Microsoft 365 における Copilot のデータアクセス方法: アーキテクチャ、セキュリティ、ガバナンスの解説

By Mirko Peters · 2026-03-15 · Updated 2026-03-24

Microsoft 365 Copilot がエンタープライズ級のデータ保護のもとでデータをどのように利用するかを解説します。外部データの利用方法と、Microsoft 365 Copilot の活用方法を紹介します。

Automatically translated with AI from the original post. Read the English original

Microsoft 365 Copilot の裏側で何が起きているのか気になる方には、ぜひ読んでいただきたい内容です。Microsoft 365 向け Copilot は、単に素早く回答を返したりメールの下書きを作成したりするだけのものではありません。組織のデータから情報を取り出し、複数のサービスをまたいで動作する高度な AI アシスタントであり、そのすべてを厳格なデータセキュリティとコンプライアンスのルールに従って行います。

Copilot の基盤となるアーキテクチャを理解することは重要です。Copilot がどのようにデータに接続し、何を参照できるのか、そしてどのように情報を保護しているのかを把握しておく必要があります。AI を活用した生産性向上への関心が高まる中、こうした情報の流れを理解しておくことで、職場で Copilot を安全に展開できます。本ガイドでは、Copilot のデータ統合、プライバシー機能、アクセス許可の扱い方、ライフサイクル管理の仕組みを解説します。ユーザーに展開する前に、何を期待でき、どこに注意すべきかを正確に把握できるようになります。

この中では、コンプライアンス、アクセスポリシー、責任ある AI の実践、そして Copilot の応答とやり取りがどのように扱われるかといった重要な要素にも触れます。最後まで読めば、Copilot を組織の情報ガバナンスやデジタル戦略の中にどう位置付けるかについて、的確な判断を下せるようになるはずです。

1. 一括ではなく、リクエストごとに取得: Copilot はテナント全体を 1 つのリポジトリにインデックス化するのではなく、リクエストごとに関連するデータを取得します。これにより、ドキュメントやメッセージが不必要に公開されることを最小限に抑えます。
2. Microsoft Graph をゲートキーパーとして利用: Copilot は Microsoft Graph API を呼び出してデータを検索・取得します。そのため、アクセスは他の Microsoft 365 アプリにすでに適用されているのと同じアクセス許可や条件付きアクセスポリシーに従います。
3. アクセス権とコンテキストを尊重: Copilot に返されるデータは、ユーザーのアクセス権、グループメンバーシップ、秘密度ラベル、共有設定によってフィルタリングされます。ユーザーが閲覧を許可されていないコンテンツは、Copilot も参照できません。
4. サーバー側で動作するクエリベースの関連性モデル: 関連性のランク付けと取得は、生成応答が作成される前に Microsoft のサーバー上で行われます。そのため Copilot の回答は、コンテンツの生データをそのまま出力したものではなく、事前にフィルタリングされ順位付けされた結果に基づいています。
5. 制御付きで一時的に LLM に公開: 応答の生成に使用されるコンテンツは、大規模言語モデル (LLM) で処理されることがあります。ただし Microsoft は、分離境界、テレメトリの制御、保持期間の制限といった保護策を適用しています。さらに、顧客はより厳格なデータ処理モードを選択することもできます。
6. コネクタとアプリのデータ境界も適用: サードパーティのコネクタやアプリのデータは、コネクタが構成され同意されている場合にのみアクセスされます。明示的な接続とアクセス許可がなければ、Copilot が統合されたすべてのサービスに自動的にアクセスすることはありません。
7. 監査可能性と管理者による可視化: Copilot によるすべてのデータアクセスイベントはログに記録され、Microsoft 365 の監査およびコンプライアンスツールから確認できます。これにより管理者は、どのコンテンツにいつ、何のためにアクセスされたかを追跡できます。

Microsoft 365 Copilot のデータアクセスアーキテクチャの内部

Microsoft 365 Copilot が組織のデータにどのようにアクセスするのか、まず全体像を確認しましょう。Copilot は Microsoft 365 エコシステムに直接組み込まれています。たとえば「最近の Teams 会議の要約をしてほしい」「大量のメールを分析してほしい」といったリクエストを行うと、Copilot は既存のアクセス許可を尊重しながら、適切なソースから適切なデータを取り出す役割を担います。

ただし、これは無制限のアクセスではありません。Copilot は、コネクタや Microsoft Graph API を含む慎重に設計されたいくつかのレイヤーを活用して、データを安全に受け渡します。オフィス全体を電力網に接続するようなものですが、各部屋にはブレーカーとスマートメーターが備えられているイメージです。各接続と API 呼び出しは、厳格なセキュリティ境界、ポリシー、アクセスルールに従います。

Copilot の各応答の背後には、統合モデルとポリシーベースの制御があり、適切なデータが組織の境界を越えることなく、然るべき場所に届くようにしています。これらの制御により、データが SharePoint、OneDrive、Outlook にあっても、サードパーティのシステムにあっても、Copilot はユーザーがアクセスを許可されているものだけを取得します。

Copilotの設計で本当に優れているのは、その拡張性です。Copilotは新しいコネクタや高度な統合シナリオに対応しているため、組織はガバナンスやセキュリティに穴を開けることなく、データインサイトの活用範囲を広げられます。次は、コネクタがこれら多くの要素をどのように扱うのか、そして各トランザクションをMicrosoft Graph APIがどのように支えているのかを見ていきます。

Copilotコネクタとデータ統合の理解

1. Copilotコネクタは、Copilotと各種Microsoft 365データソースをつなぐ橋渡し役です。

• 標準コネクタは、Copilotと SharePoint、Exchange、Teams などの主要なデータソースを結ぶ幹線道路のようなものだと考えてください。これらは組み込み済みで、Microsoft が管理しています。
• ギャラリーコネクタは、パートナーや承認済みのサードパーティ製システムと連携することで、Copilotの活用範囲を広げます。業務アプリ、CRM、ドキュメントストアなどのデータを、安全に取り込むための事前構築済みの経路を提供します。
• カスタムコネクタを使えば、組織は非常に柔軟に対応できます。基幹業務アプリやレガシーなデータリポジトリへの接続を自ら構築できるため、Copilotは組織固有のデータセットを踏まえた文脈に沿った回答を返せるようになります。

1. コネクタを介したデータ統合は、常に組織のポリシーの管理下に置かれます。つまり、Copilotが決められた範囲の外に出ることは決してありません。

• すべてのデータアクセスは、テナントで定義された既存のロールベースのアクセス制御、ラベル、コンプライアンスポリシーの対象となります。
• 特定のデータソースに追加のプライバシーやセキュリティ要件がある場合、統合ツールでデータのマッピング、変換、マスキングを行うことができます。

1. コネクタの実際の利用シナリオは幅広く、オンボーディングを自動化するための人事データの取得から、監査準備のための財務記録の取り込み、外部のプロジェクト管理ツールとの連携まで含まれます。

• 既製のオプションでは要件を満たせない場合に、特化型またはカスタムのコネクタが役立ちます。たとえば、コンプライアンスログの集約、ニッチなSaaSプラットフォームの統合、連携された子会社全体のレポート作成の自動化などが考えられます。

1. セキュリティとコンプライアンスは、コネクタのモデルに組み込まれています。

• サードパーティによるアクセスはすべてガバナンスレビューの対象となり、データの移動は監査可能な形でログに記録されます。
• 包括的なガバナンス戦略については、Copilotのガバナンスポリシーに関するこちらの概要で詳しく解説されているアプローチを参照してください。

1. 拡張性はコネクタ戦略の中核です。ビジネスニーズの変化に応じて新しいコネクタや統合を導入でき、モデル駆動型の制御と管理されたコネクタフレームワークにより、コンプライアンスも確保されます。

Copilotを再現性がありガバナンスの効いた形で導入したい組織にとっては、Copilot Learning Center のような一元化されたアプローチが有効です。サポート上の負担を軽減し、コネクタが乱立する事態を抑えられます。詳しくはこちらで取り上げています。

Microsoft Graph API：Copilotの中核となるデータ基盤

Microsoft Graph APIは、Copilotが Microsoft 365 のデータにアクセスする際に利用する、最も重要な窓口です。Exchange、SharePoint、Teams、OneDrive などのサービスから、ユーザーと組織のデータを提供する、安全で統一されたインターフェースです。

Copilotにプロンプトを入力すると、Copilotは Graph API に問い合わせます。Graph API は、そのユーザーがアクセスを許可されている情報を確認します。単にデータを受け渡すのではなく、ユーザーが誰であるか、何を閲覧できるかを検証し、アクセス許可の範囲に合致するメール、会議、ドキュメント、Teamsチャットなどの項目だけを返します。

Copilotは、多要素認証、条件付きアクセス、委任されたアクセス許可やアプリケーションのアクセス許可をサポートするなど、Graph API の認証と認可の仕組みを活用しています。この厳格な構成により、Copilotが組織の既存のアクセス境界を超えることは決してありません。

データの取得はすべて、文書化され監査可能なリクエストを通じて行われるため、管理者は何に、誰が、いつアクセスしたのかを正確に追跡できます。APIは細かいアクセス許可の設定に対応しており、Copilotはプロンプトに必要なデータだけを取得し、それ以上は取得しません。また、Copilotはリアルタイムまたはほぼリアルタイムの同期にも対応しているため、回答には最新の変更が反映されます。これは、速度と正確さの両方を求める企業のニーズに応えるものです。

実際の Microsoft 365 のガバナンスとこれほど密接に統合されている点が重要です。テナントレベルでアクセス許可やデータのラベル付けの戦略が変更されると、Copilot は Graph API に依存しているため、その変更を即座に反映します。Copilot のシナリオにおける所有権とアクセスの重要なバランスを深く理解するには、この Microsoft 365 ガバナンスの概要をご覧ください。

Microsoft 365 Copilot のデータセキュリティとプライバシー標準

Copilot には、データのプライバシーとセキュリティが最初から組み込まれています。Copilot が組織のデータの処理を検討する前に、すでに企業のセキュリティ管理とプライバシー ツールによって保護されています。Copilot は Microsoft の多層防御のアプローチを積極的に適用し、すべてのデータ要求が暗号化され、厳密にログに記録されるようにします。

これは単なる技術的な暗号化の話ではありません。プライバシー、コンプライアンス、保護対象の情報の検出が重要となる規制の厳しい環境において、Copilot が信頼される存在であるための取り組みです。Copilot は情報の取得、処理、返却を行う際に、暗号化された通信経路と厳格なアクセス制御を使用します。機密情報にはさらに慎重な審査が行われます。これは、ポリシー主導のアクセス、秘密度ラベル、機密情報や規制対象データの動的な検出といった機能によるものです。

GDPR のような規制や、データの所在地に関する要件が複雑になるなか、Copilot は法的義務とデータの地理的な所在地の両方を尊重することで、この変化に対応しています。そのため、Copilot がバックエンドでお客様の情報を扱う際にも、データが許可されていない境界を越えたり、規制の枠組みから外れたりする心配はありません。

Copilot のデータの流れにおける各ステップは、監査可能で、強制力があり、IT チームがすでに信頼しているコンプライアンス ツールと連携しています。環境に Copilot を導入する責任がある場合は、これらの組み込みの制御が実際にどのように機能するか、Copilot が認定されたコンプライアンス要件をどのようにサポートするか、規制当局やセキュリティ チームのために利用できる監査可能な保護機能は何かを把握しておきたいところでしょう。Copilot のアクセス許可の保護に特化した内容については、この Copilot セキュリティ ガイドをご覧ください。

Copilot におけるデータのプライバシーとセキュリティの確保

1. 保存時および転送時のデータ暗号化

• Copilot が処理するすべての情報は、サービス間で転送される間も、Microsoft のデータセンターに保存される間も、強力なプロトコルを使用して暗号化されます。
• これには、チャット プロンプト、電子メール、ドキュメント、そして Copilot がユーザー向けに作成する AI 生成の結果が含まれます。

1. 保護対象の情報の検出と秘密度ラベルの適用

• Copilot は Microsoft Purview の秘密度ラベルを直接尊重し、機密情報や規制対象の情報にフラグを付けて保護します。
• プロンプトやソース ドキュメントに保護対象のコンテンツが含まれている場合、Copilot は適切な制御を自動的に適用し、誤って公開されるリスクを低減します。

1. ポリシー主導のロールベースのアクセス

• Copilot は、テナントの DLP (データ損失防止) とアクセス制御ポリシーを決して無視せず、むしろ強化します。各ユーザーが閲覧を許可されている内容に基づいて応答をフィルタリングします。
• ポリシー エンジンは Copilot と中核となるデータの間に配置され、機密性の高い情報の過剰な公開に対する最後の防御線として機能します。

1. 継続的な監視と脅威の検出

• Copilot は、Microsoft Defender、Purview、Sentinel を活用して脅威からの保護とリアルタイムの監視を行い、不審なアクティビティを自動的にフラグ付けまたはブロックします。
• これにより、巧妙なプロンプト エンジニアリングや、データの持ち出しの試みによって保護を回避しようとする場合でも、ユーザーのやり取りが守られます。

1. ユーザー中心の監査と透明性

• Copilot とのやり取りはすべて、誰が何を、いつ尋ねたか、どのデータにアクセスしたかを含めて記録され、後で確認できるように監査可能です。これにより、組織は問題のトラブルシューティングを行ったり、監査時にコンプライアンスを証明したりできます。

Copilot 向けの DLP と Purview の構成について詳しく知りたいですか？この Microsoft 365 DLP の入門ガイドでは、IT チーム向けに実践的な手順を紹介しています。セキュリティを維持しながらユーザー エクスペリエンスを制限する実践的なアドバイスについては、この Microsoft 365 セキュリティ ガイドの戦略をご確認ください。

Copilot のコンプライアンス規制、データの所在地、EU データ境界

• GDPR と国際的なコンプライアンス: Copilot は、主要な国際規制を組織が遵守できるよう設計されています。個人データの処理とユーザーの権利管理には厳格な管理機能が備わっています。
• データの所在地と主権: Copilot はデータの所在地に関するポリシーを順守し、データは選択した地理的リージョン内にとどまります。これは規制の厳しい業界や多国籍企業にとって重要な点です。
• EU データ境界: EU の組織向けに、Copilot は Microsoft の EU データ境界への取り組みをサポートします。地域の法的要件に対応するため、データは EU の管轄内でのみ厳密に処理・保存されます。
• 監査とドキュメント: すべての Copilot の操作は、監査ログやコンプライアンス ダッシュボードで確認できます。これにより、Microsoft 365 のコンプライアンス監視のベストプラクティスに沿って、組織の透明性を確保できます。
• 認定済みのコンプライアンス アーキテクチャ: Copilot は Microsoft 365 が取得している幅広いコンプライアンス認証とドキュメントを引き継ぐため、組織は規制への対応範囲に自信を持つことができます。

Copilot のデータアクセスにおけるアクセス制御とアクセス許可の管理

アクセス制御は、Copilot のデータ戦略の基盤です。Copilot がデータにアクセスするたびに、組織が Microsoft 365 で信頼している同じアクセス許可ルールと ID の確認に従います。裏口が開いているわけではなく、最も厳格な管理者と同じ規律を持つデジタル アシスタントを利用することになります。

ID を中核に据えた設計により、Copilot は認証に Microsoft Entra ID (旧 Azure AD) と連携します。Copilot はドキュメントや会話を参照する前に、ユーザーが誰であるか、デバイスが準拠しているか、どの条件付きアクセス ルールが適用されるか、直近の多要素認証 (MFA) を通過しているかを確認します。

ロールベースのアクセス制御が中心にあります。Copilot はユーザーのロール、グループ メンバーシップ、割り当てられたアクセス許可を尊重するため、ユーザーがすでに閲覧できる情報だけを返します。管理者には、ポリシー制御の適用、アクティビティの監査、Copilot がデータ環境とどのようにいつやり取りするかの調整を行うための、階層化された可視性とツールが提供されます。

ここで得られる実際的な価値は、一貫性があり予測可能な制御です。コンプライアンスの体制がしっかりしていれば、予期しない事態が起こることはありません。アクセス ポリシーが広すぎることによる落とし穴を詳しく知りたい場合は、条件付きアクセスの信頼に関する問題を扱った条件付きアクセスのベストプラクティスについての記事をご覧ください。また、拡張可能な Entra ID ポリシー ループを構築する戦略を知りたい場合は、こちらのエピソードのヒントが参考になります。

Copilot における条件付きアクセス、認証、データのアクセス許可

1. Copilot のすべてのセッションは、条件付きアクセスの確認から始まります。

• Copilot はプロンプトを処理する前に、Microsoft Entra ID を使用してユーザーの ID を確認します。その際、デバイスの準拠状況、サインインのリスク、ユーザーの場所などの要素を評価します。
• 条件付きアクセス ポリシーにより、特定の時間帯、特定のデバイス、または一定のリスク スコアの下での Copilot へのアクセスを制限できます。これにより、機密性の高い回答が不適切なユーザーに渡ることを防ぎます。

1. 多要素認証 (MFA) が強制されます。

• 組織で MFA が必須の場合、Copilot の機能は強制的な確認を経なければ利用できません。セッションが安全でなければ、近道はありません。
• これにより、侵害されたアカウントが Copilot の強力なデータアクセス ツールを利用するリスクが大幅に low 減します。

1. 細分化されたロールベースのアクセス許可により、データアクセスが制限されます。

• Copilot には全権を持つマスター キーはありません。その応答は、Microsoft 365 内でのユーザーのアクセス許可、権限、グループの割り当てによって決まります。
• ユーザーが Copilot で問い合わせを行えたとしても、Outlook、Teams、SharePoint、または接続されたシステムで、すでに閲覧権限のないものにはアクセスできません。

1. すべての操作は監査可能です。

• Copilot のすべての操作はログに記録され、後から確認できます。そのため、セキュリティ チームは問題を発見したり、不審なリクエストを追跡したり、監査で迅速にコンプライアンスを証明したりできます。

1. 高度な保護のための追加の管理機能

• 組織は、ワークフローによる承認、期間限定の特権、特定の Copilot 機能に対する管理者の同意要求を設定できます。詳細はOAuth 同意攻撃の軽減策に関するガイドをご覧ください。
• Dataverse のきめ細かなセキュリティとフィールドレベルのセキュリティ、さらに Entra ID の自動管理により、外部アクセスの抜け穴を塞ぐことができます。詳しくはこの Dataverse セキュリティの概要で解説しています。

Copilot によるユーザー プロンプトと応答データの処理

• プロンプトを入力すると、Copilot は要求を解釈し、ユーザーのアクセス許可を使ってデータを取得します。閲覧が許可されていない範囲を超えることは決してありません。
• ユーザー プロンプトと Copilot の応答は、通常は一時的なもので、メモリ内で処理されます。組織が監査ログを明示的に有効にしない限り、長期間保存されることはありません。
• アクティブなチャット セッションやプロンプト履歴などの短期的なデータは、パフォーマンスのために短時間キャッシュされることがあります。その後は、Microsoft 365 の堅牢な保持ポリシーと削除ポリシーに基づいて消去または匿名化されます。
• コンプライアンスや監査可能性のために保持されるログは、組織の保持設定に従って保存され、必要に応じて削除できます。これは、より広範なプライバシー ポリシーとも整合しています。
• これらの保護策により、Copilot との会話はプライベートかつ機密性が保たれ、エンタープライズ レベルのデータ保護基準に準拠した状態が維持されます。

Copilot における責任ある AI、プロンプト インジェクション、コンテンツの安全性

責任ある AI は、Copilot にとって単なる流行語ではなく、継続的に見直される一連のルールとエンジニアリングのベスト プラクティスです。Copilot は、データとビジネスを、ミス、誤用、悪意ある乱用から守るように設計されています。Copilot のような AI アシスタントが職場の中心になるにつれ、信頼性、信頼できる動作、倫理的な境界が最も重要になります。

AI 駆動型システムにとっての大きなリスクの一つが、プロンプト インジェクションです。これは、悪意のあるユーザーが応答を操作したり、機密情報を抜き出そうとしたりする攻撃です。Copilot はこれに対し、複数のセキュリティ層で対処します。不審なプロンプトのパターン、ブロックされた用語、保護されたコンテンツの境界違反を継続的にチェックします。何かおかしな点があれば、Copilot の保護メカニズムが作動し、遮断するかフラグを立てます。

ポリシーとエンジニアリングの各レイヤーは密接に連携し、コンテンツを自動的にスキャンして、リアルタイムでガードレールを適用します。ただし、それだけではありません。継続的な監視、監査レビュー、定期的な更新により、Copilot の動作に説明責任を持たせ、新たな脅威に対する回復力を高めています。将来を見据えて AI の導入を進める組織には、専任のガバナンス委員会や責任ある AI ダッシュボードが役立ちます。これにより、気づかれないまま発生する障害を防ぎ、コンプライアンスを維持できます。詳しくは、このAI ガバナンスのベスト プラクティス ガイドで解説されています。

Copilot が「シャドー IT」のリスクになることを懸念していますか。戦略的な統制、範囲を絞ったエージェント ID、多層的なコンプライアンス保護策がいずれも重要な役割を果たします。考え方についてはこちらで紹介しています。また、EU AI Act などの主要なコンプライアンス規制に関しては、優れたガバナンス委員会が欠かせません。その役割についてはこちらで取り上げており、制御されない AI の混乱に対する最後の防衛線です。

責任ある AI の実装とプロンプト インジェクションへの対策

• リアルタイムのプロンプト監視とインジェクション対策。
• Copilot は、不審なパターンやポリシー制御を回避する試みがないか、ユーザーの入力をリアルタイムで自動的にスキャンします。
• プロンプト インジェクションや保護されたコンテンツに関するリスクが検出されると、応答はフィルター処理されるか、ブロックされるか、確認のためにフラグが立てられます。
• AI ポリシーの継続的な適用。
• コンテンツの安全性に関するルール、秘密度ラベルの継承、監査ログは既定で適用されます。これにより、AI が生成する出力はコンプライアンスの境界内に収まります。
• たとえば、Copilot Notebooks は現在、第一級のコンテンツとして扱われ、ラベルと既定の制御が適用されます。詳細はこちらで紹介されています。
• 管理者による積極的な監視と確認。
• 管理者は、専用のダッシュボードと監査ログを使って Copilot のアクティビティを監視できます。これにより、新たなリスクが深刻化する前に発見し、防止することができます。
• 定期的なレビューと期間を決めたデータ保持ポリシーにより、派生コンテンツがコンプライアンス上の問題を生むような抜け穴を塞ぎます。
• 継続的な学習と迅速な更新。
• Copilot のモデルとコンテンツフィルターは、新たな脅威やコンプライアンス要件が出てきた際に対応できるよう、継続的に更新されています。

データの保持、削除、および Copilot が処理したコンテンツのライフサイクル

データを整理し、コンプライアンスを確保したい場合、Copilot が生成・保存するものをどう扱うかは非常に重要です。Copilot に質問したり、要約、分析、下書き作成を指示したりすると、そのやり取り(プロンプトと生成された応答)はそのまま消えるわけではありません。「送信」を押した瞬間から削除されるまで(あるいは組織のルールに従って保持されるまで)、このデータにはライフサイクル全体があります。

既定では、Microsoft は Copilot が必要最小限の情報を必要な最短期間だけ保存するように設計しています。ほとんどのプロンプトと応答はリアルタイムで処理され、チャットログやドキュメントなど Microsoft 365 のデータに紐付けられない限り、長期間保持されることはありません。ただし、自動的に削除されると考えないでください。保存されたものはすべて、環境で構成された保持とコンプライアンスのポリシーに従います。

厳格なガバナンス要件がある組織や、GDPR のように厳しい規制を受ける業界では、追加のオプションが利用できます。Copilot がやり取りのデータを保持する期間を正確に管理したり、独自の保持期間を設定したり、データの削除を自動化したりできます。これにより、コンプライアンスの証明や監査への対応がしやすくなります。Copilot によるキャッシュされたインサイトや AI が生成したスニペットの扱いも、確立された Microsoft 365 のデータライフサイクル標準に基づいて慎重に管理されています。

追跡と監査のためのツールも同じくらい重要です。特に、データがどこに渡ったのか、誰が何にアクセスしたのかを示す必要がある場合はなおさらです。Microsoft Purview 監査などの機能を使うと、組織はユーザーのアクティビティや AI が生成したコンテンツを把握しやすくなります。プロンプトから最終的な削除までのデータの流れ全体が透明になり、確実に管理できます。

よくある質問: Microsoft 365 Copilot の仕組みと Microsoft Copilot によるデータ保護

Microsoft Copilot は Microsoft 365 のデータにどのようにアクセスしますか?

Microsoft Copilot は、認証されたリクエストを Microsoft Graph に送信し、該当する場合は Copilot 用のセマンティック インデックスを利用して、Microsoft 365 サービスを通じてデータにアクセスします。Copilot は Microsoft 365 のサービス境界内で動作し、ユーザーがアクセスを許可されている Microsoft 365 テナント内のデータを照会します。Microsoft Teams、SharePoint、Exchange、OneDrive、その他 Microsoft 365 の接続されたエクスペリエンスからのシグナルを組み合わせて利用します。

Copilot は Microsoft 365 テナントの外部にあるデータにアクセスできますか?

管理者が外部コンテンツをテナントに取り込むコネクタや統合機能を有効にした場合に限り、Copilot は外部データを利用できます。たとえば、Microsoft Graph コネクタやサードパーティのデータ取り込みを利用するケースです。Microsoft 365 のサービス境界の外に置かれたデータは、サポートされているコネクタや API を通じてテナント内に表示されない限り、Microsoft 365 Copilot が自動的に利用することはありません。

Copilot のアクセスにおいて、Microsoft Graph と Microsoft Graph コネクタはどのような役割を果たしますか?

Microsoft Graph を通じてアクセスされるデータは、Copilot および Microsoft 365 Copilot が Microsoft 365 全体のユーザーデータと組織データを取得する主要な手段です。外部ソースをテナントのセマンティック インデックスに登録して Copilot 用に索引付けするには Microsoft Graph コネクタを使用します。そうすることで、Copilot は応答の一部としてその情報を照会できます。Microsoft Graph コネクタを使用していない場合、Copilot はそれらの外部リポジトリを参照できません。

Copilot は既存の Microsoft 365 のロールベースのアクセス制御とユーザーのアクセス許可を尊重しますか?

はい。Copilot は他の Microsoft 365 サービスと同じアクセス制御モデルを使用します。ユーザーは、アクセス許可を持つデータにのみアクセスできます。Microsoft 365 管理センターで適用される既存の Microsoft 365 のロールベースのアクセス制御とテナントレベルの設定によって、応答を生成する際に Copilot が参照できる会社のデータが決まります。

Copilot が応答を生成するとき、データはどのように流れますか?

データのフローは、ユーザーが Copilot に依頼を送信することから始まります（例：Copilot Chat または Microsoft Teams 内）。Copilot は Copilot 用のセマンティック インデックスに問い合わせ、Microsoft Graph を呼び出して、Microsoft 365 サービス全体から関連するコンテンツを取得します。処理は Microsoft 365 サービスの境界内で行われ、Copilot はユーザーが閲覧を許可されている個人データと組織データを組み合わせて応答を返します。その間も、Microsoft 365 に対するコンプライアンス上の約束は守られます。

GDPR などのプライバシー、コンプライアンス、規制についてはどうでしょうか。

Microsoft 365 Copilot と Microsoft は、Microsoft 365 に対するコンプライアンスの約束を遵守しており、その中には General Data Protection Regulation（GDPR）などのフレームワークへの対応も含まれます。Microsoft 365 管理センターのデータの所在地、保持、監査ログ、管理者による制御を使うことで、組織は Copilot 機能を利用する際のユーザー データを管理し、法的および規制上の義務を果たすことができます。

管理者は、Copilot Pro や Copilot Chat などの Copilot 機能を制御または有効化できますか。

はい。管理者は、Microsoft 365 管理センターのポリシーとライセンスを通じて、Copilot、Copilot Pro、Copilot Chat の各機能を有効にできます。管理者は、どのユーザーが Copilot を使えるか、外部データ ソースを接続するかどうか、そして Microsoft 365 の接続されたエクスペリエンスが、組織の利用条件やセキュリティ更新プログラムに沿ってどのように動作するかを制御できます。

Copilot は Microsoft Teams やその他のコラボレーション アプリとどのように連携しますか。

Copilot は Microsoft Teams を含む Microsoft 365 全体と統合されており、ユーザーのデータやチームのコンテンツを使って、状況に応じた支援を提供します。Teams で使用する場合、Copilot は Teams のアクセス許可と Microsoft 365 のサービス境界を尊重するため、ユーザーがアクセスを許可されているチャット、ファイル、チャネルのコンテンツにのみアクセスします。

社内コンテンツを使うために、Copilot 用のセマンティック インデックスは必要ですか。

Copilot 用のセマンティック インデックスは、自然言語による問い合わせに向けて組織のコンテンツにインデックスを付けることで、関連性を高めます。Copilot は Microsoft Graph を介してデータに直接アクセスできますが、管理者がこれらの機能を有効にすることを選択している場合、セマンティック インデックスと Microsoft Graph コネクタを使うことで、Copilot は Microsoft 365 全体から社内データをより効果的に見つけて統合できます。

Microsoft Graph のデータやテレメトリは、他の Microsoft サービスでも使われますか。

Microsoft Graph を通じてアクセスされるデータは、Microsoft 365 のつながったエクスペリエンスを提供するために、多くの Microsoft 365 サービスで使用されます。Microsoft Graph のテレメトリと利用状況は、Microsoft のプライバシーおよびコンプライアンス ポリシーの対象です。ただし、Copilot での利用を意図していない Microsoft Graph データは除外できます。テナントでアクセスが有効化され、ユーザーがそのコンテンツへのアクセスを許可されていない限り、Copilot は Microsoft Graph のデータを使用しません。

組織は、Microsoft 365 で Copilot を使用する方法について、どこで詳しく学んだり、ガイダンスを得たりできますか。

組織は、Microsoft Learn と Microsoft 365 管理センターのドキュメントを参照することで、Copilot の有効化、Microsoft Graph コネクタの使用、データ保護の理解、既存の Microsoft 365 設定の構成について、手順に沿ったガイダンスを得られます。管理者は、テナント全体に Copilot を展開する前に、Microsoft 365 に対するコンプライアンスの約束を確認し、ポリシーを更新しておくべきです。