Copilotのエンタープライズデータ保護（EDP）とは
エンタープライズデータ保護（EDP）とは、Copilot利用時の顧客データに適用される管理策と契約上の約束の総称です。
Microsoftの公式ドキュメントでは、データ保護補遺（DPA）とMicrosoft製品条件に基づいて、Microsoft CopilotとMicrosoft Copilot Chatの利用者の顧客データに適用される管理策とコミットメントを指すと定義されています。顧客データには、利用者が入力するプロンプトと、Copilotが生成する応答が含まれます。
EDPという名前がついていますが、新しい製品や追加のオプションではありません。Microsoft 365のメールやファイルに以前から適用されてきた契約上の保護を、Copilotとのやり取りにも同じように適用する、という考え方です。このときMicrosoftはデータの処理者として、組織が指示した範囲でだけデータを扱います。
関連記事：Copilotとは？基盤モデル・機能・仕組みからMicrosoft 365 Copilotの使い方・事例まで整理
EDPが法人利用の前提になる理由
生成AIを業務で使うときに最初に問われるのは、入力した情報がどこへ行き、誰が使えるのかという点です。社内の議事録や顧客との契約書をチャットに貼り付ける以上、その内容が外部のモデルの学習に使われたり、他社から参照できる状態になったりすれば、それは情報漏洩にほかなりません。
EDPは、この問いに契約と技術の両面で答えるものです。契約面では、DPAと製品条件という既存の枠組みがそのまま適用されます。技術面では、保存中と転送中の暗号化、テナント間の分離、アクセス権限の継承といった管理策が働きます。個人向けの生成AIサービスでは利用規約ごとに扱いが異なるため、法人で統一した説明ができる点がEDPの価値です。
対象となる製品と2026年の名称変更
EDPの対象は、職場または学校のアカウントで利用する2つの製品です。1つは、Microsoft 365のアプリや組織内のデータと連携する有償ライセンスのMicrosoft Copilotです。もう1つは、対象のMicrosoft 365サブスクリプションに含まれるMicrosoft Copilot Chatです。
- Microsoft Copilot：Word・Excel・Teamsなどのアプリに組み込まれ、Microsoft Graph経由でメールやファイルなど組織のデータを参照して回答する。旧名称はMicrosoft 365 Copilot
- Microsoft Copilot Chat：Webの情報を根拠にしたチャット。対象サブスクリプションの職場アカウントで追加の課金なしに使える。旧名称はMicrosoft 365 Copilot Chat
2026年に、Microsoft 365 CopilotはMicrosoft Copilotへ、Microsoft 365 Copilot ChatはMicrosoft Copilot Chatへ名称が変わりました。Microsoftは、移行期間中は旧名称が残る場合があるとしたうえで、組織のセキュリティ・コンプライアンス・プライバシーに変更はないと明記しています。社内資料で旧名称を使っていても、保護の内容を書き直す必要はありません。
定義と対象製品の詳細は、Microsoft Learnのエンタープライズデータ保護のページで確認できます。
個人向けCopilotとの違い
同じCopilotという名前でも、個人用のMicrosoftアカウントでサインインして使うCopilotはEDPの対象外です。どの保護を受けるかは製品名ではなく、サインインに使うアカウントの種類で決まります。下表は、Microsoft Copilot Chat・Microsoft Copilot・個人向けCopilotの3つの違いを整理したものです。社内の利用者には、職場アカウントでサインインするよう案内することが出発点になります。
| 観点 | Microsoft Copilot Chat | Microsoft Copilot | 個人向けCopilot |
|---|---|---|---|
| EDPの適用 | あり | あり | なし |
| サインインに使うアカウント | 職場または学校のアカウント | 職場または学校のアカウント | 個人用Microsoftアカウント |
| 主な根拠データ | Web（ファイルのアップロードや一部のアプリ連携は可） | Webに加えてメール・ファイルなど組織のデータ | Web |
| 提供形態 | 対象サブスクリプションに含まれる | 別途ライセンスが必要 | 個人向けの提供条件に従う |
| プロンプトと応答の保存先 | 組織のMicrosoft 365テナント内 | 組織のMicrosoft 365テナント内 | 個人アカウント側 |
たとえば、会社のPCでも個人のMicrosoftアカウントでCopilotアプリにサインインしていると、保護は個人向けの条件になります。Microsoft Copilotアプリでは、職場アカウントと個人アカウントで背景色やラベルが変わり、職場側では緑色のデータ保護シールドが表示されるため、利用者自身でも見分けられます。
関連記事：Copilotに個人情報を入力しても大丈夫？法人版と個人版の扱いの違い
商用データ保護との違い
Copilotの法人向け保護は、以前は商用データ保護（Commercial Data Protection）という名前で案内されていました。現在のMicrosoftの公式ドキュメントでは、職場アカウント向けの保護はエンタープライズデータ保護として説明されており、Copilot Chatの画面上の表示もエンタープライズデータ保護に統一されています。
古い解説記事や社内資料に商用データ保護と書かれていても、指している内容は現在のEDPと考えて差し支えありません。ただし、保護の具体的な範囲はサブスクリプションプランによって異なります。名称ではなく、自社が契約しているプランとMicrosoft製品条件の内容で確認するのが確実です。
AIエージェントを「どう作り、どう育てるか」を、GiftX記事制作エージェントの実物で解説。
CopilotのEDPの仕組み｜プロンプトと応答はどう守られるか
EDPの中身は、1つの機能ではなく複数の管理策とコミットメントの組み合わせです。Microsoft Learnでは、学習への不使用、暗号化と分離、アクセス制御とポリシーの適用、AI固有のリスクへの保護という項目で説明されています。ここでは、法務や経営層への説明で特に問われやすい点を順に見ていきます。
基盤モデルの学習に使われない
EDPの下では、プロンプトと応答、そしてMicrosoft Graph経由で参照されたデータは、基盤となる大規模言語モデル（LLM）の学習には使われません。これはMicrosoft CopilotとMicrosoft Copilot Chatの両方に共通する約束です。
Copilot Chatにアップロードしたファイルも同じ扱いで、モデルの学習には使われず、利用者のOneDrive for Businessに保存されます。なお、Microsoftは任意で送られたフィードバックをCopilotの改善に使うことがありますが、これも基盤モデルの学習には使わないと明記しています。フィードバックの送信は管理者側で制御できます。
保存と転送の暗号化、テナント間の分離
プロンプトと応答は、Microsoft 365の他のコンテンツと同じ契約上のコミットメントに従って処理され、保存されます。保存中と転送中のデータは暗号化され、テナントごとの論理的な分離によって、他の組織からデータが参照されることはありません。プライバシー面では、GDPR、EUデータ境界、ISO/IEC 27018への対応がMicrosoftのコミットメントとして示されています。
やり取りの内容は、監査や電子情報開示のために組織のMicrosoft 365テナント内に記録されます。管理者はMicrosoft Purviewのコンテンツ検索でこの記録を確認したり、保持ポリシーを設定したりできます。利用者自身も、マイアカウントポータルからCopilotのアクティビティ履歴を削除できます。
アクセス権限と秘密度ラベルの継承
Microsoft Copilotは、利用者が少なくとも表示権限を持つ組織データだけを参照します。SharePointやOneDriveで設定済みのアクセス許可がそのまま使われ、Copilotが権限の壁を越えて情報を集めてくることはありません。
Microsoft Purviewの秘密度ラベルで暗号化された文書については、利用者に付与された使用権が優先されます。さらに、保持ポリシーの適用、やり取りの監査、管理者設定への準拠もEDPの一部として示されています。ただし、どの管理策が使えるかは契約しているサブスクリプションプランによって異なります。
Web検索クエリは別の扱いになる
EDPを理解するうえで見落としやすいのが、Web検索クエリです。Copilotは回答の品質を上げるために、プロンプトから数語を抜き出した検索クエリを生成し、Bing検索サービスに送ることがあります。このクエリは、プロンプトと応答の保護とは別のルールで扱われます。
- 送られないもの：ユーザーやテナントの識別子、プロンプト全文、アップロードしたファイル全体、要約したWebページ全体
- Microsoftの約束：広告主と共有せず、広告プロファイルの作成や行動追跡に使わず、生成AIの基盤モデルの学習にも使わない
- 適用されない枠組み：データ保護補遺（DPA）、EUデータ境界、HIPAAコンプライアンスはWeb検索クエリには適用されない
Bing検索サービスはMicrosoft 365とは別に運用されており、Microsoftが独立したデータ管理者として責任を負う形になります。この扱いが社内の基準に合わない場合、管理者はクラウドポリシーサービスの「CopilotでのWeb検索を許可する」ポリシーでWeb検索を無効にできます。無効にすると、Copilotは基盤モデルだけで応答を生成します。
利用するAIモデルとEUデータ境界
Microsoft Copilotでは、OpenAIのモデルに加えてAnthropicのモデルも利用できます。これらのモデルをCopilotの体験に組み込むかどうかは管理者が決め、追加の条件が適用される場合があります。モデルが更新されても、セキュリティ・プライバシー・コンプライアンスの設定は変わらないとされています。
一方で、Anthropicが提供するモデルは現時点でEUデータ境界の対象外です。EU域内のデータ所在地を社内基準にしている組織は、モデルの選択がデータ境界の扱いに影響する点を押さえておく必要があります。詳細はMicrosoft LearnのMicrosoft Copilotのデータ・プライバシー・セキュリティのページにまとまっています。
CopilotのEDPが有効かを確認する方法と導入ステップ
EDPは、条件を満たすアカウントでサインインしていれば自動的に適用され、IT管理者が有効化の操作をする必要はありません。確認するのは、自社のサブスクリプションが対象か、利用者が正しいアカウントでサインインしているか、管理者側の設定が社内基準に合っているかの3点です。
対象ライセンスを確かめる
Microsoft Copilot Chatは、Microsoft Entraの職場または学校アカウントでサインインし、対象となるMicrosoft 365サブスクリプションを持つ利用者が使えます。下表は、Microsoft Learnに掲載されている対象プランを製品群ごとにまとめたものです。自社の契約がこの中に含まれていれば、Copilot ChatのEDPは追加の手続きなしで適用されます。
| 製品群 | 対象プラン | 補足 |
|---|---|---|
| Microsoft 365（企業向け） | E7・E5・E3、Business Premium・Business Standard・Business Basic、F3・F1 | 「Teamsなし」版も含む |
| Microsoft 365（教育・公共） | A5・A3・A1、G5・G3 | 学生は13歳以上が対象 |
| Office 365 | E5・E3・E1 Plus・E1、A5・A3・A1 Plus・A1、F3、G5・G3・G1 | |
| Microsoft Teams | Teams EEA・Teams Enterprise・Teams Essentials |
Microsoft Copilotは別途ライセンスの割り当てが必要です。組織のメールやファイルを参照するため、割り当て前にアクセス権限の見直しが欠かせません。
全国8,000人調査で、AIの活用方法によって生産性向上に約3.8倍の差が生まれることが判明。
関連記事：Microsoft 365 Copilot Chatとは？無料の範囲と有料版との違い、新名称を整理
画面の緑色のシールドで確認する
利用者の画面でEDPが適用されているかは、Copilot Chatの「New Chat」ボタンの横に表示される緑色のシールドで判断できます。このシールドは、Microsoft Entraの職場または学校アカウントでサインインしているときに表示され、個人用のMicrosoftアカウントでは表示されません。
Microsoft Copilotアプリでは、アカウントの種類によって背景色が変わり、ナビゲーションウィンドウのプロファイルの下に「職場」のラベルが出ます。社内の利用ガイドには、シールドとラベルの両方を確認してから業務情報を入力するよう書いておくと、個人アカウントでの誤用を減らせます。
管理者側で決めておく設定
EDPは自動で適用されますが、社内基準に合わせて管理者が決めるべき設定が3つあります。
- Web検索の許可：「CopilotでのWeb検索を許可する」ポリシーで、Bingへの検索クエリ送信を有効にするか、無効にするか、Microsoft Copilotの作業モードだけ無効にするかを選ぶ
- 利用者の範囲：Microsoft 365管理センターで、Copilot Chatを使える利用者やグループを制限したり、ブロック時に社内ポリシーのURLを表示したりする
- 個人アカウントの制御：テナント制限v2で、職場のネットワークから個人用Microsoftアカウントでサインインできるかを管理する
いずれもEDPの適用を変える設定ではなく、EDPの外側にあるデータの流れを社内基準に合わせる設定です。MicrosoftはネットワークレベルのURLブロックでCopilot Chatを制限することを推奨しておらず、管理センターの設定で管理するよう案内しています。
CopilotのEDPだけでは防げないリスクと社内で決めておくこと
EDPはMicrosoft側の約束であり、社内のデータの持ち方やガバナンスまでは変えてくれません。GiftXが実施したビジネス職生成AI活用実態調査2026では、組織の課題として「セキュリティ制限でツールが使えない」が19.6%、「利用ルール・ガイドラインがない」が19.1%に上りました（複数回答）。EDPを正しく理解することは、この2つを同時に解く入口になります。
社内で決めておく論点は3つあります。
- 過剰共有：Microsoft Copilotは利用者の権限内でしかデータを参照しないが、全社に共有されたままのSharePointサイトがあれば、その内容は権限どおりに回答へ使われる。EDPは権限の壁を守る仕組みであって、壁の設計の甘さを直すものではない
- エージェント：SharePointやコネクタのデータを参照するエージェントを使う場合、Microsoftはそのエージェントのプライバシーに関する声明と利用規約を確認するよう求めている
- 個人アカウントの利用：EDPが効かない経路であり、職場アカウントでのサインインを利用ガイドで明示しておく必要がある
この3点をリスク管理の対象として先に決めておくと、EDPの説明と社内ルールが1枚の資料に収まります。詳細な調査データは「ビジネス職生成AI活用実態調査（2026年版）」にてご覧ください。
CopilotのEDPに関するよくある質問
Copilotの履歴は削除できますか？
削除できます。利用者はマイアカウントポータルから、プロンプトとCopilotの応答を含むアクティビティ履歴を削除できます。一方で、監査や電子情報開示のための記録は組織の保持ポリシーに従って管理されるため、利用者が履歴を消しても管理者側の記録が即座に消えるわけではありません。
Copilot Chatにアップロードしたファイルはどこに保存されますか？
アップロードしたファイルは、エンタープライズデータ保護の一環として、利用者のOneDrive for Businessに保存されます。利用者はいつでもアップロードしたファイルを削除でき、ファイルの内容がモデルの学習に使われることはありません。チャットの終了後、Copilot Chatがそのファイルを保持し続けることもありません。
無料のCopilotでもEDPは適用されますか？
個人用のMicrosoftアカウントで使うCopilotにはEDPは適用されません。職場または学校のアカウントで、対象のMicrosoft 365サブスクリプションを持つ利用者が使うCopilot Chatであれば、追加の課金なしにEDPが適用されます。同じ無料でも、どのアカウントでサインインしているかで扱いが変わります。
Copilot Chatの応答に広告は表示されますか？
表示されません。Microsoft Entra IDでサインインしているCopilot Chatは、エンタープライズデータ保護に加えて、広告のない職場・教育向けの体験を提供するとMicrosoftは説明しています。Web検索クエリも広告主とは共有されず、広告プロファイルの作成に使われることはありません。
まとめ｜CopilotのEDPは学習不使用だけでなく契約で守る仕組み
Copilotのエンタープライズデータ保護は、職場アカウントで使うMicrosoft CopilotとCopilot Chatのプロンプトと応答を、Microsoft 365の既存の契約条件で守る仕組みです。基盤モデルの学習に使われないことに加えて、暗号化、テナント間の分離、アクセス権限と秘密度ラベルの継承が含まれます。適用の可否は製品名ではなくサインインするアカウントの種類で決まり、Copilot Chatの緑色のシールドで利用者自身が確認できます。一方で、Web検索クエリは別のルールで扱われ、過剰共有やエージェントのデータ処理はEDPの外側にあります。何が守られ、何を自社で決めるのかを切り分けておくことが、安心して使い始めるための近道です。
社内ルールが整ってCopilotを業務に組み込む段階では、GiftXが1業務単位のAIエージェント構築を伴走支援しています。詳細はAIエージェント構築支援サービスをご覧ください。
Copilot導入後のAI活用を広げたい方へ
本記事で整理したデータ保護の前提を踏まえて、自社の業務でもCopilotやAIエージェントの活用を具体的に進めたい・相談したいとお考えの方は、ぜひGiftX AIエージェント構築支援までお問い合わせください。
GiftX AIエージェント構築支援では、貴社の業務に合わせて1業務単位のスモールスタートから本番運用まで、AIエージェント構築をワンストップで支援します。ユースケースの洗い出しから、PoC、本番運用、社内ナレッジ化まで伴走します。
AI活用にご関心のある方は、ぜひ一度ご相談ください。
▶ GiftX AIエージェント構築支援の詳細・お問い合わせはこちら
