Microsoft Purview、AIプロンプトを平文で閲覧可能に
社員がAIに入力したプロンプトと回答が、IT管理者に平文で見える。仮名化されていても、権限さえあれば実名に戻せる。「AIとの対話は私的」という錯覚が、ここで終わる。
社員がAIに入力したプロンプトと回答が、IT管理者に平文で見える。仮名化されていても、権限さえあれば実名に戻せる。「AIとの対話は私的」という錯覚が、ここで終わる。
仮名化は突破される、権限があれば
Microsoftは、Microsoft 365のセキュリティ・ガバナンス基盤である Microsoft Purview のインサイダーリスク管理機能に、新しい監視機能を追加する。社員が生成AIに送ったプロンプトと、AIから返ってきた応答を、IT管理者・セキュリティ担当者が平文で閲覧できるようになる。
更新は、Microsoft 365管理者向けの通知である「Message Center」のID MC1304292 として通知された。プレビューは今月後半、一般提供は来月の予定だ。
注目すべきは、Purviewが従来から備えていた「ユーザー仮名化（pseudonymization）」を貫通する点だ。インサイダーリスク管理では、調査画面の初期表示でユーザー名が仮名に置き換えられる。プライバシー設計の基本だった仕組みだが、今回の機能では仮名化されたユーザーのAI対話内容まで平文で見える。つまり、「誰が」は伏せたまま「何を」だけは丸見えになる構造だ。
そして、ポリシー違反やデータ漏洩の疑いが強まったとき、適切な権限を持つ担当者は仮名を解除して実名と紐づけることができる。
「私的な対話」という錯覚
生成AIとの対話には、独特の私密性がある。検索エンジンに打ち込むキーワードと違い、AIに対しては自然な日本語で、悩みや迷い、企業秘密に近い質問まで投げてしまう。チャットUIの一対一感が、メールやドキュメントとは別物だと感じさせる。
ところが企業環境では、その感覚と実態が大きくズレていた。
Microsoft 365テナント内で動くAIサービスは、メールやファイル、エンドポイントと同じ「監視対象の社内データ経路」のひとつでしかない。Purviewはそもそも、社内のあらゆるデータの流れを追跡し、誰が何に触れたかを記録するための統合ガバナンス基盤だ。今回の更新は、その対象範囲にAI対話を正式に組み込んだだけ、とも言える。
プライバシー・バイ・デザインで構築されており、ユーザーは既定で仮名化され、ロールベースのアクセス制御と監査ログによってユーザーレベルのプライバシーを確保する
Microsoft Learnに記載されたインサイダーリスク管理の設計思想だ。ただし、この「プライバシー保護」は情報を見えなくすることではなく、見る権限を制限することを意味している。設計上、見るべき人が見れば中身は見える。今回の更新は、その「見るべき人」がAIプロンプトの中身まで踏み込めるようになる、という話だ。
なぜ今、平文閲覧なのか
背景にあるのは、企業が抱える「シャドーAI」への危機感だ。社員が会社の承認なしにChatGPTやGeminiといった外部AIサービスを使い、機密情報を貼り付けて質問してしまう。学習データに取り込まれれば、組織の知的財産が事実上の流出状態になる。
Microsoftはここ数か月、シャドーAI対策を矢継ぎ早に打ち出してきた。Edge for Businessには、未承認のAIツールへのアクセスを遮断し、代わりにMicrosoft 365 Copilotへリダイレクトする機能が実装された。RSAC 2026でMicrosoftが発表した方針は明確で、AI利用を「禁止する」のではなく「管理可能な領域に閉じ込める」方向に舵を切っている。
今回のPurview更新は、その戦略の延長線上にある。ブロックではなく可視化で、企業がAI利用の中身を把握できるようにする。プロンプトに機密情報が含まれていたか、AIの回答が組織の方針に反していなかったか。事後に検証できる仕組みを用意する、という発想だ。
「禁止すれば回避される。だから見えるようにする」── Microsoftの実装にはそういう判断が透けて見える。
設計上の安全装置と、その限界
機能には一応の歯止めがある。閲覧できるのは「リスク指標が立った対話」だけで、すべてのAI対話が無条件に管理者に流れるわけではない。誰が閲覧したかは監査ログに記録される。仮名化の解除には専用の権限が必要で、ロールベースのアクセス制御が機能する。
監視するなら、監視者も監視する
そういう多層構造になっている、とも言える。
ただし、これらの安全装置は組織のガバナンスの強さに依存する。ロール割り当てが甘い企業、監査ログを誰も見ない企業、内部統制が形骸化した企業では、安全装置は紙切れになる。Microsoftが提供しているのはメスであって、それを治療に使うか乱暴に振り回すかは、各企業の運用次第だ。
加えて、「リスク指標が立つかどうか」を判定するのもMicrosoftの機械学習モデルだ。何が「リスクある対話」かの基準は、企業ごとに設定するポリシーと、Microsoftが提供する検知エンジンの組み合わせで決まる。ここに恣意性が入る余地はどうしても残る。
社員が考えるべきこと、企業が考えるべきこと
社員の立場では、結論はシンプルだ。会社のアカウントで動くAIサービスに、私的な対話は存在しない。これはPurviewの新機能が出る前から本質的にそうだったが、今回の更新で「実際に中身まで見られる」段階に進んだ。会社の端末、会社のアカウント、会社のネットワーク経由で動くAIに対して、検索エンジン以上の私密性を期待してはいけない。
企業の立場では、別の問いが浮かぶ。この機能を、何のために使うのか。データ漏洩の調査ツールとして使うのか、それとも社員の思考プロセスを覗き見るツールとして使うのか。技術的にはどちらも可能だが、組織文化に与える影響はまったく違う。
「監視されている」と社員が感じれば、AIへの質問は当たり障りのないものに変わる。生産性向上ツールとしてのAIの価値は、率直に問いを投げられる関係の上に成り立つ。可視化と萎縮のバランスをどう取るかは、ツールが解決してくれる問題ではない。
同じ機能でも、調査ツールとして使うか監視ツールとして使うかは、組織の選択だ
Microsoftが用意したのは枠組みだけだ。その中身をどう運用するかは、最終的に各企業の倫理感と内部統制の成熟度にかかっている。
制度設計の地殻変動
今回の機能は、単独で見れば一企業向けの細かい機能追加にすぎない。だが視点を引いて眺めると、生成AIが「私的なツール」から「監査対象の業務システム」へと制度的に位置づけ直されていく流れの一部に見える。
メールがそうだったように、社内チャットがそうだったように、AI対話も「企業が見られる前提のデータ」になっていく。技術的には当然の帰結だが、社員の心理的なギャップは大きい。AIに話しかける感覚と、メールを書く感覚を、社員はまだ同じには扱っていない。
その感覚のズレが埋まる過程で、職場でのAI利用のあり方も、AIに何を質問してよいかという暗黙のルールも、再構築されていく。
Purviewの今回のアップデートは、その再構築の号砲だと思う。
参照元
- Microsoft Purview: Insider Risk Management – Viewing AI interaction messages for anonymized users in IRM (MC1304292)
- Microsoft Edge Blog - Protect your enterprise from shadow AI and more: Announcements at RSAC 2026
