Copilotを全社に広げる前に｜「見せてはいけない資料」が見えないようにする4段階の進め方【2026年10月版】

「Copilotを全社に広げたい。でも、SharePointやTeamsの権限が整理できていない」

「人事資料や未発表の経営資料が、AI経由で別部署の社員に見えないだろうか」

この不安があるなら、全社展開を急ぐ必要はありません。ただし、すべての共有権限を直し終えるまで止める必要もありません。開放範囲を決め、過剰共有を調べ、安全を確認できた部署から段階的に広げる。これが現実的な進め方です。

この記事では、Copilotの展開前に情シスと推進担当が決めることを4段階に分けます。読み終えると、どこまで終われば試行を始められるか、役員に何を説明すればよいかを判断できます。

この記事の要点

Copilotが権限を広げるわけではない。それでも確認が要る

Microsoftの説明では、Microsoft 365 Copilotは、利用者がすでにアクセス権を持つ組織内データを回答に利用します。Copilotを有効にしただけで、利用者のSharePointやOneDriveの権限が追加されるわけではありません。

一方で、MicrosoftはSharePointとOneDriveのアクセス制御が、Copilotによる情報の発見と参照に影響すると説明しています。つまり、問題になるのはCopilotが新しい穴を開けることではなく、以前から広すぎた権限によって、見つけにくかった資料が見つかりやすくなることです。

Microsoft公式のデータ保護と監査の説明でも、共有範囲、メンバー構成、検索・発見の設定、機密ラベルなどがCopilotの参照範囲に関係するとされています。

ここを取り違えると、判断が両極端になります。「Copilotは権限を守るから、そのまま全員に開けてよい」か、「全ファイルを整理し終えるまで、一人にも使わせられない」か。どちらも現場では続きません。

必要なのは、Copilotだけを見た安全確認ではありません。いま誰が、どの場所を、なぜ閲覧できるのかを確認し、展開範囲と結びつける作業です。

全社展開前に進める4段階

AIworkerでは、Copilotの展開準備を4段階に分けています。Microsoftの管理機能を並べるためではなく、社内で「何が決まれば次へ進めるか」を明確にするための区分です。

この4段階は、一つずつ全社分を完成させる直列工程ではありません。段階1と2で安全を確認できた部署は試行を始め、その間に段階3と4を具体化します。

では、どの部署から開けるのか。最初の判断は、機能ではなく仕事から始まります。

1．最初に「誰へ、何のために開けるか」を決める

全員へ同じ機能を一斉に開放すると、情シスには質問が集中します。現場では、使ってよい業務と避ける業務の区別がつかず、便利そうな機能だけが先に広がります。

最初に決めるのは、次の4点です。

• 対象者は誰か

• どの業務で使うか

• 何を成果として確かめるか

• 誰が利用状況と問題を確認するか

たとえば、営業部門の提案書作成と、人事部門の評価資料では、扱う情報も確認者も違います。「Copilotを使う」という単位では広すぎます。一つの部署の、一つの業務まで絞ると、必要な権限確認と教育内容が見えてきます。

機能の開放範囲も、対象業務と一緒に決めます。利用可能な機能やライセンス条件は変更されるため、公開時点のMicrosoft 365 Copilotのセットアップ案内と、自社の契約内容を照合してください。購買、法務、情報セキュリティの確認に時間がかかる会社では、確認担当と締切も同時に置きます。

ある大手企業では、全員に機能が有効になった後の混乱を心配していました。表面上の質問は設定方法でしたが、本音は「見せてはいけない資料が見えていないか」です。また、あるべき姿を先に決めずに機能を開けると、後から「思っていたのと違う」という話になります。

管理画面の設定より先に、利用目的と対象者を決める。 これで、次の権限棚卸しの範囲を狭められます。

2．SharePointとTeamsの共有権限を棚卸しする

権限棚卸しで最初から全サイト、全ファイルを一件ずつ確認すると、展開日は決まりません。先に見るのは、試行対象者が触れうる場所と、情報が広く共有されている場所です。

Microsoftは、Copilot展開時の過剰共有対策として、高リスクなサイトやファイルを特定し、必要に応じて一時的なアクセス制限をかけ、権限を是正した後も継続管理する流れを案内しています。詳しくは安全で管理されたデータ基盤を構成する公式ガイドで確認できます。

棚卸しでは、少なくとも次の状態を探します。

• 全社または広いグループへ共有されている

• 共有リンクが長期間残っている

• サイトやフォルダの所有者が不明になっている

• 異動者や退職者を含む古いメンバー構成が残っている

• 人事、法務、経営、研究開発などの資料が、本来の担当外から閲覧できる

ツールで一覧を出しても、最後に共有の妥当性を判断するのは業務側です。ファイル名だけでは、全社公開が意図的なのか、設定ミスなのかを情シスが決められないからです。サイト所有者か部門責任者に、「誰が見る必要があるか」を確認してもらいます。

ある企業の管理部門では、Teamsを全社へ広げる際に、閲覧権限をどう分けるかが論点になりました。Teamsのチームやチャネルだけを見ても足りません。そこで共有されるSharePoint上の情報と、参加者の範囲を合わせて確認する必要があります。

棚卸しの完了条件は「全社ゼロ件」ではない

試行を始める条件は、全社の問題がゼロになることではありません。対象者がアクセスできる場所を把握し、見せてはいけない資料の共有を外し、未確認の場所を試行範囲から除外できていることです。

高リスクな場所の是正に時間がかかる場合は、Microsoftが案内する暫定的な保護策も検討できます。ただし、利用できる管理機能は契約や環境によって異なります。機能名だけで判断せず、Microsoftの公式資料と自社テナントの状態を管理者が確認してください。

安全を確認できた一部門は、この時点で試行を始められます。全社展開はまだです。利用者が自分でエージェントを作り、別の人へ共有できる環境では、もう一つ決めることがあります。

3．「野良エージェント」を増やさない作成・共有ルールを決める

Copilotのエージェントは、特定の資料や業務に合わせて回答や作業を支援する仕組みです。便利な反面、誰が何を参照させ、誰に共有したかが分からなくなると、情シスは後から追えません。

Microsoftは、Microsoft 365管理センターのエージェント管理について、アクセス、共有、公開の方針、承認、配布、削除などを管理対象として説明しています。現行の範囲はMicrosoft 365のエージェント管理者向けガイドを確認してください。

社内ルールでは、最低でも次の5点を決めます。

1. 作ってよい人

2. 参照させてよい場所と情報

3. 共有してよい範囲

4. 公開前に確認する人

5. 担当者の異動時や利用終了時の扱い

エージェントを一律禁止すると、現場で試す機会がなくなります。無条件で許可すれば、似たエージェントが増え、所有者不明のまま残ります。最初は作成者と参照先を限定し、公開前に業務責任者と管理担当が確認する形が扱いやすいでしょう。

確認票は一枚で十分です。エージェント名、利用目的、所有者、参照先、利用者、確認日、廃止条件を記録します。参照先の権限が変わったときに再確認する日も決めておくと、作成時だけ安全だった状態を避けられます。

エージェントの作成を外部へ依頼する場合は、機能の説明だけで見積もりを比べないでください。参照データ、権限、評価方法、運用担当まで先に整理する必要があります。AIエージェント開発の見積もり前に確認することで、発注前の論点をまとめています。

うちの場合はどこから手をつければいいか、30分で一緒に整理します。業務のどこにAIを入れると何時間減るかの試算メモを、診断後2日以内にお送りします。

▶️ AI業務診断（30分・無料）を予約する

4．展開後に点検が続く運用を作る

権限は一度整えれば終わり、とはなりません。組織変更、異動、新しいサイトの作成、外部共有によって状態が変わるからです。エージェントも、所有者や参照先が変わります。

運用開始前に、次の4つを決めます。

• 権限と共有先を点検する頻度

• エージェントの一覧と所有者を確認する頻度

• 利用者が迷ったときの問い合わせ窓口

• 誤共有や想定外の回答を見つけたときの連絡手順

定期点検の記録には、対象、確認者、確認日、変更内容を残します。「必要に応じて確認する」では、担当者が替わった後に止まります。月次か四半期かは情報の機密性と変更頻度で決め、次回日付まで入れてください。

問い合わせ窓口には、質問だけでなく現場の発見が集まります。「この資料は検索結果に出てよいのか」「このエージェントを別部署へ共有してよいか」といった相談を記録すると、次のルール改定や研修の題材になります。

個別機能の管理については、SharePointのCopilotが正式提供｜11月1日までに管理者が見直す設定でも整理しています。この記事では個別設定ではなく、Copilot展開全体の順番に絞っています。

よくある失敗は「全面停止」と「初期状態のまま全員開放」

失敗1．棚卸しが終わるまで全社で止める

共有環境が長年使われている会社では、全件の確認に時間がかかります。全社分が終わるまで止めると、利用部門は価値を確かめられず、棚卸しの優先順位もつきません。

対象部署と業務を絞り、その範囲の確認を先に終えます。試行で生じた質問を、残りの棚卸しと社内ルールへ反映させるほうが具体的です。

失敗2．初期状態のまま全員へ開放する

ライセンスを配れば、導入作業が終わるわけではありません。利用目的、問い合わせ先、権限の確認範囲が曖昧なままでは、現場は何をしてよいか分からず、情シスも問題の範囲を判断できません。

最初の対象は、責任者を置ける部署に限定します。その部署の業務資料で試し、回答の確認方法と問い合わせ内容を記録します。

失敗3．「機密情報は入力禁止」だけで説明する

禁止事項だけでは、利用者は判断できません。会議要約、社内文書の下書き、公開情報の調査など、業務ごとに扱うデータが違うからです。

AIworkerでは、セキュリティの説明を二つに分けます。その利用は会社が認めた目的の範囲内か。入力・参照したデータが学習に使われる条件はどうなっているか。 この二点を製品、契約、社内規程に照らして説明します。

個人向けの無料サービスと、会社が契約・管理する環境を同じ言葉で「Copilot」と呼ぶと混乱します。官公庁系IT企業では、許可した後に上長や役員から「なぜ認めたのか」と問われる不安があり、無料版と有料版の違いを一枚で示す必要がありました。実際の説明では、最新の契約条件とMicrosoft公式資料を確認し、自社で許可した利用範囲を併記してください。

役員には「目的」と「学習の扱い」を一枚で説明する

役員への説明資料に、管理画面の項目を並べても判断しにくいものです。説明の中心は次の二つです。

そのうえで、展開方法を添えます。「全員へ一斉に開ける」のではなく、「権限を確認した部署から試行し、問い合わせと利用状況を見て広げる」と説明します。許可した理由と停止条件の両方があれば、承認者は判断を残せます。

法務、個人情報、業界規制に関する判断は、この記事だけで決められません。自社の法務・情報セキュリティ部門と、必要に応じて専門家へ確認してください。

明日から始める7日間の進め方

初週の目的は、全社ルールを完成させることではありません。安全に試せる一部署を選び、未確認事項を一覧にすることです。

1日目は、候補部署と対象業務を一つ決めます。 部門責任者、情シス、推進担当を集め、利用目的と対象外の業務を書き出します。

2〜3日目は、対象者が閲覧できるSharePointとTeamsを確認します。 全社公開、広いグループ、外部共有、所有者不明の場所を優先してください。機密資料があれば、業務側が必要な閲覧者を決めます。

4日目は、試行の開始条件と停止条件を決めます。 例として、対象範囲の権限確認が終わること、問い合わせ窓口が決まること、想定外の資料が表示された場合は利用を止めて連絡することが挙げられます。

5日目は、利用者向けの一枚資料を作ります。 利用目的、使ってよい業務、入力・参照を避ける情報、回答の確認方法、問い合わせ先を載せます。

6〜7日目は、少人数で試します。 実際の業務に近い資料を使い、どの情報が参照されたか、回答をどう確認したか、何に迷ったかを記録します。問題がなければ対象者を増やし、問題があれば権限かルールのどちらを直すべきかを分けます。

この一週間で全社展開は終わりません。ただし、「共有がぐちゃぐちゃだから進められない」という状態から、「この部署、この業務、この範囲なら試せる」へ変えられます。

よくある質問

Copilotを有効にすると、社員のSharePoint権限は変わりますか？

変わりません。Microsoftは、Copilotが利用者の既存のアクセス権に従うと説明しています。ただし、すでに広く共有されている資料は回答で見つけやすくなるため、過剰共有の確認が必要です。

SharePointの権限棚卸しが終わるまで、Copilotを使えませんか？

全社分の完了を待つ必要はありません。対象部署と業務を限定し、その利用者が参照できる場所を確認してから試行します。未確認の場所を対象外にできない場合は、開始を止めてください。

Teamsだけ確認すれば十分ですか？

十分ではありません。Teamsで共有するファイルはSharePointやOneDriveに保存されるため、チームやチャネルの参加者だけでなく、保存先と共有設定も確認します。

Copilotエージェントは誰でも作れるようにしてよいですか？

最初から無条件で許可するのは避けます。作成者、参照先、共有範囲、承認者、廃止方法を決め、限定した利用者から始めてください。利用可能な管理機能は契約と環境によって異なるため、公式ガイドで現行仕様を確認します。

役員から「なぜ利用を許可したのか」と聞かれたら、何を示せばよいですか？

利用目的とデータの扱いを示します。対象部署・業務・成果・最終確認者に加え、参照範囲、学習利用に関する契約上の扱い、問題時の連絡先を一枚にまとめます。

無料版と有料版の違いは、どう説明すればよいですか？

製品名だけで比べず、利用者のアカウント、組織データへの接続、管理機能、データ保護、契約条件の同じ軸で整理します。仕様は変わるため、Microsoft公式資料と自社契約を確認した日付も記載してください。

セキュリティ規程はどこまで直せばよいですか？

まず、許可する利用目的、扱ってよい情報、回答の確認責任、問い合わせ・事故連絡の手順を既存規程と照合します。法務や業界固有の規制は断定せず、自社の法務・情報セキュリティ部門へ確認してください。

AIworkerのご支援

AIネイティブX伴走

Copilotの展開範囲、共有権限の棚卸し、エージェントの作成・承認ルール、展開後の点検方法を、情シス・推進部門・利用部門と一緒に設計します。資料を渡して終わらず、現場で出た質問をルールと運用へ反映します。

AIネイティブX研修

一般的な操作説明だけでなく、参加者が自部署の業務を題材に演習します。AIとの会話の仕方、情報を扱う際の判断、回答の確認方法をそろえ、研修後に実務で使える状態を目指します。

業務AIプロ

既製機能だけでは対応しにくい業務について、業務設計、AI開発、研修、運用定着まで支援します。何をAI化し、どう精度と効果を確かめるかを決めてから、小さな単位で実装します。

▶️ サービス資料のダウンロード（資料請求）

▶️ 無料カウンセリング・AI活用診断のご予約

著者情報

株式会社AIworker

企業の生成AI活用を、研修・業務設計・AI開発・定着支援まで一貫して支援しています。

https://ai-worker.net/

この記事が参考になりましたら、今後の記事づくりの励みになるので、スキをお願いします。

参考資料

• Microsoft Learn「Microsoft Copilot data protection architecture」（2026年10月10日確認） https://learn.microsoft.com/en-us/copilot/microsoft-365/microsoft-365-copilot-architecture-data-protection-auditing

• Microsoft Learn「Configure a secure and governed foundation for Microsoft Copilot」（2026年10月10日確認） https://learn.microsoft.com/en-us/microsoft-365/copilot/configure-secure-governed-data-foundation-microsoft-365-copilot

• Microsoft Learn「Set Up Microsoft Copilot and Assign Licenses」（2026年10月10日確認） https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-setup?view=o365-worldwide

• Microsoft Learn「Agents admin guide for Microsoft 365」（2026年10月10日確認） https://learn.microsoft.com/en-us/microsoft-365/copilot/agent-essentials/m365-agents-admin-guide

#Microsoft365 #Microsoft365Copilot #Copilot #生成AI #企業AI #AI導入 #AI活用 #情シス #情報システム #DX推進 #DX #SharePoint #MicrosoftTeams #Teams #OneDrive #アクセス権 #権限管理 #権限設計 #情報セキュリティ #データガバナンス #AIガバナンス #社内ルール #生成AIガイドライン #エージェント #AIエージェント #Copilotエージェント #エージェント管理 #過剰共有 #機密情報 #情報管理 #全社展開 #段階導入 #導入準備 #運用設計 #定着支援 #AI研修 #業務改善 #法人向けAI #AIworker #AI業務診断