評価: Microsoft 365 Copilot — 企業導入可否
- 学習には使われず監査証跡もMicrosoft 365と同じ仕組みに乗るため、この2点は稟議の争点にならない
- 最大のリスクは製品の欠陥ではなく自社の過剰共有。Copilotは新たな権限を作らないが、誰も探さなかったファイルを検索可能にする
- アクセス権限の棚卸しを終えていれば全社展開は条件付き可。棚卸しなしの全社展開は不可
基本情報
| 提供元 / 所在国 | Microsoft / 米国 |
|---|---|
| 公開日 | 2023年11月1日 |
| 提供形態 | Microsoft 365 商用ライセンスへのアドオン(2023年11月1日に法人向け一般提供開始、現在の名称は Microsoft Copilot)。Word / Excel / PowerPoint / Outlook / Teams / OneNote / Loop 等に統合 |
判定サマリ
| 想定用途 | 判定 | 主な理由 |
|---|---|---|
| 公開情報の調査・文章の下書き作成 | 可 | 組織データを根拠にしない使い方であれば、過剰共有・越境移転いずれの論点も実害につながりにくい |
| 社内一般文書の要約・会議の議事録作成 | 条件付き可 | アクセス権限の棚卸しと、対話履歴の保持ポリシー設定を終えていることが前提 |
| 部門横断の社内情報検索(ナレッジ探索) | 条件付き可 | 過剰共有の影響を最も強く受ける使い方。SharePoint 高度な管理でリスクの高いサイトを特定してから開放する |
| 権限の棚卸しを終えていない状態での全社展開 | 不可 | 人事・給与・M&A 等の文書が一般社員の応答に現れる。製品側では防げず、自社の設定でしか止められない |
| 外部から受信したメールを人手の確認なしにエージェントへ渡す自動処理 | 不可 | EchoLeak・SearchLeak と同型の間接プロンプトインジェクションの入口になる。XPIA 分類器は全シナリオに適用されるわけではない |
評価軸
各軸は「事実→根拠→評価」の順で記載しています。評価は断定ではなく、条件付きの判断材料です。
A. データ所在地・越境移転 中
事実: 対話の内容(プロンプト・応答・根拠に使われた情報への引用)と関連するセマンティックインデックスは、テナントの Local Region Geography に保存される。日本は Product Terms の保存時データ所在地コミットメントの対象国に含まれる。一方、推論については「LLM への Microsoft Copilot 呼び出しは、リージョン内の最も近いデータセンターにルーティングされるが、使用率が高い期間中に容量が利用可能な他のリージョンにも呼び出すこともある」と記載されている。EU のユーザーには EU データ境界の追加の安全対策があるが、「EU 外のお客様は、米国、EU、またはその他のリージョンでクエリが処理されます」と明記されている。
根拠: Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」/ Microsoft Learn「Data Residency for Microsoft Copilot and Copilot Chat」
評価: 保存(at rest)と処理(推論)を分けて評価する必要がある。日本の顧客は保存場所についてコミットメントを得られるが、推論処理が国外で行われうる点は Microsoft 自身が明記している。社内説明で「テナント内で完結する」と表現するのは正確ではなく、監査や委託先調査でこの点を突かれると訂正が必要になる。個人情報保護法の越境移転については、Microsoft との契約(データ保護補遺)に基づく基準適合体制の整備で対応するのが実務上一般的だが、その根拠を文書に残しておくこと。
B. 学習利用・二次利用 低
事実: 「Microsoft Graph 経由でアクセスされるプロンプト、応答、データは、Microsoft Copilot で使用されているものを含め、基礎 LLM のトレーニングには使用されません」と明記されている。Azure OpenAI ではコンテンツの人間によるレビューを含む不正使用の監視を利用できるが、Microsoft Copilot サービスはこれをオプトアウトしている。任意のカスタマーフィードバックは製品改善に使われる場合があるが、基盤 LLM の学習には使われず、管理コントロールで管理できる。
根拠: Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」
評価: リスク低。稟議で最も多く聞かれる論点だが、明文で否定されており契約上のコミットメントに含まれるため、実質的な争点にはならない。ただしサブプロセッサとして Anthropic・OpenAI のモデルが提供される場合があり、管理者が有効化を選べる。追加の条件が適用される場合があるとされているため、有効化の前にサブプロセッサ側の条件を確認する。
C. アクセス権限の継承(過剰共有) 高
事実: 「Microsoft Copilot は、個々のユーザーが少なくとも表示アクセス許可を持っている組織データのみを表示します」とされ、セマンティックインデックスはユーザー ID ベースのアクセス境界を優先する。同時に Microsoft は「過剰共有または管理が不十分なコンテンツは Copilot の結果に影響を与え、リスクを高める可能性がある」として、SharePoint 高度な管理(SAM)でリスクの高いサイトとファイルを特定し、必要に応じて中間アクセス制限を適用することを推奨している。対象には Teams 共有チャネルなどテナント間コラボレーションで組織外のユーザーに付与した権限も含まれる。
根拠: Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」/ Microsoft Learn「Microsoft 365 Copilot のセキュリティ」
評価: リスク高。この評価で最も重要な論点。Copilot は新しい権限を作らないが、「権限上は見られるが、誰も探さなかったので事実上見えていなかった」ファイルを自然文で検索可能にする。全社共有の SharePoint サイト、退職者の OneDrive、「組織全体」権限のまま放置されたフォルダは多くの企業に存在し、Copilot の導入はその棚卸しを事実上強制する。これは製品の脆弱性ではなく自社の設定の問題であり、ベンダー側では直せない。棚卸しを飛ばして全社展開すると、人事・給与・M&A 関連の文書が一般社員の応答に現れる。
D. プロンプトインジェクションによるデータ窃取 高
事実: 2025年6月11日、M365 Copilot のゼロクリック型の間接プロンプトインジェクション脆弱性 CVE-2025-32711(通称 EchoLeak)が NVD で公開された。CVSS 基本スコアは NVD 評価で 7.5、Microsoft 評価で 9.3。CVSS ベクトルは UI:N(ユーザー操作を必要としない)で、分類は CWE-74。2026年6月15日には Varonis Threat Labs が CVE-2026-42824(通称 SearchLeak)を公表した。CVSS は Microsoft 評価 6.5 / NVD 評価 7.5 で、こちらはユーザーが正規の Microsoft リンクをクリックする操作を必要とする。窃取対象としてメール、予定表の詳細、インデックス済みファイル、MFA コード、パスワードリセットリンク、SharePoint・OneDrive のファイルが挙げられている。Varonis は概念実証を示しており、実際の悪用は観測されていないとしている。EchoLeak も Microsoft がサーバー側で修正済みで、実環境での悪用は確認されていない。
根拠: NVD「CVE-2025-32711」/ The Hacker News「One-Click Microsoft 365 Copilot Flaw Could Have Let Attackers Steal Emails, Files, and MFA Codes」(Varonis Threat Labs の公表)
評価: リスク高。Microsoft は脱獄およびクロスプロンプトインジェクション攻撃(XPIA)の分類器を持つが、ドキュメント上「これらの分類子は、すべての Microsoft Copilot シナリオで使用できるとは限りません」と明記されている。保護の適用範囲は一様ではない。いずれも修正済みで実悪用は確認されていないものの、約1年の間に2件、外部から送られたメールやリンクを起点にテナント内のデータが外へ出る経路が公表されている。この攻撃面は今後も出続ける前提で計画すべきで、「修正されたから問題ない」ではなく、検知(Purview)と権限の最小化を先に用意しておくのが妥当。
E. ログ・監査可能性 低
事実: プロンプトと応答(引用を含む「対話の内容」)は保存され、管理者はコンテンツ検索または Microsoft Purview で表示・管理できる。Purview で Copilot とのチャット操作に関連するデータのアイテム保持ポリシーを設定できる。Microsoft Teams 上の Copilot とのチャットは Teams Export API でも取得できる。一方、ユーザー自身はマイアカウントポータルから、プロンプトと応答を含む Copilot アクティビティ履歴を削除できる。
根拠: Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」/ Microsoft Purview ドキュメント
評価: リスク低。監査証跡・eDiscovery・保持ポリシーが標準の Microsoft 365 と同じ仕組みに乗る点は、他の生成AIサービスに対する明確な優位で、規制業種ではこれが選定理由になりうる。ただしユーザー側で履歴を削除できるため、削除を防ぎたい場合は展開前に保持ポリシーを設定しておく必要がある。あとから設定しても、それ以前に削除された履歴は戻らない。
F. 規制対応・第三者認証・著作権 低
事実: GDPR、ISO 27001、HIPAA、AI マネジメントシステムの ISO 42001 を含むコンプライアンス提供と認定がある。Microsoft は EU AI 法を含む適用法令の遵守に取り組むとしている。Service Trust Portal で「Microsoft Copilot & Copilot Chat リスク評価クイックスタート」が提供されている。著作権侵害で第三者が商用顧客を提訴した場合、顧客が製品に組み込まれたガードレールとコンテンツフィルターを使用している限り、Microsoft が顧客を防御し、不利な判決または和解の金額を支払うとしている(Copilot Copyright Commitment)。
根拠: Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」/ Microsoft on the Issues「Microsoft announces new Copilot Copyright Commitment for customers」
評価: リスク低。ISO 42001 対応と著作権補償は、法務・調達部門の要求事項に直接答えられる材料になる。稟議に添付する外部資料としては Service Trust Portal のリスク評価クイックスタートが最も手間が少ない。ただし著作権補償はガードレールとコンテンツフィルターを使用していることが条件であり、これらを回避する使い方をすると補償の前提が崩れる点に注意。
G. 基盤モデルの変更・サブプロセッサ 中
事実: Copilot を支える AI モデルは定期的に更新される。Microsoft は「モデルを更新すると、パフォーマンスの向上、推論の強化、機能の拡張が実現されますが、セキュリティ、プライバシー、コンプライアンスの設定は変更されません」としている。サブプロセッサとして Anthropic と OpenAI のモデルが提供され、管理者がこれらを使用するかどうかを決められる。ただしサブプロセッサとして Anthropic が提供するモデルは、現在 EU データ境界から除外されている。
根拠: Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」/ Microsoft Learn「Microsoft Online Services の Anthropic モデル」
評価: リスク中。モデルの差し替えでコンプライアンス設定は変わらないとされるが、サブプロセッサ単位で越境の扱いが変わる実例(Anthropic モデルの EU データ境界除外)がすでに存在する。「Microsoft と契約しているから中身は問わない」という整理では、この差分を拾えない。管理センターの統合アプリで、どのモデル・どのエージェントを有効にしているかを定期的に棚卸しする運用を前提に置く。
導入する場合の統制条件
以下をすべて満たす場合に限り、「条件付き可」の用途で利用可。
- 全社展開の前に SharePoint・OneDrive の共有設定を棚卸しし、「組織全体」「リンクを知っている全員」権限のサイト・フォルダを洗い出している
- 機微情報に秘密度ラベルを適用し、Purview の DLP が Copilot の応答に対しても機能することを確認している
- Copilot の対話履歴に保持ポリシーを設定している(ユーザーが自分で履歴を削除できるため、展開前の設定が必要)
- 管理センターの統合アプリで、有効化しているエージェントとサブプロセッサモデルを把握し、定期的に見直している
- 推論処理が国外で行われうることを、社内の越境移転に関する説明資料に反映している
今すぐやるべきアクション
- Service Trust Portal から「Microsoft Copilot & Copilot Chat リスク評価クイックスタート」を取得し、稟議の添付資料にする
- SharePoint 高度な管理(SAM)で過剰共有リスクの高いサイトを特定し、パイロット部門の範囲を決める
- 生成AI利用ルールの「利用可能サービス一覧」に、可否と条件を追記する
- EchoLeak・SearchLeak と同種の脆弱性が新たに公表された場合、誰が影響を判断し誰に周知するかの連絡経路を決めておく
この評価記事の位置づけ
本記事は Microsoft Copilot の機能や生産性を評価するものではなく、「企業が業務でこのサービスを使ってよいか」という導入判断のための材料を整理したものです。評価軸ごとに「事実 → 根拠(出典) → 評価」の順で記載しており、事実と評価を混在させないようにしています。
評価は断定ではなく、条件付きの判断材料です。実際の導入可否は、自社の契約条件・取扱情報の区分に基づき、法務部門と協議のうえ判断してください。
この評価で最も重要な論点
Microsoft Copilot の導入審査では、ふつう「入力したデータが学習に使われるか」が最初に議題に上がります。しかしこの点は明文で否定されており(評価軸 B)、争点になりません。
実際に事故につながるのは、自社側の過剰共有です(評価軸 C)。Copilot は新しいアクセス権限を作りません。ユーザーが元から閲覧できる範囲しか参照しません。問題は、多くの組織で「権限上は見られるが、フォルダ階層の奥にあって誰も探さなかったので、事実上見えていなかった」ファイルが大量にあることです。Copilot はそれを自然文の質問で引き出せる状態に変えます。
これはベンダー側では直せません。導入審査のチェックリストを Microsoft に投げても解決しない種類の問題で、自社の SharePoint・OneDrive の権限設定を棚卸しする以外に方法がありません。逆に言えば、棚卸しさえ終わっていれば、この製品のリスクは他の生成AIサービスより低く評価できます。監査証跡が Microsoft 365 の既存の仕組みに乗ること(評価軸 E)は、他社サービスにはない利点です。
導入計画を立てる際は、Copilot のライセンス調達より先に権限の棚卸しを工程に入れてください。順序を逆にすると、展開後に止める判断を迫られます。
- Microsoft Learn「Microsoft Copilot のデータ、プライバシー、セキュリティ」
- Microsoft Learn「Data Residency for Microsoft Copilot and Copilot Chat」
- Microsoft Learn「Microsoft 365 Copilot のセキュリティ」
- Microsoft Learn「生成 AI アプリ向け、Microsoft Purview のデータセキュリティおよびコンプライアンス保護」
- NVD「CVE-2025-32711」(EchoLeak)
- The Hacker News「One-Click Microsoft 365 Copilot Flaw Could Have Let Attackers Steal Emails, Files, and MFA Codes」(CVE-2026-42824 / SearchLeak)
- Microsoft on the Issues「Microsoft announces new Copilot Copyright Commitment for customers」
- Microsoft 365 Blog「Announcing Microsoft 365 Copilot general availability and Microsoft 365 Chat」(法人向け一般提供の開始日)
最終確認日: 2026年8月22日(公開後も定期的に再確認し、この日付を更新します)