この記事では、Copilotに「読ませていい情報」と「読ませたくない情報」の境界線を引く手順を、機密ラベル（Sensitivity Label、Microsoft Purviewが提供する情報分類・保護の仕組み）を軸に解説する。
前提として明記しておく。機密ラベルの作成・発行・ポリシー設定はMicrosoft Purview管理センターへのアクセスが必須であり、グローバル管理者またはコンプライアンス管理者のロールが必要になる。多くの中小企業では、Microsoft 365を契約・導入した担当者がこのロールを兼ねているケースがあるが、確認されていない場合はIT管理権限を持つ担当者またはMicrosoft CSP（クラウドソリューションプロバイダー）に権限確認を依頼してから作業を始めること。また、Copilotとの連携機能にはMicrosoft 365 Business Premium以上、またはMicrosoft 365 Copilotアドオンが有効なライセンスが前提となる（Microsoft製品ライセンスガイド、2025年6月時点）。
機密ラベルがCopilotの通行証になる仕組み
Copilotの権限モデルと機密ラベルの関係
Copilotが社内情報を読むとき、Microsoftの基本権限モデルはシンプルだ。「そのユーザーがアクセスできる情報は、そのユーザーのCopilotも読める」という原則で動いている。裏を返せば、閲覧権限を絞れば、Copilotに読ませない情報を作れる。
ただし現実の中小企業では、共有フォルダに全社員がアクセスできる状態が多く、権限だけで社外秘を隠すのは運用が破綻しやすい。そこで機密ラベルが補完的な役割を果たす。ラベルは文書やメールに「秘」「社外秘」といった区分を付与するタグで、暗号化・利用制限・Copilotによる処理の可否を連動させられる。
ただし「ラベルを貼った瞬間にCopilotが読めなくなる」という単純な因果関係ではなく、実際の挙動はライセンスのSKU（製品エディション）・テナント設定・ラベルポリシーの組み合わせによって変わる。この点についてMicrosoftは「Microsoft Purview data security and compliance protections for Microsoft 365 Copilot and Microsoft 365 Copilot Chat」（Microsoft Learn、2025年6月時点）の中で、暗号化ラベルが付与されたコンテンツへのCopilotのアクセス制御について説明しており、設定の根拠はこのドキュメントを一次情報として参照することを強く推奨する。自社環境での動作は必ず後述の確認手順で検証すること。
この設定が必要なケースと向かないケース
必要なケース: OutlookやTeamsでCopilotを日常的に使い始めており、経理・営業・経営企画など機密性の高い情報を扱う部門がある会社。
向かないケース・導入を慎重にすべきケース: Copilotをまだ契約していない、または個人利用のChatGPTしか使っていない会社には、この手順は不要だ。また、以下のような状況では導入効果よりも運用コストが上回りやすい。
- 社員10名未満で全員が同じ情報にアクセスする体制の場合、ラベル運用の教育コストに見合わない可能性がある
- 既存のファイル資産が数千件以上あり、過去資産へのラベル付け計画が立てられていない場合、ラベルなし資産がCopilotにそのまま参照され続けるため、導入効果が限定的になる
- 管理者ロールを持つ担当者が退職・異動で不在になりやすい組織では、ラベルポリシーの継続管理が困難になるリスクがある
設定の前提条件と権限の確認
必要なライセンスとロール
機密ラベル制御を構成するには次の条件を満たしている必要がある。
- Microsoft 365 Business Premium以上、またはMicrosoft 365 E3/E5相当のライセンス（Microsoft 365 ライセンス比較ページ、2025年6月時点）
- Copilot機能の利用にはMicrosoft 365 Copilotアドオンが有効であること
- 作業者がグローバル管理者またはコンプライアンス管理者のロールを保有していること
グローバル管理者ロールの確認は、Microsoft 365管理センター（admin.microsoft.com）の「ユーザー」→「アクティブなユーザー」から自分のアカウントを開き、「ロール」の列で確認できる。ロールを持っていない場合、Microsoft Purview管理センターへのアクセス自体がブロックされる。社内に管理者が不在であれば、Microsoft CSPパートナーに一時的な権限付与を依頼する方法がある。
ラベルの作成と発行手順
ステップ1: 機密ラベルを作る
Microsoft Purviewポータル（purview.microsoft.com）にサインインし、左メニューの「情報保護」から「ラベル」を開く。「ラベルの作成」を押し、名前を付ける。最小構成なら3段階でいい。
- 社内一般（Internal）
- 社外秘（Confidential）
- 社外秘・厳格（Confidential-Strict）
ラベルは作成しただけでは社員のOutlookやWordに表示されない。次のステップで「発行」しないと、社員側に出てこない。作成して安心して終わるケースが多いため注意が必要だ。
ステップ2: Copilotの処理可否を設定する
「社外秘・厳格」ラベルの設定画面で「暗号化」を有効にし、アクセス権を特定グループに限定する。前述の権限モデルに基づき、閲覧権限のない社員のCopilotはこのラベル付き文書を読み込まない。
暗号化ラベルには利用権限の細目がある。「コンテンツの抽出（EXTRACT）」を許可しない設定にすると、Copilotによる本文の引用・要約が制限される。ただし、EXTRACTを外すと正規の閲覧者もその文書をコピー＆ペーストできなくなる。Copilotだけを止めたつもりが人間の業務まで止まる可能性があるため、厳格ラベルは本当に外部に出せない一部の文書に限定し、乱発しないこと。
PowerShellで現在のラベル設定を確認する場合はこのように実行する。
# 現在のラベル一覧と暗号化設定を確認
Get-Label | Format-Table DisplayName, Name, Priority
# 特定ラベルの権限詳細を確認
Get-Label -Identity "Confidential-Strict" |
Select-Object -ExpandProperty EncryptionRightsDefinitions
設定内容の解釈や挙動の詳細は「Microsoft Purview data security and compliance protections for Microsoft 365 Copilot and Microsoft 365 Copilot Chat」（Microsoft Learn、2025年6月時点）を参照すること。
ステップ3: DLPポリシーで自動ラベル付けを補う
社員が毎回手でラベルを貼るのは長続きしない。DLP（Data Loss Prevention、情報漏洩を防止するポリシー制御の仕組み）と自動ラベル付けを組み合わせると、特定パターンを含む文書に自動でラベルを適用できる。Purviewの「自動ラベル付け」で、条件に「クレジットカード番号」「マイナンバー」などの組み込み検出パターンを指定する。
条件: マイナンバー（個人番号）を1件以上含む
または「社外秘」の文字列を含む
アクション: 「社外秘」ラベルを自動適用
モード: シミュレーション → 本番
いきなり本番適用すると誤検出で大量の文書にラベルが付き、業務が停止するリスクがある。必ずシミュレーションモードで1〜2週間流し、どの文書が対象になるかログで確認してから本番へ切り替える。
動作確認の方法
テスト手順と確認ポイント
設定が効いているかは、実際にCopilotに聞いて確かめる。「社外秘・厳格」を貼ったテスト文書を用意し、閲覧権限のない別アカウントのOutlookで、Copilotにその文書の内容を要約させる。要約が生成されず「アクセスできる情報が見つからない」旨の応答が返れば成功だ。本文が出てきた場合は、権限設定かラベルの発行漏れ、またはテナント設定の確認が必要になる。
もう一つ、Purviewの「アクティビティエクスプローラー」でラベル適用のログが記録されているかを確認する。自動ラベル付けの実績がここに並べば、仕組みが機能している証拠になる。
なお、期待した制御が働かない場合、その原因がラベル設定・テナント設定・ライセンスのいずれにあるかの切り分けには、Microsoft公式サポートへの問い合わせが必要になる場合がある。
運用上のリスクと限界
中小企業で破綻しやすい3つのポイント
機密ラベルの運用が形骸化する原因として、実際の導入現場では次の3点が繰り返し報告されている（Microsoft Tech Community掲載の事例報告、2024年時点）。
ラベル貼り忘れ: 手動ラベル付けは継続率が低い。自動ラベル付けを補完として使っても、検出パターンに引っかからない文書はラベルなしのまま残る。ラベルなし資産はCopilotに参照され続けるため、「ラベルを入れた＝守られている」という思い込みが最大のリスクになる。
ラベル教育コスト: 社員がラベルの意味と使い分けを理解しないまま運用が始まると、誤ったラベルを貼る・貼らないの判断がばらつく。3段階の分類であっても、用途の基準を文書化して全社へ周知する工程が必要になる。
既存資産の扱い: 過去数年分のメール・ファイルにはラベルが付いていない。これらをどう扱うかの方針を決めないまま運用を開始すると、Copilotが既存の機密資産を自由に参照し続ける状態が継続する。既存資産への自動ラベル付けをどの範囲まで適用するかを、導入前に明確にすることが望ましい。
職種別の活用例
部門ごとの使い分け
経理・総務（利用頻度の目安: 毎日） 取引先の口座情報や与信メモを含むExcelを、Copilotに要約させたくない場合、マイナンバーや口座番号の自動検出で「社外秘」を当てておく。Copilotへの指示文の例を示す。
このExcelに含まれる個人情報・口座情報の項目名だけを一覧化して。
値そのものは出力せず、列見出しのみ返すこと。
営業（利用頻度の目安: 週数回） 過去の見積メールをCopilotに探させると、失注案件の値引き率まで拾うことがある。金額履歴を含むスレッドに「社外秘」を貼れば、Copilotの横断検索から外れる。Copilotへの指示文の例を示す。
自分が閲覧権限を持つ範囲だけで、A社宛の直近の提案メールの
本文構成を要約して。金額と割引条件は含めないこと。
経営企画（利用頻度の目安: 月数回） M&Aや人事評価など、Copilotに参照させたくない文書には「社外秘・厳格」を使い、暗号化とEXTRACT制限をかける。原本の最終確認は必ず人が行う前提を崩さない。Copilotへの指示文の例を示す。
このフォルダ内で「社外秘・厳格」ラベルが付いていない資料に限り、
四半期の論点を箇条書きで整理して。
今日から始める3ステップ
作業チェックリスト
設定を始める前に、次の3点を確認する。
- [ ] 自分のアカウントがグローバル管理者またはコンプライアンス管理者ロールを持っているか（Microsoft 365管理センターで確認）
- [ ] ライセンスがMicrosoft 365 Business Premium以上か、またはCopilotアドオンが有効か
- [ ] 既存のラベルなし資産への対応方針を決めているか
確認できたら、以下の順で作業を進める。
今日: Purviewポータルで3段階のラベルを作成し、全社に発行する。発行しないとラベルが社員側に表示されないため、作成と発行を同日に完了させる。
今週: 「社外秘」の自動ラベル付けをシミュレーションモードで開始し、アクティビティエクスプローラーのログで誤検出の件数と内容を確認する。
来週: 閲覧権限のない別アカウントでCopilotの動作確認を行い、対象文書の要約が返ってこないことを目視で検証する。期待した挙動にならない場合は、テナント設定・ラベルポリシー・ライセンスを順に確認する。
ラベルは通行証であって、判断の代わりではない。金額・個人情報・契約が絡む処理では、設定を入れた後も原本との照合と人の最終確認を残すことを前提とした運用設計を推奨する。
本記事はAI編集を経たのち、編集長が事実確認と品質チェックを実施しています。
本記事はAskiveのAIネイティブ編集部が執筆し、編集長 四月鶉（Yotsuki Uzra）が監修しています。内容は公開時点で確認できた情報に基づきます。