に必要な範囲へ絞り、利用条件や対策を決めていきます。

必要な情報に絞り、関係部署と利用条件を決める

利用する情報やデータの渡り先を確認したら、実際の処理に必要な範囲まで情報を絞ります。

元のファイルや文章を、そのままCopilotへ渡す必要があるとは限りません。例えば、次のような対策が考えられます。

• 不要な列、ページ、コメント、画像を削除する
• 顧客名や個人名を一般的な表現に置き換える
• 個人情報や識別番号をマスキングする
• 必要な部分だけを別のファイルへ抜き出す
• Web検索や外部Toolを使用しない
• 出力の共有先を限定し、利用前に人が確認する
• 生成した回答の確認者、保存先、共有先、必要な保護を決める

ただし、氏名を削除するだけで十分とは限りません。所属、案件名、日付などの組み合わせから、人物や顧客を推測できる場合もあります。情報の内容と利用目的に応じて、削除・置換する範囲を決めます。

入力する情報だけでなく、生成された回答の扱いも確認します。回答に機密情報が含まれる場合は、共有先を限定し、必要に応じて秘密度ラベルや暗号化などを適用します。また、顧客への提出や社外公開に利用する場合は、内容の正確性だけでなく、著作権など第三者の権利を侵害していないかも人が確認します。コンテンツフィルターが適用されていても、業務上そのまま利用できることを保証するものではありません。

また、Copilot Studioなどでエージェントを作成する場合は、利用者への注意だけでなく、接続できるサービスを制限する方法もあります。Copilot Studioでは、データポリシーを使ってコネクタやHTTP要求、認証、公開先などを制御できます。利用できる制御や適用範囲は、実際の環境と設定で確認してください。詳しくは、Microsoft公式の「エージェントのデータポリシーを構成する」を確認してください。

判断に迷う場合は、関係部署へ単に「入力してよいですか」と尋ねるのではなく、次の内容を整理して相談します。

• 使用する情報と利用目的
• 利用するCopilotやエージェント
• Web検索や外部接続の有無
• 出力の使い道と共有先
• 実施できる対策
• 契約・NDAなどの未確認事項

相談先は、情報管理やセキュリティ担当だけとは限りません。契約については法務や顧客担当者、業務上の必要性については業務責任者、エージェントの設定についてはMicrosoft 365やPower Platformの管理者と相談します。

大切なのは、関係部署へ判断を任せることではありません。利用部門が必要な情報を整理し、関係部署と一緒に利用条件を決めることです。

Copilotへの情報入力を一律に判断しない

Copilotへの情報入力は、「安全か危険か」「入力できるかできないか」だけで決めるものではありません。

企業向けのデータ保護を確認したうえで、使用する情報、利用目的、データの渡り先、生成した回答の扱い、社内規程、契約・NDAを確認します。必要に応じて情報を減らし、共有先の制限や人による確認などを組み合わせて、利用条件を決めます。

確認した内容、実施する対策、未確認事項を判断シートなどに残しておくと、利用部門と関係部署で前提を共有しやすくなります。

大切なのは、一律に入力を禁止することでも、企業向けの保護だけを理由に利用を認めることでもありません。情報の内容と使い方を整理し、必要な確認と対策を行ったうえで、業務に活用できる状態を作ることが重要です。