Microsoft 365にCopilotが加わると何が変わる？企業向けデータ保護を整理

Microsoft 365を利用する企業では、SharePointに顧客資料を保存したり、Teamsで社内外の情報を共有したりすることが、日常業務の一部になっています。そのMicrosoft 365にAIが加わるなかで、Copilotのデータ保護について気になる方も多いのではないでしょうか。

同じMicrosoft 365の環境でも、Copilotが情報を扱うとなると、「会社や顧客の情報を使っても大丈夫か」と不安を感じる方もいるでしょう。AIの利用に慎重になることは大切ですが、AIという理由だけで判断するのではなく、これまでのMicrosoft 365と比べて、何が変わり、何が変わらないのかを整理する必要があります。

この記事では、Microsoft 365のみを利用する場合、Copilot Chatを利用する場合、Microsoft 365 Copilotを利用する場合を比べながら、企業向けデータ保護とWeb検索、エージェント利用時の違いを分かりやすく整理します。

目次

Microsoft 365では、これまでも会社や顧客の情報を扱っている
Microsoft 365にCopilotが加わると、データ保護は何が変わるのか
Copilotに適用される企業向けデータ保護とは
Web検索やエージェントを使うと、何が変わるのか

Microsoft 365では、これまでも会社や顧客の情報を扱っている

Microsoft 365を利用する企業では、SharePointに顧客資料を保存し、Teamsで共有し、Outlookで連絡を取り合うことが日常的に行われています。Copilotを利用していない環境でも、会社や顧客の情報はMicrosoft 365上で扱われています。

アクセス権、共有範囲、外部共有、保持、監査といった管理は、AIの登場によって初めて必要になったものではありません。たとえば、閲覧できる人が多すぎる、共有先を誤る、不要になった情報が残り続けるといった問題は、従来のMicrosoft 365でも起こり得ます。

一方、Copilotが情報を扱うとなると、これまで以上に不安を感じる方もいるでしょう。AIの利用に慎重になることは大切です。ただし、「AIだから危険」と一括りにするのではなく、従来のMicrosoft 365と共通する情報管理と、Copilotによって新しく加わる処理を分けて考える必要があります。

次に、Microsoft 365のみを利用する場合と、Copilot ChatやMicrosoft 365 Copilotを利用する場合では、情報の扱いがどのように変わるのかを見ていきます。

Microsoft 365にCopilotが加わると、データ保護は何が変わるのか

Microsoft 365のみを利用する場合と、Copilotを利用する場合では、情報の保存場所がすべて変わるわけではありません。主に変わるのは、保存されている情報をAIが参照し、要約や回答の生成に活用できるようになることです。

ただし、「Copilotを使っている」といっても、利用する製品や機能によって、組織データとの関わり方は異なります。

Microsoft Copilot Chatは、Web情報を中心に回答します。ただし、利用方法によっては会社の情報も扱います。例えば、ファイルをアップロードした場合や、組織データへ接続するエージェントを利用した場合です。詳しい機能の違いは、Microsoft公式の「Microsoft Copilot Chatの概要」で確認できます。

一方、Microsoft 365 Copilotは、Microsoft Graphを通じて、利用者がアクセスできるメール、チャット、ファイル、会議などを回答の根拠として利用します。Microsoft 365内のすべての情報を自由に参照するわけではなく、その利用者に閲覧が許可された情報が対象です。

ただし、Copilotによって、以前からアクセスできた情報を見つけやすくなる可能性があります。そのため、Copilotだけを警戒するのではなく、SharePointやOneDrive、Teamsのアクセス権や共有範囲を適切に管理することが重要です。詳しくは、Microsoft公式の「Microsoft Copilot データ保護アーキテクチャ」を参照してください。

つまり、「Copilotを使っている」という情報だけでは、データの扱われ方までは判断できません。どのCopilotを、どこで、どの機能と組み合わせて利用しているかを確認する必要があります。

次に、Copilotに適用される企業向けデータ保護について確認します。

Copilotに適用される企業向けデータ保護とは

Microsoft 365 CopilotとMicrosoft Copilot Chatでは、エンタープライズ データ保護（EDP）が適用されます。

EDPは、特定の一つのセキュリティ機能を指すものではありません。プロンプトや回答などのデータに適用される管理機能と、Microsoftによる契約上の保護をまとめた考え方です。Microsoftは、プロンプトと回答が、ExchangeのメールやSharePointのファイルと同様の企業向け契約条件によって保護されると説明しています。

AIチャットのデータ保護は、サービスや契約プラン、管理設定によって異なります。以下では、Microsoft 365 Copilot／Microsoft Copilot Chatと、企業向けの保護を確認していない一般向けAIチャットを比較します。

この表で特に確認したいのは、「学習に使われない」だけが企業向けデータ保護ではないことです。

Copilotでは、既存のアクセス権や秘密度ラベル、保持、監査なども情報管理に関係します。また、学習に使われないことと、やり取りが保存されないことは同じではありません。プロンプトと回答は、監査や電子情報開示のために記録・保存される場合があります。

詳しい保護範囲は、Microsoft公式の「Microsoft CopilotおよびMicrosoft Copilot Chatにおけるエンタープライズ データ保護」で確認できます。

Web検索やエージェントを使うと、何が変わるのか

企業向けデータ保護が適用されていても、Web検索や外部Toolを利用する場合は、Microsoft 365内の情報処理とは分けて考える必要があります。

CopilotがWeb検索を行う場合、入力したプロンプトをそのまま検索サービスへ送るのではなく、回答に必要な情報を探すための検索クエリを生成します。その検索クエリがMicrosoft Bingへ送られ、取得したWeb情報が回答に利用されます。

そのため、「プロンプトが基盤モデルの学習に使われない」ことと、「何も外部へ送られない」ことは同じではありません。 Web検索を利用する場合は、元のプロンプト、生成された検索クエリ、検索結果を分けて理解することが大切です。

また、エージェントがコネクタ、API、外部Toolを使用する場合は、情報の参照だけでなく、外部サービスへの送信、データの登録や更新などを行うことがあります。

Copilotを利用する際は、「AIを使うかどうか」だけで判断するのではなく、どの情報を参照し、どこへ送り、どのような処理を実行するのかを確認する必要があります。

Web検索時の詳しいデータ処理は、Microsoft公式の「Microsoft CopilotとMicrosoft Copilot ChatでのWeb検索のデータ、プライバシー、セキュリティ」もあわせて確認してください。

Microsoft 365との違いを踏まえてCopilotを利用する

Copilotが加わっても、Microsoft 365で行ってきた情報管理がすべて別のものへ変わるわけではありません。アクセス権、共有範囲、秘密度ラベル、保持、監査といった従来の管理は、引き続き重要です。

そのうえで、Copilotではプロンプトと回答、Web検索、エージェントによる外部接続など、新しく確認する要素が加わります。

大切なのは、「AIだから危険」「Microsoftだから安全」と一律に判断することではありません。Microsoft 365のみの場合と比べて、情報の流れや処理範囲がどこまで変わるのかを確認することが、Copilotのデータ保護を理解する出発点になります。

ただし、Microsoft側の企業向けデータ保護が確認できても、会社や顧客の情報を自由に入力してよいとは限りません。具体的な判断方法は、「Copilotに会社や顧客の情報を入力して大丈夫？業務で判断するポイント」で紹介しています。