Copilot と EU AI Act

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Copilot と EU AI Act の責任を理解します。デプロイヤー（導入者）の義務、ガバナンス、リスク管理、透明性、ヒューマン・オーバーサイトを取り上げます。

Automatically translated with AI from the original post. Read the English original

「Compliant by Design」なら安心できると考えるかもしれません。しかし、その考え方はグループをリスクにさらす可能性があります。EU AI Act は、あなたに現実的な責任を課します。責任を負うのはベンダーだけではありません。多くの IT およびコンプライアンスの責任者は、AI アシスタントについて懸念を抱いています。AI が、本来見るべきでない人にデータを表示してしまうかもしれないと考えているのです。Microsoft Copilot 365 は強力なロールベースのアクセス制御を備えています。これらの機能は役立ちますが、あくまで出発点にすぎません。ユーザーが Copilot に機密ファイルの要約を依頼する場面を想像してください。設定によって、すべてのデータが確実に守られていると言い切れますか？

重要なポイント

• EU AI Act のリスクラダーを理解しましょう。AI のユースケースによって、必要なコンプライアンスのレベルが決まります。それを決めるのはベンダーではありません。

• Copilot のコンプライアンス機能を活用しましょう。正しく設定することが重要です。既定の設定では、EU の規則に従えていない場合があります。

• AI を利用する際は、すべての手順を記録してください。適切な記録を残すことは、規則を守っていることを示す助けになります。大きな罰金を避けることにもつながります。

• チームに AI の安全性とコンプライアンスについて教育しましょう。全員が何をすべきかを知っておく必要があります。また、AI ツールの利用ルールも理解しておくべきです。

• コンプライアンス計画は頻繁に確認し、更新してください。新しい規則の最新情報を把握しておきましょう。それが法律を守り続ける助けになります。

EU AI Act のリスクラダーを解説

リスクのカテゴリとユースケース

AI ツールを導入する前に、EU AI Act のリスクラダーを理解しておく必要があります。同法は AI システムを四つのリスク階層に分類します。階層ごとに、従うべき異なるルールがあります。リスクラダーの仕組みを示す簡単な表は次のとおりです：

ラダーを上がるほど、義務は増えます。メールの下書きのような単純な作業に Copilot や ChatGPT を使う場合は、最小限または限定的リスクに分類されます。採用、与信評価、健康に関するアドバイスにこれらのツールを使う場合は、高リスクの領域に入ります。より多くの規則に従い、より充実した記録を残す必要があります。

ベンダーよりもユースケースが重要な理由

リスクを決めるのはベンダーやモデルだと考えるかもしれません。しかし、それは正しくありません。AI の使い方によってリスクレベルが決まります。明確なユースケースと要件を定める必要があります。解決したい課題を文書化し、AI が適切な答えかどうかを確認してください。また、出力のリスクと品質管理も評価すべきです。AI の結果をどのように使うのか、何がうまくいかない可能性があるのかを自問してください。

例を挙げます：

• Copilot で会議のメモを要約する場合、限定的リスクに該当します。

• ChatGPT を使って融資の可否を判断する場合、高リスクに該当します。

• 社会的スコアリングを行う独自の AI を構築する場合、容認できないリスクに該当します。

ブランドやモデルだけでなく、ユースケースに焦点を当てる必要があります。Compliant by Design の機能は助けになりますが、AI の利用を適切なリスク階層に当てはめ、規則に従う必要があることに変わりはありません。

Compliant by Design – Copilot のコンプライアンス基盤

コンプライアンスのための組み込み機能

Microsoft 365 で Copilot を使用すると、良いスタートを切ることができます。このプラットフォームには、データを安全に保つための多くのツールが用意されています。これらのツールが連携して、規則の遵守を助けます。主なツールは以下の表で確認できます：

これらのツールは、Copilot による Compliant by Design の運用を支援します。データの管理、閲覧できるユーザーの制御、そして何が起きているかの監視を支援するものです。すべてを自分で構築する必要はありません。これらのツールをコンプライアンス計画の土台として活用できます。

ヒント: Copilot は、お客様のプロンプトや回答を使ってモデルを学習させることはありません。これにより、データのプライバシーが守られ、リスクが抑えられます。

デプロイヤーが引き続き構成すべき項目

既定の設定をそのまま使うだけでは不十分です。Copilot が EU AI Act のルールに従うように、設定を変更する必要があります。Compliant by Design は取り組みの出発点にはなりますが、仕上げは組織自身が行わなければなりません。規制当局が求めるのは約束ではなく、証拠です。

コンプライアンスを強化するための手順は次のとおりです。

1. Copilot を有効にする前に、SharePoint、OneDrive、Teams のアクセス許可を確認し、修正してください。ユーザーが必要としないアクセス権は削除します。

2. 最小限の権限の原則を適用してください。グループのメンバー一覧と共有設定を確認し、ユーザーが必要とする情報だけを閲覧できるようにします。

3. 個人データを扱うユーザーにより高度なデータ保護が必要な場合は、E5 ライセンスの導入を検討してください。

4. ユーザーへの教育を行ってください。Copilot は組織のデータルールに従うことを伝え、Copilot にできること、できないことを全員が理解している状態にします。

Copilot に対して、Purview の秘密度ラベルと DLP ルールを設定する必要があります。データの保持期間を定め、監査ログを確認する必要もあります。過剰な共有を防ぐため、SharePoint の検索範囲を制限することをお勧めします。また、リスクチェックの内容を文書化し、実施した作業の記録を残してください。

Compliant by Design を導入すれば完了というわけではありません。自社の環境でこれらのツールをどのように活用したかを示す必要があります。規制当局は証拠を求めています。設定を行い、監視し、コンプライアンス対応の手順を文書化したことを示さなければなりません。

ChatGPT と Azure OpenAI – 独自のガバナンスを持ち込む

パブリック ChatGPT におけるコンプライアンスの課題

パブリック ChatGPT の利用は大きな課題です。Copilot には管理機能が組み込まれていますが、ChatGPT にはそれがありません。独自のルールと安全性チェックを自分で用意する必要があります。多くの組織が、この点を苦い経験から学んでいます。

Tromsø 市の事例を見てください。職員が AI を使って報告書の大部分を作成しましたが、共有する前に内容が事実かどうか誰も確認しませんでした。報告書には誤った情報が含まれており、組織の信頼を損ない、業務上の問題も引き起こしました。強固なルールがなければ、簡単に統制を失ってしまいます。

修正が必要な主な問題は次のとおりです。

• プロンプトと回答の記録が自動的に残りません。

• データ損失を防いだり、機密データにラベルを付けたりする組み込みの仕組みがありません。

• AI が生成したコンテンツに対する警告やラベルがありません。

• 重要な結果を人が確認する仕組みがありません。

• アクセスを制限したり、データの保存場所を管理したりする明確な方法がありません。

これらの問題は自分で解決する必要があります。EU AI Act では、リスクへの対処方法を示し、判断内容を文書化し、記録を保持することが求められています。

中間的な選択肢としての Azure OpenAI

Azure OpenAI は、パブリック ChatGPT よりも高いレベルの統制を提供します。職場のアカウントを使用し、利用できるユーザーを設定し、ユーザーの操作を監視できます。より充実した記録を残せるほか、データを社内に留めておくこともできます。これらの機能により、EU AI Act の一部のルールへの対応が容易になります。

ただし、大部分の作業は依然として組織が担うことになります。次の対応が必要です。

1. 利用方法ごとに、データ保護影響評価を実施する。

2. 処理活動の記録を作成し、維持する。

3. データ損失を防ぐためのルールを設定し、データの保持期間を決める。

4. ログを確認し、結果をレビューする。

5. ユーザーに対して、AI を安全に利用し、ルールに従う方法を教育する。

Azure OpenAI は取り組みの出発点にはなりますが、仕上げは組織自身が行う必要があります。明確な記録とチェックによって証拠を示さなければなりません。EU AI Act では約束は認められません。実施した内容を示す必要があります。

EU AI Act 向け デプロイヤー サバイバル キット

EU AI Act のルールに従うには、シンプルな計画が必要です。このキットは、取り組みを整理するのに役立ちます。Copilot、ChatGPT、Azure OpenAI に関する分かりやすい手順、ツール、ヒントを提供します。このキットを活用して、組織の安全性を確保し、コンプライアンスへの取り組みを規制当局に示してください。

リスク分類と文書化

まず、AI システムの一覧と利用方法を整理します。AI がどこで使われ、各システムが何を行っているかを把握する必要があります。リスクを分類し、文書化するには、次の手順に従ってください。

1. 組織が利用、開発、取り込み、または欧州で販売している AI ツールとモデルをすべて書き出してください。

2. 各システムについて、自社がプロバイダー、デプロイヤー、インポーター、ディストリビューターのいずれに当たるかを判断してください。

3. 各システムやモデルに EU AI Act が適用されるかどうかを確認してください。

4. 各 AI のユースケースにリスクレベルを割り当ててください。レベルは、受容できない、高、限定的、最小限のいずれかです。

5. 契約を確認し、AIサービスの詳細をチェックします。

6. EU AI Act の規則に合わせて、AIガバナンス計画を作成または更新します。

7. AIシステムやモデルに加えた変更について、記録を残します。

すべての手順を文書化する必要があります。適切な記録を残さなければ、多額の制裁金が科される可能性があります。

EU AI Act への対応記録を残さない導入者（デプロイヤー）は、リスクに関する判断が正しくても、規制当局への情報提供が不十分だったことを理由に、750万ユーロの制裁金を科されるなど、深刻な事態に陥る可能性があります。

Purview、DLP、アクセスの構成

データを保護するために、強固な管理策を設定する必要があります。Purview、Data Loss Prevention (DLP)、アクセス制御を使用して、EU AI Act の要件を満たします。次の表に、必要な内容を示します。

DLP ルールをグループ化して、一般的なニーズをカバーします。ルールでは、最も厳格なアクションを優先して使用してください。監査ログと DLP レポートを頻繁に確認し、ルールに従っているかを確認します。

ロギング、透明性、人による監督

AIの利用を追跡し、透明性を確保する必要があります。規制当局は、システムをどのように管理・監視しているかを確認したいと考えています。次のベストプラクティスを活用してください。

AIが作成したものには、明確なラベルを付けます。フッターや透かしを使用して、AIがファイルやメッセージの作成に関与したことを示します。特に採用や与信審査などの重要な判断では、人による確認を必ず行います。

研修と社内ポリシー

AIを安全に利用する方法をチームに教える必要があります。全員に向けた強固なルールと研修を整備します。すべての従業員が自分の業務とルールを理解していることを確認します。

• 業務ユーザー、管理者、コンプライアンス担当者など、各自の業務に応じた研修を実施します。

• AIの利用として許容されるものと許容されないものに関するルールを共有します。

• Copilot にソースの表示やレビューメモの追加を依頼するなど、コンプライアンスに役立つプロンプトや設定を利用します。

• EU AI Act の変更に合わせて、ルールも見直します。

ユーザーが業務を学べるように、組み込みツールを活用できます。汎用AIモデルとシステムの違いを説明するガイドを用意します。コンプライアンスに役立つテンプレートやリストを含むスターターパックも提供します。

30/60/90日アクションプランと社内コミュニケーション

コンプライアンス作業を完了するためのスケジュールが必要です。以下は簡単なアクションプランです。

最初の30日:

• すべての AIシステムとユースケースを一覧化します。

• 役割とリスクレベルを割り当てます。

• DPIA と RoPA の作成を開始します。

次の60日:

• Purview、DLP、アクセス制御を設定します。

• 監査と監視を有効にします。

• 主要チームの研修を開始します。

最後の90日:

• ルールを確認して更新します。

• 人による確認と明確なラベルをテストします。

• 規制当局に提示する証拠を準備します。

このメッセージをチームに共有します。

当社は「Compliant by Design」の方針でAIツールを利用しています。全員が新しいルールと研修に従う必要があります。EU AI Act の要件を満たすため、すべてのステップを追跡、確認し、記録します。

このキットを使って、強固なコンプライアンス計画を構築してください。これにより、組織を保護し、全員がAIを正しく活用できるようになります。

「compliant by design」を鵜呑みにしてはいけません。ルールに従っていることを証明する必要があります。EU AI Act は、果たすべき明確な責務を定めています。ルールに従わない場合、多額の制裁金が科される可能性があります。制裁金は最大1,500万ユーロ、または会社の総売上高の3%に達する場合があります。

AIガバナンスは重要です。AIの利用状況を把握する必要があります。責任者を決め、繰り返し実行できる手順を用意しましょう。AIツールは定期的に確認してください。コンプライアンスツールを設定し、実施したことはすべて記録します。ルールを活用して、社内での信頼を高め、AIを安全に使い続けられるようにしましょう。

よくある質問

Copilotにとって「設計段階からのコンプライアンス」とはどういう意味ですか?

「設計段階からのコンプライアンス」とは、Copilotに法令遵守を支援する機能が組み込まれていることを指します。ただし、コンプライアンスを満たすための設定、確認、そして証明は利用企業自身が行う必要があります。ベンダーの機能だけに頼ることはできません。

CopilotやChatGPTについてDPIAを実施する必要はありますか?

はい。AIのユースケースごとに、データprotection影響評価(DPIA)を実施する必要があります。これにより、リスクを洗い出し、プライバシーを真剣に扱っていることを規制当局に示せます。

EU AI Actへの準拠はどのように証明すればよいですか?

記録を保持し、統制を設定し、ログを提示できるようにしておく必要があります。規制当局が求めるのは約束ではなく証拠です。監査ログ、リスク文書、トレーニングの記録を証拠として活用してください。

高リスクのタスクにパブリック版のChatGPTを使用できますか?

いいえ。パブリック版のChatGPTには、高リスクのタスクに対応する統制機能が組み込まれていません。独自の安全確認の仕組みを追加する必要があります。機密性の高い用途では、コンプライアンス機能が充実したツールを選んでください。

導入者(デプロイヤー)が犯しがちな最大のミスは何ですか?

ベンダーのツールを導入するだけでコンプライアンスを満たせると考えてしまうことです。すべてを構成し、監視し、文書化する必要があります。約束よりも証拠が常に重要です。

併せて聴いていただきたいエピソード

EU AI ActとMicrosoft Copilotについて調べているなら、以下のエピソードで導入、アーキテクチャ、セキュリティ、ガバナンスに関する実践的な背景を補足できます。

• Microsoft Teams Governance – The Illusion of Control — 所有者、ポリシー、ライフサイクルの判断が、信頼性の高いMicrosoft 365の運用をどう左右するかを確認できます。
• Microsoft AI Agent Harness – Simply Explained — AIを活用したワークフローにおける、オーケストレーション、ガードレール、評価、オブザーバビリティを理解できます。
• Azure AI Foundry – Simply Explained — エンタープライズAIソリューションの構築、評価、デプロイ、ガバナンスの方法を学べます。
• Microsoft Defender XDR – Simply Explained — 導入時の選択を、セキュリティの可視化、調査、対応と結び付けて理解できます。