ChatGPTやMicrosoft 365 Copilotなどの普及により、企業の生成AI活用が本格化している一方、情報漏洩や未承認AIツールの利用を懸念する声も増えています。重要なのはAIを禁止することではなく、安全に利用できる環境を整備することです。その基盤となるのが、Microsoft Intuneによる端末管理と、Microsoft Entra IDの条件付きアクセスです。
本記事では、生成AI活用における情報漏洩リスクの本質と、安全に活用するための具体的な対策方法を解説します。
- 【この記事で分かること】
-
- 生成AIのリスクは「AI」ではなく「利用環境」にある理由
- 安全な生成AI活用を支える3つの要素（Intune・条件付きアクセス・Purview）
- 管理済み端末だけにアクセスを限定する仕組み
- 生成AIを安全に活用するための第一歩
AI活用で高まる情報漏洩リスクと「シャドーAI」
生成AIのリスクの本質は、AIツールそのものではなく、利用環境の管理不足にあります。企業として端末の管理状況やアクセス経路を統制できていないことが、情報漏洩の主な原因です。
シャドーAIとは何か
シャドーAIとは、企業が承認していない生成AIサービスを従業員が独自に利用する状態を指します。具体的には、次のようなサービスの利用が該当します。
- 無料版の生成AIサービス
- 個人契約のAIツール
- セキュリティ要件が確認できていない外部サービス
シャドーAIの詳しい定義や発生要因については、以下の記事で詳しく解説しています。
関連コラム：シャドーAIとは？業務上のリスクや事例、対策方法を解説
機密データが意図せず外部送信されるリスク
 |
生成AIの利用によって、機密データが意図せず外部へ送信されるリスクがあります。対象となりやすい情報は次のとおりです。
|
多くの場合、悪意によるものではありません。業務効率化のために「良かれと思って」機密データを入力してしまうケースが大半を占めます。
リスクの本質は「AI」ではなく「利用環境」にある
生成AIのセキュリティ対策というと、AIツールそのものに目が向きがちです。
しかし実際は、以下のような環境面の課題がリスクにつながります。
- 管理されていない端末から業務データへアクセスしている
- 古いOSや脆弱性が残る端末が利用されている
- 退職者や不要なアカウントにアクセス権が残っている
- 利用状況を監査できない
そのため、生成AI活用では「AIを利用する環境」を制御することが重要です。Microsoft公式でも、Microsoft IntuneとMicrosoft Entra IDの条件付きアクセスを連携させて、管理され、セキュリティ基準に準拠した端末のみがMicrosoft 365やSaaSアプリへアクセスできる仕組みを提供しています。
生成AIを安全に活用するための3つの要素
企業が安全に生成AIを活用するには、以下の3つの要素を組み合わせることが重要です。
- Intuneによる端末管理：生成AIを利用する端末を管理し、企業が求めるセキュリティ基準を満たしていることを確認する
- 条件付きアクセスによる接続制御：管理済みかつ準拠した端末だけが業務クラウドへアクセスできるようにする
- Purviewによるデータ保護：機密情報や重要データが意図せず生成AIへ利用されないよう制御する
これらは個別の施策ではなく、相互に連携させることで初めて効果を発揮します。
安全な生成AI活用の基盤となるMicrosoft Intune
 |
Microsoft Intuneとは、企業内のデバイス・アプリをクラウドで一元管理できるエンドポイント管理サービスです。 |
Intuneとは（マルチプラットフォームのエンドポイント管理）
Intuneは、複数のプラットフォームを一元管理できる点が特長です。
- Windows
- macOS
- iPhone・iPad
- Android
- Linux
これらの端末を単一の管理ポータルで統制できるため、部門やOSの違いを問わず一貫したセキュリティ基準を適用できます。
Intuneでできること
Intuneを活用すると、次のような運用が可能になります。
- OSの更新状況の把握
- セキュリティポリシーの適用
- アプリ配布
- 紛失端末へのリモートワイプ
- デバイス準拠性の確認
Intuneの役割は「AIを利用する端末」を管理すること
そもそもIntuneは、生成AIそのものを管理する製品ではありません。Intuneの役割は、生成AIを利用する端末を適切に管理し、企業が安全と判断した端末だけが業務データへアクセスできる状態を実現することにあります。生成AI活用を進める企業にとって、IntuneはAI活用の土台といえます。
条件付きアクセスで「安全な端末だけ」を許可する
条件付きアクセスとは、Microsoft Entra IDが提供する、IDや端末の状態など設定した条件に応じてアクセスを制御する仕組みです。
多要素認証（MFA）だけでは不十分な理由
近年、多要素認証（MFA）を導入している企業も増えていますが、それだけで十分な対策とはいえません。
なぜなら、管理外の個人PCやセキュリティ更新が行われていない端末、ウイルス感染した端末であっても、正しいIDとパスワードを保持していればアクセスできる可能性があるためです。
Intuneと連携した条件付きアクセスの制御例
Microsoft公式によると、条件付きアクセスはIntuneのコンプライアンス情報を活用しながらアクセス制御を行えます。具体的な制御例は次のとおりです。
- Intuneで管理されている端末のみ許可
- 準拠デバイスのみ許可
- 多要素認証を必須化
- 高リスクなサインインをブロック
Microsoft 365 Copilotへのアクセスを安全な端末に限定
Intuneと連携した条件付きアクセスにより、Microsoft 365 Copilotを含むMicrosoft 365環境へのアクセスを、企業が管理する安全な端末に限定できるようになります。「正しいIDで認証できれば、どの端末からでもアクセスできる」という状態を防ぎ、端末の安全性も考慮したアクセス制御を実現できます。
Microsoft Purviewで機密情報を保護する
Microsoft Purviewとは、企業のデータを可視化・分類・保護・管理するソリューションです。端末管理とアクセス制御に加えて、生成AI活用ではデータそのものを保護することも重要となります。
Copilotのエンタープライズデータ保護（EDP）
Microsoft 365 CopilotとMicrosoft 365 Copilot Chatでは、企業向けのエンタープライズデータ保護（EDP）が提供されています。プロンプトや応答はMicrosoft 365の商用サービスと同様の保護対象となり、アクセス権限、秘密度ラベル、保持ポリシー、監査などの既存ポリシーが適用されます。
また、プロンプトや応答、Microsoft Graph経由で取得されるデータは、基盤モデルの学習には利用されません。Microsoft Purviewと組み合わせることで、データ保護をさらに強化できます。
PurviewのDLPによる制御例
Microsoft PurviewのDLP（データ損失防止）機能では、Microsoft 365 CopilotやCopilot Chatに対して、機密情報の利用を制御できます。
- クレジットカード番号や個人情報を含むプロンプトを制限する
- 機密情報を含む場合に外部Web検索を無効化する
- 秘密度ラベル付きのファイルやメールをCopilotの応答生成対象から除外する
- 外部メールをCopilotの参照データから除外する
「見えないものは管理できない」という言葉の通り、生成AIの利用状況を把握できなければ、適切な対策を講じることはできません。
誰が、いつ、どのようなデータを扱ったのかを可視化・監査できる仕組みを整えることが、データ保護の実効性を高めるうえで重要です。
「顧客情報をAIに勝手に使わせない」統制の実現
「顧客情報が含まれるデータをAIに勝手に活用させたくない」という企業の要件に対しては、Microsoft PurviewとCopilotを連携させることで統制を実現できます。
生成AIのセキュリティ対策はＪＢサービスにご相談ください
生成AI活用が広がる中、多くの企業は「どのAIを導入するか」に注目しがちですが、重要なのは利用環境の管理です。
誰が、どの端末から、どのデータへアクセスするのかを適切に管理することで、生成AIの安全な活用につながります。生成AI時代のセキュリティ対策とは、AIを禁止することではなく、安全に使える環境を整備することです。第一歩として、Intuneを中心とした端末管理とアクセス制御を見直しましょう。
ＪＢサービスは、Microsoft IntuneやMicrosoft Entra IDの導入から運用まで一貫してサポートします。導入実績はこちらからご覧いただけます。
まとめ
生成AI活用におけるセキュリティリスクの本質は、AIそのものではなく、利用環境の管理不足にあります。Intuneによる端末管理、Entra IDの条件付きアクセスによる接続制御、Purviewによるデータ保護を組み合わせることで、生成AIを安心して業務に取り入れられる体制を構築できます。
まずは、自社の端末管理とアクセス制御の状況を見直すことから始めましょう。
