Copilot の権限モデルの解説

By Mirko Peters · 2026-03-18 · Updated 2026-03-24

Microsoft 365 Copilot でデータを保護しましょう。Copilot の利用に必要なアクセス許可の構成と管理方法を解説します。テナント内で AI モデルへのアクセスを制御できます。

Automatically translated with AI from the original post. Read the English original

組織のビジネスや IT 管理を担当する場合、Microsoft 365 Copilot の権限の仕組みを理解することは欠かせません。Copilot は単なる AI アドオンではなく、Microsoft 365 エコシステム全体に組み込まれ、ドキュメント、メール、チャットなどにアクセスします。そのため、誰が何にアクセスできるのか、データがどのように安全に保たれているのか、そしてコンプライアンス要件をどのように満たしているのかを正確に把握しておく必要があります。

本ガイドでは、主要な領域を取り上げます。Copilot のセキュリティモデルとロール管理から、データ保護、監査戦略までを扱います。Copilot の導入を担当している方も、コンプライアンスチームへの対応を担当している方も、セキュリティ、アクセス制御、規制要件、拡張性に関する実践的な知見が得られるはずです。目的は、Copilot の導入を強力かつ適切に統制された状態にし、状況を見失わないようにすることです。

• 初期設定のアクセス範囲は、想定より広く感じられることがあります。Copilot の連携機能は、個々のファイルだけでなくコードベース全体でインライン提案を行えるよう、リポジトリレベルのスコープを要求することが多くあります。
• 権限は階層化されています。ユーザーレベルの同意、組織のポリシー、リポジトリの設定のいずれも、Copilot がアクセスできる範囲に影響する可能性があり、多層的な制御モデルを形成しています。
• きめ細かなトークンの利用が増えています。最新の Copilot 環境では、長期間有効なキーではなく、有効期間が短く、スコープを細かく絞ったトークンを利用できます。これにより、資格情報が漏えいした場合の影響範囲を抑えられます。
• 権限の変更は自動化できる場合があります。管理者ポリシーにより、チームやリポジトリ単位で拡張機能へのアクセスを自動承認または自動拒否できるため、アプリのリクエストごとに手作業で対応しなくても、ルールを適用できます。
• 監査可能性は、多くの人が想定しているより高いです。詳細なログにより、どの提案が生成され、どのリポジトリが参照されたかを確認できるため、コンプライアンスチェックやインシデント調査に役立ちます。
• 特定の構成では、一時的な権限昇格も可能です。組織は、診断や高度な機能のために期限付きの昇格アクセスを構成でき、期限が過ぎると権限は自動的に元に戻ります。
• データフローと学習は、リポジトリへの直接の書き込みとは分離されています。Copilot の提案生成ではテレメトリとメタデータが使用される場合がありますが、書き込み操作は同じ GitHub の権限モデルで引き続き制御されます。明示的に許可されない限り、提案が自動的にコミットされることはありません。

Microsoft 365 Copilot のセキュリティ機能の概要

Copilot を Microsoft 365 環境に取り込むことは、会社のデータを参照できる AI への扉を開くことを意味します。ただし、鍵を見ず知らずの相手に渡してしまうわけではありません。Copilot のセキュリティ機能はエンタープライズとしての価値の中核にあり、信頼された適切なユーザーだけが機能を利用でき、そのユーザーが閲覧を許可されているデータに対してのみ動作するよう、複数の保護層を組み合わせています。

Copilot のセキュリティは、Microsoft Entra ID、条件付きアクセス ポリシー、多要素認証といった最新の認証の仕組みと緊密に統合されています。これらが連携して、Copilot に情報を求めているユーザーが実際にその権利を持っていることを検証します。チームは、情報の機密性や完全性を損なうことなく、共同作業や洞察の活用を柔軟に行えます。目指すのは、安全で効率的なワークフローです。すべての Copilot の操作は追跡、監視され、エンタープライズのコンプライアンスに沿って管理されます。

このセキュリティの層が重要なのは、脅威を遮断するためだけではないからです。チームがより速く作業できるようにしつつ、監査担当者やリスク管理責任者が夜も安心して眠れるようにすることにあります。最小権限の強制、DLP、監視がどのように組み合わさるかをさらに詳しく知りたい場合は、実践的な戦略を紹介した Copilot のセキュリティとコンプライアンスの管理の記事をご覧ください。ガバナンスを重視する方には、ポリシーとロールアウトの整合性に関する内容を Copilot のガバナンス ポリシーのベスト プラクティスでまとめています。

Copilot のセキュリティと認証の仕組みを理解する

Microsoft 365 Copilot は、お使いの環境で既に利用されているコア認証プロセスを基盤としており、Microsoft Entra ID（旧 Azure AD）もその一部です。Copilot のセッションはすべて、ユーザー認証から始まります。ユーザー名とパスワードの確認に加え、電話へのコードや認証アプリなどの追加要素（多要素認証、いわゆる MFA）を求めることが多くあります。これにより、ほとんどの基本的な攻撃は入口の時点で遮断されます。

次に Copilot は条件付きアクセスを利用します。条件付きアクセスとは、デバイスの正常性、ユーザーのリスクプロファイル、サインイン試行の物理的な場所などの要素を評価する一連のルールです。適応型認証により、アクセス許可は単純な「許可か拒否か」ではなく、状況に応じて調整されます。たとえば、不審な場所から Copilot を使おうとした場合、アクセスがブロックされたり、追加の確認が求められたりすることがあります。

Copilot は、Microsoft Defender、Purview、監査ログなど、より広範な Microsoft 365 のセキュリティ スタックと統合されています。これにより、アクセスが許可されたユーザーに厳密に限定されるだけでなく、Copilot を介したアクティビティも監視および記録されます。この統合があるからこそ、異常が見られた場合にポリシーを構成し、アラートを設定できるのです。

Defender による脅威防御と、Purview によるコントロールを組み合わせる実践的な方法を知りたい場合は、こちらの Microsoft 365 セキュリティ ガイドをご覧いただく価値があります。条件付きアクセスと拡張性の高い ID ガバナンスについてさらに詳しく知りたい場合は、こちらで紹介されている視点をご覧ください: Entra ID conditional access security loop。

ロールベースのアクセス制御と Copilot の特権

ロールと特権は、Copilot にとっての地図とコンパスのようなものです。データ環境の中で、誰がどこへ行き、何をできるかを決めます。Microsoft 365 Copilot では、すべてがロールベースのアクセス制御（RBAC）を中心に組み立てられています。適切な職務ロールとセキュリティ権限を持つユーザーだけが特定の Copilot 機能を使えるようにし、さらに、そのユーザーが扱ってよいデータに限定します。

適切なロール設計は、データを保護するだけでなく、企業のポリシーや規制要件にも沿ったものになります。業務上の必要性に基づいてロールを定義し、その後で特権を設定します。機密性の高いコンテンツへのアクセス、特定の種類のプロンプトの実行、統合アプリへの接続を誰に許可するかを調整します。読み取り専用から、完全な編集権限や管理者権限まで、アクセスレベルを段階的に分けることで、不要なデータ露出を抑え、最小特権の原則を徹底できます。

規制の複雑な環境に対応する組織や、過剰な特権による リスク が気がかりな組織にとって、方針は明確です。初日からロールの割り当てを厳格にすることです。Copilot と AI エージェントに関するより詳細なガバナンス戦略は、責任ある AI ポリシーとガバナンスボードのベストプラクティスで確認できます。また、こちらで示されているコントロール プレーンのアーキテクチャを詳しく知りたい場合は、ガバナンスによる AI エージェントの保護をご覧ください。

Copilot における詳細なアクセス許可の制御とアクセス スコープ

Copilot の賢さ（そして安全性）は、設定したアクセス許可によって決まります。詳細なアクセス許可の制御は、アクセスを細かいレベルまで分解します。「このユーザーは CRM にアクセスできるか」だけでなく、「CRM 内の特定のレコードやフィールドを参照できるか」まで管理します。これは読み取りか書き込みかという話にとどまらず、Copilot が検索、要約、編集できるデータの範囲を正確に制御することです。Dynamics 365 や Salesforce などのシステムで既に設定されているバックエンドのアクセス許可を反映させます。

IT 管理者にとって最小特権アクセスを有効にするとは、各ロールに必要な範囲だけに Copilot の権限を制限するポリシーを作成することです。過不足なく、ちょうど必要な範囲です。アクセス許可は、ドキュメント ライブラリから SharePoint サイト全体まで対象となり、スマートなマッピングによって文脈に応じたアクセスが実現します。Copilot は、ユーザー自身のアクセス許可で既にアクセスが許されていないデータには決して到達しないため、予期しない事態や、把握されていないデータの漏えいを心配する必要はありません。

フィールドレベルのセキュリティとは、たとえば従業員が人事部門の給与情報を閲覧できない場合、誰かがその詳細を Copilot に尋ねても、Copilot はそれらの数値を表示しない、という仕組みです。ロールの継承とコンテキストのマッピングにより、Copilot の動作は常にそのときどきのユーザーのアクセス権と厳密に一致します。また、複数のアプリをまたいだり、コンテキストを切り替えたりしても、権限が自動的に増えることはありません。

ガバナンスを強化したい場合や、ユーザー教育を進めたい場合は、一元化された Copilot Learning Center の資料をご確認ください。データへのアクセスとデータの所有権が適切な Copilot ガバナンスにどう結びつくかを確認するには、この詳細なガバナンス分析が役立ちます。

Microsoft Purview とデータ ガバナンスの統合

Microsoft Purview は、Copilot のデータ ガバナンスを支える中核的な存在です。いわば運用管理センターのような役割を果たし、Copilot が行うすべての操作を記録するとともに、利用状況がコンプライアンス上のガードレール内に収まるよう確保します。Purview を Copilot と統合すると、組織は誰が AI を使うかにかかわらず、データに追従するポリシーを定義して適用できるようになります。

Purview を使えば、Copilot がどのデータにアクセスしたかを正確に把握できます。これにより、規制への準拠を証明しやすくなり、監査が入る前に不備を見つけることもできます。Purview のデータ損失防止 (DLP) ポリシー、秘密度ラベル、アクセス制御は Copilot と連携して機能し、AI が立ち入るべきでない場所に手を出さないようにします。機密性の高いデータや厳しい規制の対象となるデータを扱う組織にとって、これは重要なチェックポイントです。

これらの制御を設定するには、単にクリックするだけでは済みません。ポリシーは、機密情報と通常業務の情報を切り分けるなど、組織固有のリスク プロファイルを反映させる必要があります。高度な Copilot エージェントのガバナンスを実際に設定する手順を知りたい場合は、Purview が Copilot と Power Platform をどのように保護するかをご覧ください。また、監査ログの仕組みを理解しておくことも重要です。実践的なガイドはこちらです: Microsoft Purview Audit でユーザー アクティビティを監査する方法。

Copilot におけるデータ プライバシーと規制コンプライアンス

金融、医療、またはその他の規制の厳しい分野に携わっている方であれば、データ プライバシーが任意の要件ではないことはよくご存じでしょう。Copilot は GDPR や HIPAA といった厳格な基準に準拠するように設計されています。そのため組織は、ユーザーのプライバシー、法的権利、規制上の境界を尊重しながら、AI による生産性向上を活用できます。

鍵となるのは透明性と制御です。Microsoft は、Copilot がデータをどのように保存、処理、管理するかについて、明確なフレームワークを提供しています。これには、データの最小化、強力な暗号化、EU と米国の両方の規制に沿った機密データの取り扱いが含まれます。また、データがどこに保存されているかを把握することも重要です。これは、現地でのデータ保存を義務付けたり、国境を越えたデータ転送を制限したりする法律の下で事業を行う国際企業にとって不可欠です。

Microsoft のアプローチは、ポリシー、契約、技術的な強制措置を組み合わせたものです。これにより、コンプライアンス担当者やデータ保護責任者は、適切に対応していると約束するだけでなく、それを証明するためのツールを手にできます。現実の環境でコンプライアンスがどのように逸脱しうるか（そしてその対処法）について詳しく知りたい場合は、Microsoft 365 におけるコンプライアンス ドリフトについてのこのエピソードをご覧ください。さらに、分析と Copilot の両方で統合データ アーキテクチャを最大限に活用するには、Microsoft Fabric がデータ ガバナンスと AI をどのように統合しているかも参考になります。

Microsoft 365 Copilot における データ プライバシー、GDPR、HIPAA

Microsoft 365 Copilot は、GDPR や HIPAA といった厳格な規制基準を満たすことを前提に設計されており、ユーザーの個人情報や機密情報を確実に保護します。Microsoft はデータ処理契約において強固な約束を掲げ、Copilot が情報を保存、処理、共有する方法を厳しく制限しています。Copilot のすべてのデータ処理は Microsoft の安全なクラウド基盤内で行われ、転送中と保存時の両方で強力な暗号化が適用されます。

ユーザー権利管理は中核的な機能です。組織は、データ主体からの要求（「忘れられる権利」など）に対応し、アクセスを制御し、規制要件に沿ってアクセス許可を一元的に取り消したり更新したりできます。Copilot は既存の秘密度ラベル、DLP ポリシー、テナント側のデータ分類を尊重するため、AI を活用したアクションは常にお客様のコンプライアンス設定に沿って動作します。Copilot によるすべてのアクションはログに記録されます。また、明示的に構成しない限り、Copilot が扱うすべてのデータは Microsoft 365 の境界内にとどまります。

DLP を実装する場合や、Power Platform の自動化で厳格なコネクタの使用を徹底したい場合は、DLP ポリシーを管理する開発者向けのこのガイドが役立ちます。Microsoft 365 で DLP を設定する手順と、Copilot の生産性向上効果を理解するには、Microsoft 365 で DLP を設定する方法をご覧ください。

データの所在地と主権に関する考慮事項

Copilot は Microsoft 365 のデータ所在地および主権に関するコミットメントに従います。つまり、お客様のデータは、組織の法規制要件やビジネス要件で指定されたリージョンまたは国の内にとどまります。EU データ境界のコンプライアンスが必要な場合でも、現地のデータ保存に関する法律に対応する必要がある場合でも、Copilot は機密性の高いコンテンツが未承認の地域に越境しないようにします。

グローバルに事業を展開する企業や、規制の厳しい業界の組織にとって、Copilot のデータローカリティのアプローチは、データ処理と保持に関する法的義務への対応に役立ちます。構造とアクセス許可の境界を適用するための実践的なガバナンス戦略については、このSharePoint AI ガバナンスガイドで取り上げています。

Copilot による組織データへのアクセスと保護の仕組み

Copilot は Microsoft Graph API を介して組織データにアクセスします。Graph API は、Exchange、SharePoint、Teams などの Microsoft 365 ワークロードをつなぐ基盤です。ただし、Copilot がユーザー本人にアクセスできないものを見ることはありません。そのため、現在のアクセス許可モデル、秘密度ラベル、アクセスレビューが、Copilot によるすべての操作を囲む安全な境界となります。

Copilot へのすべてのクエリは、強力なデータセキュリティプロトコルでフィルタリングされ、ユーザーのロール、セッションの状態、デバイスのコンテキストがリアルタイムで評価されます。この仕組みにより、AI 機能を大規模に利用する場合でも、不正なリクエストを防ぎ、データ漏えいのリスクを低減します。すべてのデータ転送は暗号化され、各操作が許可される前に、必要なときだけ権限を付与するジャストインタイムのアクセス許可が確認されます。

誰が Copilot に何を、いつ依頼したかというデータフローを追跡し、確認できることで、コンプライアンスを検証し、インシデントを迅速に解決するために必要な可視性が得られます。データアクセスのガバナンス、レビュー、秘密度ラベル付けのベストプラクティスをさらに詳しく知りたい場合は、所有権とガバナンスの分析をご覧ください。環境に Azure が含まれる場合は、ポリシーと RBAC によるガバナンスが大規模なエンタープライズクラウドにどう適合するかを、Azure エンタープライズガバナンス戦略で確認できます。

Copilot における機密データの取り扱いと保護

財務記録、健康情報、法務文書などの機密データを保護することは、Copilot の設計の中心にあります。ユーザーが Copilot を利用する際、組み込みの秘密度ラベルと DLP ポリシーがこのようなデータを自動的に検出し、AI の応答でどのように使用、共有、表示されるかを制限します。

Microsoft は複数のレイヤーでデータ分類を適用し、Copilot の出力で機密情報が公開されたり誤用されたりすることを防ぎます。ポリシーコントロールでは、管理者が Copilot がアクセスしてよい「安全な」コンテンツを定義できます。DLP の設定を確実に行う場合や、データ分類戦略を設計する場合は、この Power Platform DLP ポリシービルダーでガイドラインを確認できます。

Copilot における ID ベースの認可と条件付きアクセス

アイデンティティベースの認可とは、Copilot へのアクセスが常に実在する確認済みの個人に直接紐づくことを意味します。セキュリティの隙間をすり抜ける「正体不明のゲスト」は存在しません。Microsoft Entra ID を基盤として、Copilot へのすべてのリクエストは、アクセスが許可される前にユーザーのID、役割、およびコンテキストに基づくリスク評価と照合されます。

条件付きアクセス ポリシーを使うと、デバイスの準拠状態、場所、サインインのリスク、セッションの状態に基づいてルールを設定できます。Copilot を管理対象デバイスからのみ利用できるようにしたい、あるいは特定の時間帯にのみ利用できるようにしたいですか。それも可能です。これらのルールには、パスワードだけでなく、より強力な本人確認を求める多要素認証 (MFA) のような多層的な要件を含めることができます。この適応型のアプローチにより、正当なユーザーの作業を妨げることなく、変化する脅威に対応できます。

条件付きアクセスを正しく設計している組織は、強固なセキュリティ境界と、エンドユーザーにとってのスムーズな操作性の両方を実現しています。除外設定が広すぎることによる隙間に悩んでいる場合や、継続的な監視について知りたい場合は、条件付きアクセスの信頼性の問題に関するこのガイドが参考になります。ポリシーが増えすぎている場合や、レガシーなIDの負債に悩んでいる場合は、Entra ID の条件付きアクセスの修復と保護に関する実践的なアドバイスをご覧ください。

Copilot のアクセス許可の使用状況の監査と監視

Copilot のアクセス許可の使用状況を監査および監視することは、コンプライアンスのためのチェックリストの項目にとどまりません。過剰な特権を持つアクセスを発見し、実害となる前に異常な動作を察知するための手段です。Microsoft 365 では、すべての Copilot セッションについて、誰が、どのデータを、いつ、どのように使用したかを示すログが提供されます。

Microsoft Purview Audit を使うと、Copilot によるデータアクセスを特定のユーザー操作単位まで追跡し、規制当局への報告や社内レビュー用のレポートを迅速に作成できます。プレミアム監査機能を使えば、保持期間をさらに延長し、異常検出を強化し、ポリシー違反に対するアラートも受け取れます。これは規制の厳しい環境や大企業にとって重要な機能です。

継続的な監視により、IT チームやセキュリティチームは、不正利用の兆候となりうるパターンを特定できます。たとえば、ある人物が Copilot を介して大量の機密ファイルを突然ダウンロードしようとする場合などです。ユーザーアクティビティの監査に関する実践的なアドバイスが必要であれば、Microsoft Purview でユーザーアクティビティを監査する方法をご覧ください。監査可能な ERP やプラットフォーム連携が必要な場合は、システムレベルの監査可能性とコンプライアンスに関するこの解説が、そのアプローチを補完してくれるはずです。

高度な Copilot 機能: プロンプトブック、プラグイン、拡張性

Microsoft 365 Copilot の強みは、組み込みの AI だけではなく、プロンプトブック、プラグイン、そしてビジネスアプリケーション全体との統合によって拡張できる点にあります。プロンプトブックは応答を標準化し、ベストプラクティスを共有するのに役立ちます。一方、プラグインを使うと、Copilot が Microsoft 365 の外部システムからデータを取得したり、ワークフローを開始したりできるようになります。

拡張性は諸刃の剣です。大きな生産性向上が得られる一方で、ガバナンスへの継続的な注意も欠かせません。ノートブックや派生的な AI コンテンツには、継承された秘密度ラベルと、管理された共有の制限が設定されている必要があります。そうしないと、追跡されない情報による「シャドウ データ レイク」が生まれるおそれがあります。既定のポリシー、期間の制限、レビューのゲートは、安全性を保つための実用的な手段です。

Copilot の新機能が次々と展開される中でガバナンスに課題を抱えている組織は、Copilot ノートブックのガバナンスリスクを検証したこの記事で、リスク軽減と AI エージェント制御に関する実践的な内容を見つけられるでしょう。シャドウの自動化がポリシーを上回ってしまった場合は、実践的な 48 時間のフレームワークで主導権を取り戻す方法があります: Agentageddon: Agents Outpacing Governance。

アクセス許可と Copilot 管理者: 管理者向けの追加リソース

Copilot のアクセス許可モデルとは何ですか。Microsoft 365 テナント内でどのように機能しますか。

Copilot のアクセス許可モデルは、Microsoft 365 テナント内で Microsoft Copilot エージェントがデータやサービスにアクセスする方法を定義します。Copilot が使用するデータアクセスの制御を細かく設定でき、構成されたアクセス許可と、データアクセスの基盤となる制御に従ってのみデータが処理されるようにします。管理者はロールベースの設定、表示のアクセス許可、テナントレベルのポリシーによってアクセスを管理できます。これにより、Copilot の応答は OneDrive、SharePoint などの連携済みの Microsoft 365 サービスのうち許可されたデータソースから取得され、ユーザー間でデータが意図せず漏えいすることを防ぎます。

Microsoft Copilot のアクセスとユーザーのアクセス許可は、どのように管理すればよいですか?

アクセスとユーザーのアクセス許可を管理するには、Copilot 管理者が Microsoft 365 テナントでロールとポリシーを構成し、どのユーザーやグループが Copilot 機能を使用できるかを制御します。これには、データソースへのアクセス許可の付与と取り消し、表示のアクセス許可の設定、Microsoft Learn や管理センターのツールを使った Copilot の利用の効果的な管理が含まれます。また、API やテナントレベルの設定を使ってアクセス許可の変更を自動化し、既存の ID およびアクセス管理システムと統合することもできます。

Copilot が使用するデータアクセスの制御とは何ですか?また、それらはどのようにプライバシーを保護しますか?

Copilot は、ロールベースのアクセス、データの所在地の設定、ドキュメント レベルのアクセス許可など、データアクセスの制御と基盤となる制御を組み合わせて使用します。Copilot は、ユーザーが表示のアクセス許可をすでに持つデータのみを提示し、Microsoft 365 テナント内のモデルは既存のアクセス許可とプライバシー ポリシーの設定を尊重します。これらの対策は、セキュリティ更新や監視とあわせて、機密コンテンツの露出を抑え、EU AI Act などの規制要件への対応を支援します。

Copilot は外部データソースにアクセスできますか?その場合、アクセス許可はどのように処理されますか?

Copilot は外部データソースにアクセスするよう構成できますが、そのアクセスは管理者が明示的に許可する必要があります。外部データソースや API への接続は、テナント ポリシーと、コネクタの承認方法を説明する追加のリソースによって管理されます。管理者はプライバシー ポリシーへの影響を確認し、セキュリティとプライバシーの制御が適用されていることを確かめ、外部コンテンツを参照する場合がある Copilot の応答の生成を監視する必要があります。これにより、トレーニング データと外部入力を組織のルールに従って扱えるようにします。

アクセス許可モデルは、Copilot の応答がユーザー間で意図せず漏えいすることを、どのように防ぎますか?

アクセス許可モデルは、表示のアクセス許可とテナント固有の制御を適用して各ユーザーのコンテキストを分離し、Copilot が各個人に表示を許可されたデータのみを提示するようにします。Microsoft 365 のエージェントは、ユーザー ID とグループのメンバーシップに紐づくアクセス範囲で動作し、ログと監査によって潜在的な漏えいを検出して是正できます。これらの保護は、LLM と分類器のコンポーネントにおける安全策と組み合わさって、あるユーザーのコンテンツやコンテキストが別のユーザーの Copilot の応答に現れるリスクを低減します。

Copilot 管理者は、セキュリティ更新とテクニカル サポートに関して、どのような責任を負いますか?

Copilot 管理者は、セキュリティ更新を適用し、アクセス許可を定期的に確認する必要があります。また、テクニカル サポートについては、Microsoft Learn やサポート チャネルのガイダンスに従う必要があります。Copilot を使用できるユーザーを定期的に見直すためのポリシーを実装し、Microsoft 365 サービスとの統合が安全であることを確認し、データアクセス制御の文書を保管しておく必要があります。問題が発生した場合、管理者は Microsoft のテクニカル サポートと連携し、推奨されるプラクティスに従って、コンプライアンスと運用の継続性を維持します。

Copilot はデータをどのように処理しますか?また、トレーニング データと AI モデルについて何を知っておくべきですか?

個々のユーザーが操作するデータは、Copilot の応答を生成するために AI モデルで一時的に使用される場合がありますが、Microsoft はデータの処理方法や、モデルのトレーニングに使用されるかどうかについてのドキュメントを提供しています。管理者は、即時の応答生成に使われるデータと、長期的なトレーニングに使われるデータの違いを理解し、プライバシー ポリシーや規制要件で必要な場合には、トレーニング データの使用を制限するように設定する必要があります。LLM の動作やデータの扱いの詳細については、Microsoft Learn やガバナンスに関するガイドを参照してください。

既定のアクセス許可モデルの変更が必要になる Microsoft 365 Copilot の用途やシナリオはどれですか?

一部の Microsoft 365 Copilot の利用方法、たとえば組織全体で使うコパイロット、複数のデータソースを集約するコパイロット、新規に展開するコパイロットでは、カスタムのアクセス許可構成が必要になる場合があります。たとえば、HR データや外部 API を集約するコパイロット エージェントでは、追加の制御、分類子ルール、より厳格なテナント レベルのポリシーが必要になることがあります。管理者は、各シナリオを規制要件に照らして評価し、OneDrive や SharePoint のような機密データへのアクセスが許可されたユーザーのみに限定されていることを確認し、例外があればセキュリティおよびプライバシーのフレームワークに文書化する必要があります。

コパイロットのアクセス許可モデルを実装するための追加のリソース、ドキュメント、ベスト プラクティスはどこで確認できますか。

追加のリソースとしては、Microsoft Learn、Microsoft 365 管理センターのドキュメント、Microsoft Copilot と生成 AI のガバナンスに関するガイダンスなどがあります。これらのリソースでは、アクセスの管理、コパイロット管理者の構成、コパイロットの Microsoft 365 サービスへの統合、きめ細かな制御のための API の実装方法を取り上げています。個別のサポートが必要な場合は、Microsoft テクニカル サポートに問い合わせ、組織と規制の要件を満たしているかを確認するために、セキュリティ更新プログラムとコンプライアンス資料を確認してください。