Microsoftは「Microsoft 365 Copilot」および「Copilot Chat」で、入力プロンプトに含まれる機密情報を検出・制御するDLP機能を一般提供開始。追加費用なしで全ユーザーが利用でき、クレジットカード番号や企業独自の機密情報も対象とできる。
生成AIの業務利用が急速に拡大する中、Microsoftは「Microsoft 365 Copilot」における機密データ保護機能として、入力プロンプトに対する情報漏えい対策（DLP）機能の一般提供を開始しました。この機能は「Microsoft 365 Copilot」および「Copilot Chat」の全ユーザーに対し、追加費用なしで提供されます。
生成AIを活用することで、ユーザーは文書要約や分析、資料作成などを自然言語で指示できるようになりました。しかし同時に、入力内容に機密情報が含まれる場合の取り扱いが重要な課題となっていたのです。今回提供される機能は、ユーザーが入力したテキストを処理前に評価し、機密情報が含まれているかどうかに応じて処理を制御するという点に特徴があります。
Microsoftはこれまで約2年間にわたり、Copilot用のDLP機能を段階的に拡充してきました。2024年11月には、機密ラベルに基づきファイルやメールをCopilotの処理対象から除外する仕組みを導入。また機密情報を含む入力に対し、社内データの参照は維持しつつ外部Web検索のみを禁止する機能も公開プレビューとして提供していました。
今回一般提供となった機能は、これらの取り組みを補完するもので、入力プロンプトそのものをリアルタイムで検査します。検出には「Microsoft Purview」の分類・検出エンジンが使用され、クレジットカード番号や社会保障番号などの標準定義に加え、企業独自のキーワードやコードネームなども対象とできます。該当情報が検出された場合、Copilotは処理を停止し、「Microsoft Graph」やWebを利用した情報参照、外部検索処理も実行されません。ユーザーにはポリシーによって要求に対応できない旨が通知されます。
この仕組みにより、AI利用時の情報漏えいや過剰共有を防止できます。金融分野では取引条件や口座情報の流出防止、医療分野では患者情報の保護、製造業では知的財産や機密設計情報の保全など、幅広い用途が想定されています。企業内で進行中の非公開案件に関しても、プロジェクト名を条件として設定することで、関連情報の外部露出を抑制できるのです。
導入はMicrosoft PurviewのData Security Posture Management（DSPM）ポータルからのガイド付き設定で簡単に適用できます。推奨ポリシーはワンクリックで適用可能であり、初期状態ではシミュレーションモードで動作するため、実際の影響を確認した後に本格適用できます。管理者はDLPポータルやMicrosoft 365管理センターからの設定も可能です。
運用面においては、ポリシー違反が発生した際の通知やアラートがMicrosoft PurviewおよびMicrosoft Defenderポータルに表示されます。これにより、適用されたポリシー、検出された機密情報の種類、試みられた操作といった詳細を把握できます。管理者はこれらの情報を基に調査・ルール調整を行い、継続的にセキュリティ体制を最適化できるのです。
Microsoftはこの機能を、安全なCopilot活用を支える重要な強化策と位置付けています。AIの利便性を維持しつつ、企業のコンプライアンス要件やデータ保護要件に対応することで、業務への導入を後押しする狙いがあります。同社は今後もCopilotの進化に併せて保護機能を拡充し、AI活用とセキュリティの両立を推進するとしています。
