生成AI・Copilot利用ルール整備支援

生成AI利用ルールは、情シスだけでも法務だけでも作れません

Microsoft 365 Copilotは、Microsoft 365内のデータ、ID、アクセス権限、秘密度ラベル、保持ポリシー、監査などと密接に関係します。Microsoft公式情報では、CopilotはIDモデルとアクセス許可を尊重し、秘密度ラベルを継承し、保持ポリシーを適用し、対話の監査をサポートすると説明されています。

つまり、Copilot利用ルールは、単なる「AIに入力してよい情報・悪い情報」の一覧では足りません。

必要なのは、次の4つをつなげることです。

社内ルール
Microsoft 365 / Azureの技術設定
利用者教育
監査証跡

生成AI・Copilotの利用ルールを作るには、法務文書、個人情報保護、著作権、営業秘密、委託先管理、Microsoft 365権限、SharePoint共有、Purview監査、DLP、Entra ID、条件付きアクセス、Copilotの管理設定を一体で整理する必要があります。

Microsoft公式情報・公的情報を踏まえた前提整理

Microsoft 365 Copilotは、Microsoft Graphを通じて、ユーザーがアクセス権を持つドキュメント、メール、予定表、チャット、会議などの組織データを参照し、応答を生成します。Microsoft公式情報では、Microsoft Graph経由でアクセスされるプロンプト、応答、データは、Microsoft 365 Copilotで使用される基礎LLMのトレーニングには使用されないと説明されています。

Microsoft 365 CopilotとMicrosoft 365 Copilot Chatのエンタープライズデータ保護では、プロンプトと応答がMicrosoft 365の商用サービスで利用可能な契約条件とコミットメントによって保護されると説明されています。また、保存時と転送中の暗号化、テナント間のデータ分離、アクセス制御、保持、監査等の考え方が示されています。

CopilotのWeb検索については、管理者の制御とユーザーレベルのWebコンテンツトグルにより、Web検索の有効化を管理できると説明されています。Web検索が有効な場合、Copilotはユーザーのプロンプトを解析し、Webからの情報が応答品質を高める場合に、Bing検索サービスへ検索クエリを生成して送信することがあります。

SharePointについては、制限付きSharePoint Searchにより、組織全体の検索とCopilotエクスペリエンスを、許可されたSharePointサイトのセットに制限できると説明されています。Copilot導入前に、SharePointサイトの権限、所有者、外部共有、機密情報の配置を確認することが重要です。

Microsoft 365管理センターでは、Copilotのエージェントを有効、無効、割り当て、ブロック、削除し、Copilot機能を管理できると説明されています。また、エージェントは検索機能、カスタムアクション、コネクタ、APIを追加してCopilotの機能を拡張するため、情シスによるガバナンスが重要です。

Microsoft Purviewでは、Microsoft 365 CopilotとCopilot Chatに対して、監査、データ分類、秘密度ラベル、DLP、インサイダーリスク管理、通信コンプライアンス、eDiscovery、データライフサイクル管理、コンプライアンスマネージャー等がサポートされると説明されています。

Azure OpenAIを含むMicrosoft Foundryのモデル利用では、プロンプト、補完、埋め込み、トレーニングデータは、顧客の許可や指示なしに生成AI基盤モデルのトレーニングへ使用されないと説明されています。一方で、Responses APIやAssistants APIなどのステートフル機能では、メッセージ履歴等を保持するデータストアが作成される場合があるため、利用方式ごとの確認が必要です。

Power Platformでは、データポリシーによりコネクタを分類し、異なるグループに配置されたコネクタ間でデータを共有できないようにする考え方が説明されています。Copilot StudioやPower Automateを使う場合、AIエージェントがどのコネクタを使い、どの外部サービスへ接続できるのかを整理する必要があります。

日本では、AI法が令和7年6月4日に公布・一部施行され、令和7年9月1日に全面施行されています。内閣府は、AIのイノベーションを促進しつつリスクに対応するための制度としてAI法を位置づけています。
また、経済産業省はAI事業者ガイドライン第1.2版を公表しており、AI開発・提供・利用にあたって必要な取組の基本的な考え方を示しています。

個人情報保護委員会は、生成AIサービスの利用に関する注意喚起を公表しており、文化庁はAIと著作権に関する考え方を公表しています。AI利用ルールでは、個人情報、営業秘密、著作権、契約上の秘密保持義務を分けて整理する必要があります。

生成AI・Copilot利用統制の全体像

生成AI・Copilotの利用ルールは、単なる禁止事項ではありません。
経営判断、社内規程、Microsoft 365・Azureの技術設定、利用者教育、監査証跡をつなげて整備する必要があります。

1. 経営判断

AIをどの業務で使うのか。
どこまでリスクを許容するのか。
顧客情報、個人情報、営業秘密、契約情報をどの範囲で扱うのか。
経営層がAI利用方針を明確にします。

↓

2. 生成AI・Copilot利用ルール

入力してよい情報、入力してはいけない情報、出力結果の確認方法、外部提出時の承認、AIエージェント利用、外部AI利用申請、事故時の報告手順を定めます。

↓

3. 技術的統制

Microsoft Entra ID、条件付きアクセス、SharePoint権限、Teams外部共有、OneDrive共有、Microsoft Purview、DLP、秘密度ラベル、監査ログ、Copilot管理設定と接続します。

↓

4. 文書・運用統制

AI利用規程、Copilot利用ガイド、プロンプトガイド、AI利用申請書、社員教育記録、監査証跡、取引先説明資料を整備します。

↓

5. 監査・取引先説明

取引先チェックシート、ISMS、Pマーク、SOC、NIST、GDPR、SCC、委託先確認、個人情報保護に関する説明資料として整理します。

情シス担当者が最初に確認すべきポイント

1. 利用サービスの確認

確認すること：
Microsoft 365 Copilot、Copilot Chat、個人向けAI、Azure OpenAI、Copilot Studio、外部生成AI、SaaS内蔵AIのどれを使っているか。

未整備の場合のリスク：
管理対象外のAI利用、いわゆるシャドーAIが発生し、取引先や監査人に説明できなくなります。

情シス側の対応：
AIサービス台帳を作成し、利用部署、利用目的、管理者、契約形態、入力データ、ログ取得可否を整理します。

2. ID管理の確認

確認すること：
AI利用者をMicrosoft Entra IDのグループで管理しているか。
誰にCopilotライセンスを付与しているか。
利用者、管理者、承認者が明確か。

未整備の場合のリスク：
誰がAIを利用できるのか説明できず、退職者・異動者・委託先アカウントの管理不備につながります。

情シス側の対応：
Entra IDグループ、条件付きアクセス、多要素認証、ライセンス割当、管理者ロールを整理します。

3. SharePoint権限の確認

確認すること：
Copilot導入前に、SharePoint、Teams、OneDriveの権限を棚卸ししているか。
全社共有サイト、部門サイト、機密情報サイトの権限が適切か。

未整備の場合のリスク：
Copilotが、過剰共有された情報を検索・要約してしまう可能性があります。

情シス側の対応：
サイト所有者、閲覧権限、外部共有、秘密度ラベル、制限付きSharePoint Searchの要否を確認します。

4. 外部共有の確認

確認すること：
Teamsゲスト、SharePoint外部共有、OneDrive共有リンク、共有チャネル、外部ユーザーを管理しているか。

未整備の場合のリスク：
社外共有された情報がAI検索対象になり、情報漏えいや委託先管理不備につながる可能性があります。

情シス側の対応：
ゲストユーザー台帳、外部共有リンク棚卸し、委託先アカウント台帳、取引終了時の削除手順を整備します。

5. 入力ルールの確認

確認すること：
個人情報、秘密情報、認証情報、契約書、ソースコード、監査資料をAIに入力するルールがあるか。

未整備の場合のリスク：
情報漏えい、契約違反、個人情報保護上の問題、取引先への説明不能につながります。

情シス側の対応：
入力禁止情報、条件付き入力情報、承認制の情報、利用可能なAI環境を明確にします。

6. 出力確認の確認

確認すること：
AIの回答を人間が確認するルールがあるか。
顧客向け資料、契約関連資料、監査回答、技術手順をAIの出力だけで確定していないか。

未整備の場合のリスク：
誤回答、架空情報、顧客への誤説明、監査回答の不整合につながります。

情シス側の対応：
出力用途ごとの確認者、承認者、レビュー記録、根拠資料保存を定めます。

7. Web検索の確認

確認すること：
CopilotのWeb検索を有効にするか、無効にするか。
業務データを含むプロンプトでWeb検索を使わないよう教育しているか。

未整備の場合のリスク：
検索クエリの扱いを説明できず、取引先チェックシートで回答に困る可能性があります。

情シス側の対応：
管理者ポリシー、利用者教育、Web検索利用業務、Web検索禁止業務、ログ確認方針を整理します。

8. エージェント・コネクタの確認

確認すること：
Copilotエージェント、Copilot Studio、Power Automate、外部SaaSコネクタを誰が作成・公開できるか。

未整備の場合のリスク：
AIが外部サービスへ情報を送信したり、意図しない処理を自動実行したりする可能性があります。

情シス側の対応：
エージェント作成者、承認者、利用可能コネクタ、禁止コネクタ、公開前レビュー、停止手順を整備します。

9. 監査ログの確認

確認すること：
Microsoft Purview監査、AI利用ログ、Power Platformログ、SharePoint共有ログを確認できるか。

未整備の場合のリスク：
事故発生時や監査時に、誰が何を入力し、どの情報へアクセスしたのか説明できません。

情シス側の対応：
監査ログ取得手順、保存期間、閲覧権限、提出時のマスキング、証跡一覧を整備します。

10. 社員教育の確認

確認すること：
AI利用ルールを社員に周知しているか。
教育記録、同意記録、FAQ、問い合わせ窓口があるか。

未整備の場合のリスク：
ルールが現場に浸透せず、個人判断でのAI利用が広がります。

情シス側の対応：
利用開始前教育、定期教育、FAQ、事故時報告窓口、教育受講記録を整備します。

Copilot導入前に見るべきデータ経路

Copilotは、利用者がアクセスできるMicrosoft 365内の情報をもとに回答を生成します。
そのため、Copilot導入前には、AIそのものよりも先に、社内データの権限と共有状態を確認する必要があります。

1. 利用者

対象者：
社員、役員、情シス担当者、法務担当者、営業担当者、管理部門、委託先担当者など。

確認すること：
誰がCopilotを利用できるか。
誰にライセンスを付与するか。
部署単位、職務単位、プロジェクト単位で制限するか。

↓

2. プロンプト入力

利用者がCopilotに質問や依頼を入力します。

確認すること：
ここで個人情報、秘密情報、認証情報、契約情報、ソースコードを入力してよいかをルール化する必要があります。

↓

3. Microsoft 365 Copilot / Copilot Chat

Copilotは、利用者の権限に基づいてMicrosoft 365内の情報を参照します。

確認すること：
利用者が閲覧できる情報が広すぎないか。
本来見えないはずの情報が、SharePointやTeamsの権限不備で見えていないか。

↓

4. 参照される可能性がある主なデータ

対象データ：
SharePoint
OneDrive
Teams
Exchange
Outlook
Loop
Whiteboard
Microsoft 365グループ
共有ファイル
会議メモ
チャット履歴
社内文書

確認すること：
どのデータが検索・要約対象になるか。
機密情報が全社共有や広範なグループに置かれていないか。

↓

5. 外部情報との接点

対象機能：
Web検索
Copilotエージェント
外部コネクタ
Copilot Studio
Power Automate
外部SaaS
社内システム連携

確認すること：
外部サービスへ送信される可能性がある情報は何か。
どのコネクタを許可するか。
エージェントが自動実行できる範囲はどこまでか。

↓

6. 保護・監査の仕組み

対象機能：
Microsoft Purview
秘密度ラベル
DLP
保持ポリシー
監査ログ
条件付きアクセス
Microsoft Entra ID
SharePoint権限管理
Teamsゲスト管理

確認すること：
AI利用ルールとMicrosoft 365の保護機能が対応しているか。
事故時に証跡を出せるか。

↓

7. 情シスが確認すべき結論

Copilot導入前に、SharePoint、Teams、OneDrive、外部共有、ゲストユーザー、秘密度ラベル、DLP、監査ログを整理することが重要です。

山崎行政書士事務所が支援すること

1. 生成AI・Copilot利用状況の棚卸し

まず、社内でどのAIが使われているかを整理します。

対象例：
Microsoft 365 Copilot
Microsoft 365 Copilot Chat
個人向けCopilot
ChatGPT等の外部生成AI
Azure OpenAI
Microsoft Foundry
Copilot Studio
Power Automate / Power Apps連携
Teamsアプリ、Officeアドイン
ブラウザ拡張機能
SaaSに組み込まれたAI機能
開発部門のコード生成AI
営業、法務、管理部門の文章生成AI
社内FAQ、ナレッジ検索AI
顧客対応チャットボット

利用サービスを整理しないままルールを作ると、管理対象のAIと管理対象外のAIが混在します。

当事務所では、AIサービス台帳、利用部署、利用目的、入力データ、出力用途、管理者、契約形態、ログ取得可否を整理します。

2. AI利用区分の設計

すべてのAI利用を同じルールで扱うと、現場では使いにくくなります。
業務内容とリスクに応じて、利用レベルを分けることが重要です。

レベル0：入力禁止

利用例：
パスワード、秘密鍵、APIキー、トークン、未公開脆弱性情報、マイナンバー、本人確認書類の入力。

主なルール：
AIへの入力を禁止します。

情シス側の統制：
DLP、秘密情報検出、Key Vault利用、社員教育、監査ログ確認、インシデント報告手順を整備します。

レベル1：低リスク利用

利用例：
一般的な文章の言い換え、公開情報の要約、社内向けの一般文案作成。

主なルール：
通常利用を許可します。
ただし、AIの回答をそのまま外部提出しないようにします。

情シス側の統制：
利用者教育、出力確認ルール、公開情報と社内情報の区別を整備します。

レベル2：社内情報利用

利用例：
社内手順書、社内FAQ、会議メモ、業務マニュアルの整理。

主なルール：
会社が承認したAI環境に限定して利用します。

情シス側の統制：
Microsoft Entra ID、SharePoint権限、Teams権限、Microsoft Purview、秘密度ラベル、監査ログを確認します。

レベル3：機密情報・個人情報を含む利用

利用例：
顧客情報、契約情報、人事情報、監査資料、個人情報を含む分析。

主なルール：
承認制とし、必要最小限の情報だけを扱います。
利用できるAI環境を限定します。

情シス側の統制：
DLP、秘密度ラベル、アクセス制御、監査ログ、保持ポリシー、利用記録、承認フローを整備します。

レベル4：外部影響がある利用

利用例：
顧客回答、採用判断、与信判断、契約判断、法務判断、医療・金融関連判断、監査回答。

主なルール：
AIの出力を最終判断に使わず、人間の確認を必須にします。

情シス側の統制：
承認フロー、レビュー記録、根拠資料の保存、外部提出前確認、責任者の明確化を行います。

レベル5：AIエージェント・自動実行

利用例：
AIエージェントによるメール送信、チケット更新、顧客通知、外部SaaS連携、ファイル作成、ワークフロー実行。

主なルール：
原則として個別審査とし、本番利用前に承認を必要とします。

情シス側の統制：
Copilot Studio、Power Platform DLP、コネクタ管理、変更管理、ログ確認、停止手順、事故時対応を整備します。

3. 入力禁止情報・条件付き入力情報の整理

生成AI利用ルールでは、入力してよい情報と入力してはいけない情報を明確にします。

パスワード・秘密鍵・APIキー

ルール案：
入力禁止。

技術的対策：
DLP、秘密情報検出、Key Vault利用、ソースコードスキャン。

文書・運用対策：
社員教育、インシデント報告手順、漏えい時の無効化手順。

マイナンバー・本人確認書類

ルール案：
原則入力禁止。

技術的対策：
DLP、秘密度ラベル、アクセス制限。

文書・運用対策：
個人情報取扱規程、本人確認資料の提出ルール、保管期間の明確化。

顧客の個人情報

ルール案：
承認制。
必要最小限の範囲で、会社が承認したAI環境に限定します。

技術的対策：
Microsoft Purview、DLP、監査ログ、アクセス制御。

文書・運用対策：
利用目的、委託先管理、利用記録、取引先説明資料を整備します。

契約書ドラフト・規程案

ルール案：
社内管理されたAI環境に限定。
外部提出前に人間が確認します。

技術的対策：
SharePoint権限、秘密度ラベル、版管理、監査ログ。

文書・運用対策：
法務レビュー、行政書士業務範囲内での文書整理、外部提出前確認。

ソースコード

ルール案：
プロジェクト方針に従い、外部AI利用は承認制。

技術的対策：
リポジトリ権限、外部送信制限、シークレット検出。

文書・運用対策：
OSS利用ルール、営業秘密管理、委託先開発ルール。

未公開の経営情報・決算情報

ルール案：
原則入力禁止。
必要な場合は限定環境・承認制。

技術的対策：
秘密度ラベル、DLP、アクセス制限。

文書・運用対策：
経営情報取扱規程、役員承認、外部提出前確認。

医療・人事・評価情報

ルール案：
厳格な承認制。
AI単独判断は禁止。

技術的対策：
アクセス制限、監査ログ、保持ポリシー。

文書・運用対策：
担当者限定、利用記録、本人への影響がある判断の人間確認。

取引先から受領した秘密情報

ルール案：
秘密保持契約や委託契約の条件を確認したうえで判断します。

技術的対策：
秘密度ラベル、外部共有制限、DLP。

文書・運用対策：
NDA、委託契約、責任分界、取引先説明資料と接続します。

公開情報

ルール案：
利用可能。
ただし、出典確認と著作権確認を行います。

技術的対策：
Web検索ポリシー、ブラウザ利用制御。

文書・運用対策：
出典確認、引用ルール、外部公開前レビュー。

AIの出力結果

ルール案：
そのまま外部提出しない。
人間が確認してから利用します。

技術的対策：
レビュー履歴、承認ワークフロー、監査ログ。

文書・運用対策：
外部提出前確認、顧客回答ルール、監査回答の根拠確認。

4. Microsoft 365 Copilot導入前ルールの整備

Microsoft 365 Copilotでは、AIそのものの設定だけでなく、Microsoft 365内の権限設計が重要です。

確認する主な項目：
Copilotライセンスを付与する対象者
パイロット導入の対象部門
利用目的
利用禁止業務
SharePointサイトの権限棚卸し
Teamsのゲスト・外部共有
OneDrive外部共有
Microsoft 365グループ
秘密度ラベル
DLP
保持ポリシー
Purview監査
Web検索利用方針
エージェント、コネクタ、プラグイン管理
外部SaaS連携
問い合わせ窓口
事故発生時の報告手順
利用者教育

Copilotは、社内の情報管理が整っているほど有効に使えます。
逆に、SharePointやTeamsの権限が乱れている状態では、AI導入によって過剰共有が表面化することがあります。

5. SharePoint・Teams・OneDriveの過剰共有対策

Copilot導入前に、情シス担当者が最も優先して確認すべき領域は、SharePoint、Teams、OneDriveです。

状態1：SharePoint権限が整理済み

Copilot導入判断：
導入可能。

対応：
まずは限定部門でパイロットを開始し、利用ログ、問い合わせ、出力精度、権限の問題を確認します。

状態2：部門サイトは整理済みだが、全社共有が広い

Copilot導入判断：
条件付きで導入。

対応：
全社共有サイトを優先して棚卸しします。
経営、人事、法務、顧客情報、監査資料が全社共有に置かれていないか確認します。

状態3：ゲスト・外部共有が多い

Copilot導入判断：
慎重に導入。

対応：
Teamsゲスト、SharePoint外部共有、OneDrive共有リンク、共有チャネルを棚卸しします。
不要な外部共有を削除し、取引先・委託先ごとの利用目的を整理します。

状態4：機密情報サイトが未分類

Copilot導入判断：
導入前に整備が必要。

対応：
秘密度ラベル、アクセス制限、所有者設定、閲覧権限、外部共有禁止ルールを整備します。

状態5：所有者不明サイトが多い

Copilot導入判断：
導入前に整備が必要。

対応：
SharePointサイト、Teams、Microsoft 365グループの所有者を明確にします。
責任者不明のサイトは、利用継続、統合、削除、アーカイブを判断します。

状態6：権限棚卸し記録がない

Copilot導入判断：
監査上弱い状態。

対応：
棚卸し実施日、対象サイト、確認者、結果、改善事項を記録します。
Copilot導入前の証跡として残します。

6. Microsoft Purview・DLP・秘密度ラベルとの接続

生成AI利用ルールは、紙のルールだけでは機能しません。

Microsoft 365環境では、Microsoft Purviewを活用し、次のような技術的統制と接続することが重要です。

秘密度ラベル
自動ラベル付け
DLP
保持ポリシー
監査ログ
インサイダーリスク管理
コミュニケーションコンプライアンス
eDiscovery
AI利用状況の確認
危険なAI利用の検出
データライフサイクル管理

入力禁止情報とDLP

AI利用規程で入力禁止と定めた情報は、可能な範囲でDLPや秘密度ラベルと接続します。

例：
パスワード、APIキー、マイナンバー、本人確認書類、顧客情報、秘密情報、契約情報。

秘密度ラベルとCopilot

機密情報を扱う文書には秘密度ラベルを付与し、利用者が情報の機密性を理解できる状態にします。
Copilot導入前に、ラベルが未整備のまま機密資料がSharePointに蓄積していないか確認します。

監査ログと証跡

AI利用時に、誰が、いつ、どのような操作を行ったのかを確認できるようにします。
取引先チェックシートや監査対応では、ルールそのものだけでなく、ログや教育記録の有無が重要です。

7. Copilotエージェント・コネクタ管理ルールの整備

Copilotの利用は、単なるチャットにとどまりません。
エージェントやコネクタを使うと、Jira、Dynamics 365、外部SaaS、社内システム、ナレッジベースなどと接続できる場合があります。

便利である一方、次のリスクが発生します。

AIが外部SaaSの情報を参照する。
AIが社内データと外部データを組み合わせる。
意図しないデータが検索対象になる。
外部コネクタの権限管理が不十分になる。
エージェントが自動実行する範囲が不明確になる。
誰がエージェントを作成・公開できるか決まっていない。
外部送信、チケット更新、メール送信などの操作が記録されていない。

当事務所では、次のような管理ルールを整備します。

エージェント作成者の範囲
エージェント承認フロー
利用可能コネクタ一覧
禁止コネクタ一覧
外部SaaS連携の審査基準
本番公開前レビュー
変更管理
ログ確認
事故時の停止手順
委託先、SIer、開発ベンダーとの責任分界

8. Azure OpenAI・Microsoft Foundry利用ルールの整備

Azure OpenAIやMicrosoft Foundryを使って、社内AIアプリ、RAG、チャットボット、文書検索、問い合わせ対応AIを構築する場合は、Microsoft 365 Copilotとは別の観点が必要です。

1. データソース

確認内容：
SharePoint、Blob Storage、SQL Database、社内DB、ファイルサーバー、ナレッジベースなど、AIが参照するデータを確認します。

ルール化する内容：
AIが参照できる範囲、参照してはいけない情報、機密情報の扱い、データ更新手順を定めます。

2. 認証

確認内容：
Microsoft Entra ID、アプリ認証、ユーザー単位のアクセス制御、サービスプリンシパルの利用有無を確認します。

ルール化する内容：
利用者ごとのアクセス制御、管理者権限、委託先権限、退職者・異動者の処理を定めます。

3. 保存

確認内容：
会話履歴、プロンプト、回答、評価データ、ログ、添付ファイルが保存されるか確認します。

ルール化する内容：
保存期間、削除手順、監査時の提出範囲、個人情報の削除依頼への対応を定めます。

4. データ処理地域

確認内容：
標準、グローバル、DataZoneなど、利用するデプロイ方式やデータ処理場所を確認します。

ルール化する内容：
取引先説明、個人情報保護、委託契約、海外移転説明、監査資料への記載方法を定めます。

5. 出力用途

確認内容：
AIの回答を社内参考に使うのか、顧客回答に使うのか、外部公開資料に使うのかを確認します。

ルール化する内容：
人間レビューの要否、外部提出前承認、根拠確認、出典確認、誤回答時の対応を定めます。

6. 安全性

確認内容：
コンテンツフィルター、プロンプトインジェクション対策、禁止応答、ガードレールの有無を確認します。

ルール化する内容：
禁止プロンプト、禁止応答、危険な利用の検出、エスカレーション手順を定めます。

7. 開発・運用責任

確認内容：
内製か、SIer委託か、保守ベンダーが関与するかを確認します。

ルール化する内容：
責任分界、成果物、保守範囲、障害対応、ログ確認、設定変更、契約終了時の処理を定めます。

8. 監査証跡

確認内容：
プロンプト、回答履歴、操作ログ、アクセスログ、構成変更ログを取得できるか確認します。

ルール化する内容：
事故時・監査時の証跡、提出範囲、マスキング、保存期間、取得手順を定めます。

9. プロンプト利用ルールの作成

AI利用ルールでは、利用者が実際に使える「プロンプトの作法」が重要です。

良いプロンプトの基本

目的を明確にする。
前提条件を示す。
出力形式を指定する。
機密情報を入れない。
個人情報は必要最小限にする。
推測と事実を分けるよう指示する。
根拠が不明な場合は不明と答えるよう指示する。
外部提出前に人間が確認する。
AIの回答を最終判断にしない。

良いプロンプト例

以下の社内公開済み手順書をもとに、情シス向けのFAQ案を作成してください。
未確認情報は推測せず、「確認が必要」と記載してください。
個人情報、顧客名、契約条件は含めないでください。
出力は「質問」「回答」「確認すべき部署」の順で整理してください。

避けるべきプロンプト例

この顧客リストと契約書を読み込んで、取引先に送る回答をそのまま作ってください。
担当者名、メールアドレス、契約金額も全部入れてください。
法的に問題ないかも判断してください。

このようなプロンプトは、個人情報、契約情報、法的判断、外部提出物が混在しており、生成AIに丸投げすべきではありません。

10. AI出力結果の確認ルール

生成AIの回答は、必ずしも正確とは限りません。
利用用途ごとに、人間による確認ルールを定める必要があります。

社内メモ

確認ルール：
内容を確認したうえで利用します。
重要な判断資料には、そのまま使わないようにします。

議事録

確認ルール：
出席者、決定事項、保留事項、担当者、期限を人間が確認します。

顧客向けメール

確認ルール：
担当者または上長が確認してから送信します。
契約条件、金額、納期、責任範囲をAI任せにしないようにします。

契約関連資料

確認ルール：
担当者、法務部門、必要に応じて専門士業が確認します。
AIの出力を法的判断の最終回答にしないようにします。

技術手順

確認ルール：
情シスまたはSEが検証します。
本番環境で実行する前に、影響範囲、バックアップ、ロールバックを確認します。

コード

確認ルール：
レビュー、テスト、脆弱性確認、ライセンス確認を行います。
秘密鍵や認証情報が含まれていないか確認します。

監査回答

確認ルール：
根拠資料、ログ、設定、規程、契約と照合します。
実態と異なる「対応済み」回答にならないよう確認します。

公開記事

確認ルール：
著作権、商標、事実関係、出典、最新性を確認します。
Microsoftロゴ、Azureロゴ、Copilotロゴ、公式キャラクター等の使用には注意します。

経営判断資料

確認ルール：
担当部門と経営層が確認します。
AIの分析だけで投資判断、人事判断、契約判断を行わないようにします。

個人に重大な影響がある判断

確認ルール：
AI単独判断は禁止します。
採用、評価、与信、医療、法務、懲戒、契約可否などは、人間の責任ある確認を必須にします。

生成AI利用ルールとMicrosoft技術設定の対応

生成AI利用規程は、Microsoft 365やAzureの技術設定と接続してはじめて実効性を持ちます。

1. AI利用規程

会社としての基本ルールです。
利用目的、対象サービス、禁止事項、承認手続、事故時対応を定めます。

対応する技術・運用：
Microsoft 365管理センター
Microsoft Purview
Entra ID
SharePoint権限
Teams外部共有
利用者教育
AIサービス台帳

2. 入力禁止情報

パスワード、秘密鍵、APIキー、マイナンバー、本人確認書類、営業秘密、未公開情報などを定義します。

対応するMicrosoft技術設定：
Microsoft Purview DLP
秘密度ラベル
情報保護ポリシー
監査ログ

3. 利用者制限

誰がCopilotや生成AIを利用できるかを定めます。

対応するMicrosoft技術設定：
Microsoft Entra IDグループ
条件付きアクセス
多要素認証
Copilotライセンス割当

4. Copilot対象データ

Copilotが参照するMicrosoft 365内のデータを整理します。

対応するMicrosoft技術設定：
SharePoint権限
Teamsメンバー管理
OneDrive共有管理
Microsoft 365グループ
制限付きSharePoint Search

5. Web検索ルール

CopilotのWeb検索を許可するか、禁止するか、どの業務で使うかを定めます。

対応するMicrosoft技術設定：
Copilot管理ポリシー
Cloud Policy
ブラウザ制御
利用者教育

6. エージェント利用

Copilot Studio、外部コネクタ、Power Automate連携、外部SaaS連携のルールを定めます。

対応するMicrosoft技術設定：
Microsoft 365管理センター
Power Platform DLP
コネクタ制御
エージェント承認フロー

7. 出力確認

AIの回答を人間が確認し、外部提出前に承認するルールを定めます。

対応する運用設定：
承認フロー
レビュー記録
版管理
根拠資料の保存

8. 監査・証跡

AI利用状況、事故対応、取引先説明、監査対応に必要な証跡を残します。

対応するMicrosoft技術設定：
Microsoft Purview監査
SharePoint監査ログ
Power Platformログ
教育記録
利用申請記録
チェックシート回答根拠資料

対応できる主な支援内容

生成AI・Copilot利用規程の作成

生成AI利用方針
利用目的
対象サービス
利用者範囲
禁止事項
入力禁止情報
条件付き入力情報
出力確認ルール
外部提出ルール
顧客対応ルール
著作権確認ルール
個人情報取扱いルール
秘密情報取扱いルール
AI利用記録
事故発生時の報告
違反時の対応
教育・周知
改訂手順

Microsoft 365 Copilot利用ルール作成

Copilot利用対象者
ライセンス付与基準
パイロット導入手順
利用可能業務
利用禁止業務
SharePoint権限棚卸し手順
Teams外部共有確認
OneDrive共有確認
Web検索利用方針
プロンプト履歴の扱い
Copilotの回答確認ルール
エージェント、コネクタ、プラグイン管理
問い合わせ窓口
監査ログ確認手順

Copilot導入前チェックリスト作成

Microsoft 365テナント確認
Entra IDユーザー・グループ整理
Copilotライセンス対象者整理
SharePointサイト棚卸し
Teams棚卸し
OneDrive外部共有確認
秘密度ラベル確認
DLP確認
Purview監査確認
ゲストユーザー確認
外部共有リンク確認
条件付きアクセス確認
管理者ロール確認
教育対象者確認
利用規程の周知確認

生成AI利用申請フロー作成

新規AIサービス利用申請
個人向けAI利用申請
外部SaaS AI利用申請
顧客データ利用申請
個人情報利用申請
AIエージェント作成申請
Copilot Studio公開申請
外部公開コンテンツ作成申請
AIチャットボット導入申請
委託先開発AI利用申請
承認者、確認者、記録方法の整理

情シス向け技術統制整理

Entra IDグループ設計
条件付きアクセス整理
MFA適用状況
Copilotライセンス割当管理
SharePointサイト権限棚卸し
Teams外部共有確認
OneDrive共有リンク確認
Purview DLP設計
秘密度ラベル設計
監査ログ確認
Power Platform DLP
Copilot Studio環境管理
Azure OpenAI構成整理
Log Analytics / Defender / Sentinel連携検討
監査証跡一覧化

監査・取引先チェックシート対応

生成AIやCopilot利用について、取引先から次のような質問を受けるケースが増えています。

生成AIの業務利用ルールはありますか。
個人情報を生成AIに入力する場合のルールはありますか。
AIに入力した情報が学習に使われるか確認していますか。
Microsoft 365 Copilotの利用範囲を管理していますか。
AI利用ログを確認できますか。
AIの回答を外部提出する際の確認手順はありますか。
外部AIサービス利用時の承認フローはありますか。
AIエージェントや外部コネクタの利用を管理していますか。
AI利用に関する社員教育を行っていますか。
著作権、秘密情報、個人情報に関する注意事項を周知していますか。

当事務所では、これらの質問に対して、回答案、根拠資料、社内規程、技術設定、証跡一覧を整理します。

成果物の例

生成AI利用規程案

内容：
社内で生成AIを使うための基本ルールを定めます。
利用目的、対象サービス、禁止事項、承認手続、事故時対応を整理します。

Microsoft 365 Copilot利用ガイド

内容：
Copilot利用者向けの実務ルールをまとめます。
入力してよい情報、入力してはいけない情報、出力確認、Web検索、外部提出前確認を整理します。

情シス向けCopilot導入チェックリスト

内容：
Copilot導入前に確認すべき技術項目を整理します。
SharePoint権限、Teams外部共有、OneDrive共有、Purview、DLP、監査ログ、Entra IDを確認します。

AIサービス台帳

内容：
社内で利用しているAIサービス、利用部署、利用目的、管理者、契約形態、入力データ、ログ取得可否を一覧化します。

入力禁止情報一覧

内容：
個人情報、秘密情報、認証情報、契約情報、ソースコード、監査資料など、AI入力時に注意すべき情報を整理します。

プロンプト利用ガイド

内容：
良いプロンプト、悪いプロンプト、確認事項、禁止事項、外部提出前の注意点をまとめます。

AI出力レビュー手順

内容：
顧客回答、契約関連資料、監査回答、技術手順、公開記事など、出力用途ごとの確認手順を整理します。

SharePoint権限棚卸し表

内容：
Copilot導入前に、SharePoint、Teams、OneDriveの過剰共有を確認するための整理資料です。

Purview / DLP対応整理

内容：
AI利用ルールとMicrosoft Purview、DLP、秘密度ラベル、保持ポリシー、監査ログの対応関係を整理します。

AI利用申請書

内容：
新規AIサービス、外部AI、個人情報利用、AIエージェント、外部SaaS連携を申請するためのフォームを作成します。

AIエージェント審査表

内容：
Copilot StudioやPower Automate等で作成するAIエージェントの公開前レビュー項目を整理します。

取引先チェックシート回答案

内容：
生成AI利用管理、個人情報入力ルール、AI利用ログ、社員教育、外部AI利用申請などの回答案と根拠資料を整理します。

生成AI教育資料

内容：
社員向けに、生成AI利用時の注意点、入力禁止情報、出力確認、事故時報告を分かりやすくまとめます。

経営層向け説明資料

内容：
生成AIの業務メリット、情報漏えいリスク、監査対応、取引先説明、投資判断に必要な要点を整理します。

改善計画表

内容：
未整備項目、対応期限、責任者、優先度、取引先への説明方針を整理します。

生成AI利用ルールのサンプル条項

第1条 目的

本ルールは、業務における生成AIおよびCopilotの適切な利用を定め、業務効率化を図るとともに、個人情報、営業秘密、契約上の秘密情報、著作権、情報セキュリティ、監査対応上のリスクを低減することを目的とする。

第2条 対象サービス

本ルールの対象となるサービスは、Microsoft 365 Copilot、Microsoft 365 Copilot Chat、Azure OpenAI、Copilot Studio、その他会社が承認した生成AIサービスとする。

会社が承認していない個人向け生成AIサービス、ブラウザ拡張機能、外部SaaSのAI機能を業務データに利用する場合は、事前に所定の承認を得なければならない。

第3条 入力禁止情報

利用者は、次の情報を生成AIに入力してはならない。

パスワード、秘密鍵、APIキー、トークン
マイナンバー
本人確認書類の画像
未公開の脆弱性情報
顧客または取引先との契約により外部送信が制限されている情報
会社が特に指定する営業秘密
その他、会社が入力禁止と定めた情報

第4条 条件付き入力情報

次の情報を生成AIに入力する場合は、会社が承認した環境を利用し、必要最小限の範囲で取り扱うものとする。

顧客情報
個人情報
契約書、見積書、仕様書
ソースコード
社内会議記録
監査資料
人事、労務、評価に関する情報
セキュリティ設定、ログ、構成情報

第5条 出力結果の確認

生成AIの出力結果は、事実、根拠、最新性、社内ルール、契約条件、権利関係、個人情報の有無を確認したうえで利用する。

顧客、取引先、行政機関、監査人、外部公開資料に利用する場合は、担当者または承認者による確認を行う。

第6条 AIによる最終判断の禁止

生成AIの出力は、業務上の参考情報として利用する。
法的判断、医療判断、採用・評価、与信、契約可否、セキュリティ重大判断、顧客への最終回答など、個人または取引に重大な影響を与える判断については、AIの出力のみで決定してはならない。

第7条 事故時の報告

利用者は、生成AIに入力してはならない情報を入力したおそれがある場合、AIの出力により誤った外部説明を行ったおそれがある場合、または情報漏えい、権利侵害、セキュリティ事故が疑われる場合は、速やかに所定の窓口へ報告しなければならない。

第8条 外部AIサービスの利用

会社が承認していない外部生成AIサービスに、業務上の秘密情報、個人情報、顧客情報、取引先情報、契約情報、ソースコード、認証情報を入力してはならない。

外部AIサービスを業務利用する場合は、利用目的、入力情報、保存・学習利用の有無、契約条件、ログ取得可否、利用部署、管理者を確認し、所定の承認を得るものとする。

第9条 Copilotエージェント・コネクタの利用

Copilotエージェント、Copilot Studio、Power Automate、外部SaaSコネクタ、API連携を利用する場合は、作成者、承認者、利用可能コネクタ、外部送信の有無、ログ取得、停止手順を明確にする。

顧客通知、メール送信、チケット更新、ファイル作成、外部SaaS更新など、業務上の操作を自動実行するエージェントは、事前審査を行うものとする。

第10条 教育・見直し

会社は、生成AI利用ルールを利用者に周知し、必要に応じて教育を実施する。

AIサービス、Microsoft 365、Azure、法令、取引先要求、社内運用の変化に応じて、本ルールを見直すものとする。

支援の流れ

Step 1 現状確認

現在利用している生成AI、Microsoft 365、Azure、Copilot、外部SaaS、社内ルール、監査要求を確認します。

確認する主な資料：
Microsoft 365利用状況
Copilot導入予定
Azure OpenAI利用予定
SharePointサイト一覧
Teams一覧
外部共有状況
既存の情報セキュリティ規程
個人情報取扱規程
クラウド利用規程
委託契約、NDA
取引先チェックシート
監査依頼書
AI利用に関する社内相談履歴

Step 2 リスク分類と利用区分の設計

業務ごとに、AI利用のリスクを分類します。

分類例：
一般文章作成
社内文書要約
顧客対応
契約関連
個人情報処理
ソースコード生成
監査資料作成
問い合わせ対応
外部公開コンテンツ
自動実行エージェント
AIチャットボット
RAG検索

分類結果をもとに、許可、条件付き許可、承認制、禁止の区分を設計します。

Step 3 技術設定との接続

社内ルールを、Microsoft 365やAzureの実際の設定とつなぎます。

確認対象：
Entra ID
条件付きアクセス
Microsoft 365管理センター
Copilot管理設定
SharePoint権限
Teamsゲスト
OneDrive外部共有
Purview DLP
秘密度ラベル
監査ログ
Power Platform DLP
Copilot Studio環境
Azure OpenAI構成
ログ保存方針

Step 4 規程・手順・チェックリスト作成

実際に使える資料へ落とし込みます。

作成例：
生成AI利用規程
Copilot利用ガイド
プロンプトガイド
AI利用申請書
外部AI利用チェックシート
AIエージェント公開前チェックリスト
SharePoint権限棚卸し資料
AI利用教育資料
監査証跡一覧
取引先説明資料
改善計画資料

Step 5 教育・運用・監査対応

ルールを作って終わりではなく、運用に落とし込みます。

支援例：
社員向け教育
情シス向け運用手順
利用者向けFAQ
AI利用申請の受付
定期棚卸し
ログ確認
監査前レビュー
取引先チェックシート回答
事故発生時の対応手順
規程改訂

このような企業におすすめです

Microsoft 365 Copilotを導入予定の企業
Copilot Chatを業務利用している企業
Azure OpenAIやCopilot Studioを使った社内AIを検討している企業
社員が外部生成AIを自由に使っていて不安がある企業
SharePoint、Teams、OneDriveの権限が整理できていない企業
取引先から生成AI利用ルールを聞かれている企業
ISMS、Pマーク、SOC、NIST、GDPR、SCCへの対応を整理したい企業
個人情報、営業秘密、契約情報、ソースコードを扱う企業
情シス、法務、経営層でAI利用方針が揃っていない企業
生成AIを禁止するのではなく、安全に業務活用したい企業
AIエージェントや外部コネクタの統制を整えたい企業

よくあるご相談

Q. Microsoft 365 Copilotを入れれば安全に使えますか。

Microsoft 365 CopilotはMicrosoft 365の権限やポリシーと連動しますが、社内のSharePoint権限、Teamsのメンバー、OneDrive共有、秘密度ラベル、DLP、利用者教育が未整備のままでは、十分な説明ができません。

導入前に、Copilotが参照するデータの権限整理と利用ルールの整備をおすすめします。

Q. 個人向けAIと法人向けCopilotの違いも整理できますか。

可能です。

業務データを入力してよいAI、入力してはいけないAI、承認が必要なAIを区分し、利用者が迷わないルールへ整理します。

Q. CopilotのWeb検索を禁止すべきですか。

一律に禁止するのではなく、業務内容、規制、取引先要求、個人情報・秘密情報の取扱いに応じて判断します。

Web検索を有効にする場合でも、利用者教育、入力禁止情報、外部提出前確認、管理者ポリシー、記録方針を整えることが重要です。

Q. AIに契約書や規程を読ませてもよいですか。

契約書や規程の内容、秘密保持義務、個人情報の有無、利用するAI環境、保存・学習・ログの扱いにより判断が変わります。

当事務所では、行政書士業務の範囲内で、入力可否の判断基準、承認フロー、利用環境、レビュー手順、社内規程への反映を整理します。

Q. 著作権リスクもルールに入れられますか。

可能です。

AI出力を外部公開する場合、既存著作物との類似性、出典確認、画像・文章・コードの利用条件、社内レビュー手順を整理します。

個別の紛争や最終的な法的判断が必要な場合は、弁護士等の専門家と連携する形で対応します。

Q. Copilot StudioやPower AutomateでAIエージェントを作る場合も対象ですか。

対象です。

AIエージェントは、単なるチャットよりもリスクが高くなります。
外部送信、チケット更新、メール送信、ファイル作成、SaaS連携などを行う場合は、作成者、承認者、利用できるコネクタ、ログ、停止手順、事故時対応まで整理する必要があります。

Q. 取引先チェックシートに「生成AIの利用管理」を聞かれています。対応できますか。

対応可能です。

AI利用規程、AIサービス台帳、入力禁止情報、社員教育、Microsoft 365設定、Purview監査、DLP、SharePoint権限整理、外部AI利用申請などを、回答根拠として整理します。

Q. 実際のMicrosoft 365設定変更まで依頼できますか。

設定変更を含む場合は、作業範囲、責任分界、変更管理、バックアップ、影響範囲、ロールバック方針を明確にしたうえで進めます。

原則として、まずは現状確認、設計、手順作成、レビューを行い、お客様の管理者権限と承認のもとで慎重に対応します。

Q. Azure OpenAIを使った社内AIアプリのルールも作れますか。

可能です。

Azure OpenAIやMicrosoft Foundryを利用する場合は、Microsoft 365 Copilotとは別に、データソース、認証、保存期間、ログ、RAG対象文書、利用モデル、データ処理地域、委託先開発、運用責任を整理します。

Q. 社員向けの短い利用ルールも作れますか。

可能です。

経営層向け、情シス向け、法務向け、一般社員向けに分けて、実際に読まれる文量と表現に調整できます。

料金について

対応範囲、Microsoft 365環境の規模、Copilot導入状況、Azure OpenAI利用有無、必要な成果物によって異なります。

まずは、現在のAI利用状況、Copilot導入予定、取引先チェックシートの有無、社内規程の有無を確認し、必要な作業範囲を整理します。

料金表示例：
初回相談：お問い合わせください
生成AI利用ルール簡易レビュー：個別見積り
Copilot導入前ルール整備：個別見積り
SharePoint権限・AI利用統制整理：個別見積り
AI利用規程・プロンプトガイド作成：個別見積り
取引先チェックシート対応・証跡整理：個別見積り
Azure OpenAI / Copilot Studio利用ルール整備：個別見積り
継続的なAIガバナンス伴走：個別見積り

ご相談時にご用意いただきたい資料

可能な範囲で、次の資料をご用意ください。

現在利用している生成AIサービス一覧
Microsoft 365利用状況
Copilot導入予定
Azure OpenAI利用予定
Copilot Studio利用予定
SharePointサイト一覧
Teams一覧
外部共有状況
Entra IDユーザー・グループ構成
Purview、DLP、秘密度ラベル設定状況
既存の情報セキュリティ規程
個人情報取扱規程
クラウド利用規程
外部サービス利用規程
委託契約、NDA、取引先要求
取引先チェックシート
監査依頼書
過去のAI利用に関する社内相談
社員教育資料
インシデント対応手順

すべて揃っていなくても問題ありません。
不足資料を洗い出すことも支援内容に含まれます。

生成AIは、禁止ではなく統制して使う時代です

生成AIを全面禁止すれば、業務効率化の機会を失います。
一方で、自由に使わせれば、情報漏えい、誤回答、権利侵害、監査指摘、取引先説明不能のリスクが高まります。

必要なのは、禁止と放任の中間です。

使ってよいAIを決める。
入力してよい情報を決める。
入力してはいけない情報を決める。
出力結果の確認方法を決める。
外部提出時の承認を決める。
SharePointやTeamsの権限を整える。
Purview、DLP、監査ログとつなぐ。
エージェントやコネクタを管理する。
社員教育を行う。
監査や取引先へ説明できる証跡を残す。

山崎行政書士事務所は、Azure・Microsoft 365の現場を理解する行政書士として、生成AI・Copilotの利用ルールを、単なる社内規程ではなく、実際のクラウド設定・運用・証跡とつながる形で整備します。

「Copilotを導入したいが、社内ルールがない」
「社員が外部AIを使っていて不安」
「SharePointの権限整理が追いついていない」
「取引先からAI利用管理を聞かれている」
「情シスと法務でAI利用方針を揃えたい」

そのような企業様は、ぜひご相談ください。

​

対応エリア

全国対応可能です。
静岡県内の企業様はもちろん、オンラインで全国の企業様に対応しています。

Microsoft 365 Copilot、Copilot Chat、Azure OpenAI、Copilot Studio、Microsoft Purview、Entra ID、SharePoint、Teams、OneDrive、生成AI利用規程、取引先チェックシート、監査対応でお困りの場合は、お気軽にご相談ください。

注意事項

本サービスは、行政書士業務の範囲内で、社内規程、契約関連資料、説明資料、チェックシート回答案、監査対応資料、証跡整理表、運用手順等の作成・整理を支援するものです。

個別の紛争、相手方との交渉代理、訴訟対応、法律上の最終判断が必要となる事項については、弁護士等の専門家と連携する形で対応します。

本サービスは、監査合格、認証取得、取引継続、法令適合、第三者保証、AI出力の正確性を約束するものではありません。
実際の監査判断、認証判断、取引先判断、法的判断は、監査人、審査機関、取引先、関係機関、専門士業等の判断によります。

Microsoft、Microsoft 365、Microsoft Copilot、Microsoft Entra、Azure、Azure OpenAI、Microsoft Foundry、Microsoft Purview、SharePoint、OneDrive、Teams、Copilot Studio、Power Platform は、米国 Microsoft Corporation の商標または登録商標です。
山崎行政書士事務所は独立したサービス提供者であり、Microsoft公式代理店、公式監査機関、公式認証機関であることを表示するものではありません。
本ページにMicrosoft Azureロゴ、Microsoftロゴ、Microsoft Copilotロゴ、Microsoft Entraロゴ、Microsoft公式キャラクターは使用していません。