こんな人・場面向けの記事です：社内で生成AIの利用が広がり、「どの情報まで扱わせてよいか」を決める必要が出てきた方。情報システム部門と話す前に、論点と確認項目を整理しておきたい場面を想定しています。
この記事で分かること
- 業務用のAIは、利用者本人のアクセス権の範囲で動きます。Googleの発表も「利用者がアクセスできない文書には、Geminiもアクセスできない」と明記しています[2]。つまり、AIの見える範囲は、社内の共有設定そのものです
- Googleは2026年9月15日、Googleドライブで「誰に共有するか」と「どんな機密度のデータか」を1つのルールにまとめて設定できる機能を発表しました[1]
- 日本では、個人情報保護委員会が生成AIサービスへの個人情報の入力について注意喚起を出しています。本人の同意なく個人データを入力し、応答の出力以外の目的で扱われる場合、個人情報保護法違反となる可能性があるとされています[3]
なぜ「共有範囲」が論点になるのか
生成AIの社内ルールというと、「何を入力してよいか」という入口の話になりがちです。ところが、AIが社内のファイルを横断して読むようになると、入口だけでは足りなくなります。
Googleは2026年9月9日の発表で、Geminiが利用者の認証情報にひもづく既存のアクセス権と共有ポリシーに従うこと、利用者がアクセスできない文書にはGeminiもアクセスできないことを明記しています[2]。これは安心材料であると同時に、裏返すと「本人が見られるものは、AIも読める」という意味になります（筆者の整理）。
過去の経緯で共有範囲が広くなっているフォルダは、多くの職場にあります。退職者が作ったリンク共有、部署をまたいで招待されたままの共有ドライブ、取引先を含んだ外部共有。これらは、人が手作業で探しているうちは実害が出にくい一方、AIが横断して読み、要約して別の文書に書き出すようになると、表に出やすくなります（筆者の整理）。
Googleが発表した「共有境界」の統合
こうした状況に対して、Googleは2026年9月15日、Googleドライブの共有制限に関する新機能を発表しました。管理者が、共有する相手（オーディエンス）と、データの機密度に基づく条件を、1つのルールとしてまとめて設定できるというものです[1]。
発表によれば、これまで管理者は、利用者やグループを基準にした共有制御（トラストルール）と、情報漏えい対策（DLP）のポリシーを、Googleドライブについて別々に管理していました[1]。今回の変更で、分類ラベルやDLPの条件でデータの機密度を評価し、あわせて組織部門・グループ・ドメインといった基準で共有相手を評価する、細かい共有境界を作れるようになるとしています[1]。
設定できる共有相手の制限は、次の3種類です[1]。
| 制限の種類 | 内容 | 使いどころ（筆者の整理） |
|---|---|---|
| 外部の利用者すべてとの共有を禁止 | 条件に合うファイルを、組織の外に共有させない[1] | 人事・法務・未公開の財務資料など |
| 特定の相手以外との共有を禁止（許可リスト） | 信頼できる組織部門・グループ・外部ドメインだけに限定する[1] | 共同開発や監査など、相手が決まっている案件 |
| 特定の相手との共有を禁止（拒否リスト） | 特定の組織部門・グループ・外部（取引先や委託先など）との共有だけを止める[1] | 競合関係にある取引先、契約が終了した委託先 |
展開は、Rapid ReleaseとScheduled Releaseの両方のドメインで2026年9月14日から段階的に始まり、機能が見えるまで最大15日かかるとされています[1]。対象はEnterprise StandardとPlus、Education StandardとPlusなどで、利用者側の設定項目はありません[1]。
日本のルール：個人情報保護委員会の注意喚起
共有範囲の技術的な制御とは別に、日本には守るべき規律があります。個人情報保護委員会は、生成AIサービスの利用に関する注意喚起を公表しています[3]。
個人情報取扱事業者について、示されている注意点は次の2点です[3]。
| 場面 | 注意喚起の内容 |
|---|---|
| 個人情報を含むプロンプトを入力するとき | 特定された利用目的を達成するために必要な範囲内であることを、十分に確認する[3] |
| 本人の同意なく個人データを入力するとき | そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、サービス提供事業者が当該データを機械学習に利用しないこと等を十分に確認する[3] |
一般の利用者向けにも、入力した個人情報が機械学習に利用され、他の情報と統計的に結びついた上で、正確または不正確な内容で出力されるリスクがあること、応答結果に不正確な内容の個人情報が含まれるリスクがあること、利用規約やプライバシーポリシーを十分に確認することが挙げられています[3]。
つまり社内ルールは、「入力してよい情報の線引き」と「使うサービスの規約の確認」と「共有範囲の設計」の3つが揃って初めて機能します（筆者の整理）。
自分の職場にとって何を意味するのか（筆者の整理）
ここからは出典の内容をもとにした筆者の整理で、各社や委員会の主張ではありません。
一般の社員にとって、いちばん現実的な変化は「自分の共有設定が、自分以外にも効くようになる」ことです。これまで共有範囲は、誰かがファイルを探して開くときの問題でした。AIが横断して読む前提になると、自分が広く共有したファイルの内容が、他の人の要約や資料の中に現れる可能性が出てきます。
管理者にとっての変化は、制御の置き場所です。共有の可否とデータの中身を別々に管理していると、「機密度が高いものだけ外部共有を止める」といった条件が作りにくくなります。今回の統合は、この2つを1つのルールで扱えるようにするものだと説明されています[1]。
一方、限界もあります。この機能はGoogleドライブの共有を制御するもので、社員が私用の端末やアカウントで外部のAIサービスに文章を貼り付ける行為を止めるものではありません。そこは、個人情報保護委員会が示すような入力時の確認と、社内の規程で担保することになります[3]。
具体例：共有範囲を棚卸しする手順（筆者の整理）
以下は、部署単位で始められる手順として筆者が組み立てた例です。公式の推奨手順ではありません。
- 範囲の広いフォルダを洗い出す。リンクを知っている全員が閲覧できる設定、社外ドメインを含む共有、退職者が作成したフォルダを優先します
- 中身を機密度で3段階に分ける。個人情報を含むもの、社外秘、公開可の3つで十分です
- 個人情報を含むものから先に絞る。個人情報保護委員会の注意喚起は、利用目的の範囲内かの確認を求めています[3]
- 相手の単位で決める。人ではなく、組織部門・グループ・ドメインの単位で決めると、異動や退職があっても崩れにくくなります[1]
- 管理者に、条件つきのルールを相談する。「機密度が高いものだけ外部共有を止める」形が作れるようになっています[1]
- AIでの検索結果で確かめる。AIは本人の権限の範囲で動くため[2]、社内向けAIに「この案件の資料を集めて」と頼み、出てはいけないものが出ないかを見ます
部署内での周知は、次のような形が考えられます（筆者の例です）。
今月中に、ご自身が作成した共有フォルダの設定を確認してください。とくに「リンクを知っている全員」と、社外のアドレスが含まれる共有が対象です。個人情報を含むファイルは、共有相手を部署単位で指定し直してください。
保存用チェックリスト：生成AIを使う前の共有範囲の確認
社内で共有して使える確認項目です（筆者の整理）。
- リンク共有で「誰でも閲覧可」になっているフォルダを洗い出したか
- 社外ドメインを含む共有が、いまも必要な相手だけになっているか[1]
- 個人情報を含むファイルについて、利用目的の範囲内かを確認したか[3]
- 使っているAIサービスが、入力したデータを機械学習に利用しないことを確認したか[3]
- 共有の指定を、個人ではなく組織部門・グループの単位にしたか[1]
- 退職者・異動者が作成した共有の引き継ぎ先を決めたか
- 社内向けAIの検索結果で、出てはいけない資料が出ないかを確かめたか[2]
上司・同僚に説明する3行
- 業務用AIは利用者本人のアクセス権の範囲で動くため、社内の共有設定がそのままAIの参照範囲になる[2]
- Googleは、共有相手とデータの機密度を1つのルールで設定できる機能を提供し始めた。段階的な展開で、利用者側の設定項目はない[1]
- あわせて、個人情報を含む入力は利用目的の範囲内か、機械学習に使われないかの確認が要る。社内ルールは入力の線引きと共有範囲の両方で作る[3]
よくある質問
Q1. Google Workspaceを使っていない会社には関係ありませんか？
この機能自体はGoogleドライブのものです[1]。ただし、「AIは利用者のアクセス権の範囲で動く」という考え方は、業務用AIに共通して示されている設計です[2]。共有範囲の棚卸しという論点は、使っているサービスに関わらず当てはまると考えられます（筆者の整理）。
Q2. 顧客情報をAIに入力してはいけないのですか？
一律に禁止されているわけではありません。個人情報保護委員会の注意喚起は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること、そして本人の同意なく個人データを入力する場合は、提供事業者がそのデータを機械学習に利用しないこと等を十分に確認することを求めています[3]。判断は、扱う情報と契約内容によって変わるため、法務や管理部門への確認が必要です。
Q3. 設定は自分でできますか？
今回の共有境界の設定は管理コンソールで行うもので、発表には「利用者側の設定項目はない」と書かれています[1]。一方、自分が作成したファイルやフォルダの共有相手を見直すことは、利用者の権限でできます。
限界・未確認事項
- 本記事は、GoogleのWorkspace Updatesの発表2本と、個人情報保護委員会が公表した注意喚起の文書に基づいています。Googleの発表は、提供元が自社製品について説明した情報です。
- 筆者が管理コンソールで実際に設定を行い、挙動を確認したものではありません。画面や項目名は、版やエディションによって異なる可能性があります。
- 個人情報保護委員会の注意喚起は令和5年6月2日に公表された文書です。その後の法令改正や追加の注意喚起は、本記事では扱っていません。個別の判断は、最新の情報と専門家の確認が必要です[3]。
- 本記事は法的な助言ではありません。自社の取り扱いが適法かどうかの判断は、法務部門や弁護士にご確認ください。
- 対象のエディションや展開時期は発表時点のものです。自社で使えるかは、契約と管理者の設定によって異なります[1]。
コメント