Microsoft 365 Copilot を業務で使うときに確認すること

ChatGPTとは危なさの質が違う

Microsoft 365 Copilotは、ChatGPTのように「貼り付けたものが外に出る」構図ではありません。すでに社内にあるSharePoint、OneDrive、Teams、Outlookの中身を読んで答えます。

データは社外に出ません。Microsoftは、契約した組織の中にあるデータを、AIの学習には使わないと説明しています。

では安全かというと、別の問題があります。社内で見えてはいけないものが、社内の人に見えるようになる。

「全社員に閲覧権限がついたまま放置されている人事フォルダ」が、今までは誰も開かなかったから問題になっていなかった。Copilotを入れると、「来期の昇給案は」と聞いた人に見つかります。

入れる前にやること

導入前に権限の棚卸しをしないと、導入初週に事故ります。順番としてはこうです。

1. 全社共有になっているフォルダを洗い出す
2. 人事、給与、評価、採用、与信、未公表の案件が入っていないか見る
3. 「リンクを知っている全員」で共有されているファイルを絞る
4. 退職者のアカウントに残っているファイルの所有権を移す
5. そのうえで、まず一部門でパイロット運用する

1から4を飛ばして全社展開すると、だいたい何か出ます。人事情報が出たら、取り返しがつきません。

GeminiもWorkspaceなら構図は同じ

Google WorkspaceのGeminiも、考え方は同じです。Googleは、Workspaceのデータを広告や基盤モデルの学習に使わないと説明しています。そのうえで、Driveの共有設定が緩ければ同じことが起きます。

どちらを使うにしても、見るべきは「外に出るか」ではなく「社内で誰に見えるか」です。

個人のChatGPTとの併用が残る

Copilotを入れたから、もう個人のChatGPTは使われない。そう思いたくなりますが、実際には残ります。

理由は、できることが違うからです。Copilotは社内文書の検索と要約が得意ですが、「この文章をもっと柔らかく書き直して」のような一般的な作業は、ChatGPTのほうが慣れている人が多い。

結果、Copilotを契約したのに個人アカウントでの利用も続く、という状態になります。会社が把握できていないAIの利用そのものです。

契約したら使われなくなる、という前提で設計しないこと。併存する前提で、どちらに何を入れてよいかを決めるほうが現実的です。

出力の正確性は別の話

社内データを読んでいるぶん、Copilotの回答はもっともらしく見えます。実在するファイル名が根拠として示されるので、なおさらです。

ただ、要約の過程で内容がずれることはあります。古い版のファイルを参照していることもあります。「3年前の価格表を根拠に、現在の価格として回答する」は普通に起きます。

示された根拠ファイルを開いて確認する。この一手間は、社外に出す文章では必ず入れてください。

確認するのは結局3点

どのサービスでも見るところは同じです。

営業担当の説明ではなく、契約書面とデータ処理条項で確認してください。設定と契約の違いについては別の記事に書きました。

個人的には、Copilotの導入は情報セキュリティの改善になり得ると思っています。権限の棚卸しを強制されるからです。ただ、棚卸しをせずに入れると逆になります。そこだけ。