• 更新日 : 2026年8月28日

Copilotのエンタープライズデータ保護（EDP）とは？仕組み・対象ライセンス・確認方法を解説

企業でCopilotを使う際、入力した社内情報がAIの学習データに使われてしまわないか気になる担当者は多いはずです。エンタープライズデータ保護（EDP：Enterprise Data Protection）は、法人向けアカウントでサインインして利用した際のプロンプトや応答が、 既存のMicrosoft 365の契約条件と同じ水準で保護される仕組みです。本記事では、EDPの仕組み、個人版との違い、対象ライセンス、確認方法、運用ルールまでを解説します。

エンタープライズデータ保護（EDP）とは？

エンタープライズデータ保護（EDP）とは、組織で利用するCopilotとCopilot Chatの顧客データに適用される、データ保護補遺（DPA）と製品条件に基づく一連のコントロールとコミットメントを指します。Microsoftの公式ドキュメントによれば、プロンプトと応答はExchangeのメールやSharePointのファイルと同様に、暗号化やテナント間の分離といった契約条件のもとで扱われます。

参考：Microsoft 365 CopilotとMicrosoft 365 Copilot Chatでのエンタープライズ データ保護｜Microsoft Learn

入力データがAI学習に使われない仕組み

Microsoft Graph経由でアクセスするプロンプト・応答・データは、基盤となる大規模言語モデル（LLM）のトレーニングに使われません。この点はMicrosoft公式ドキュメントでも明記されている、EDPの核となる仕組みです。

「業務文書を要約させたいが、社内情報がAIの学習に取り込まれるのでは」という不安の声は少なくありません。EDPの対象となる利用であれば、ユーザー自身の指示に基づく範囲以外でデータが使われることはなく、暗号化・厳格な物理セキュリティ・テナント間分離によって保護されます。GDPR（一般データ保護規則）やISO/IEC 27018への準拠もコミットメントに含まれています。

データは組織のテナント内で保護される

EDPの保護範囲は、Microsoft Entra ID（旧Azure Active Directory）で管理される組織テナント単位です。テナントとは、組織ごとに割り当てられたクラウド上の専有領域を指します。

Microsoft公式のセキュリティ関連ドキュメントでは、Microsoft 365 Copilotは既存のID・アクセス制御の上に構築され、強固な本人確認や最小権限アクセス、継続的な評価といったゼロトラストの原則に沿っていると説明されています。あわせて、GDPR・ISO 27001・HIPAA・AI管理システムの国際規格であるISO 42001など、幅広いコンプライアンス認定にも対応しています。データ損失防止（DLP）や情報保護ラベルといったMicrosoft Purviewの機能もCopilotの利用に連携するため、単体のEDPだけでなく組織全体のガバナンス体制と組み合わせて運用することが重要です。

参考：Security for Microsoft 365 Copilot｜Microsoft Learn

Copilotの無料版とエンタープライズデータ保護（EDP）はどう違う？

個人用のMicrosoftアカウントで利用するCopilotにはEDPが適用されず、入力内容がサービス改善に利用される場合があります。業務利用では、Microsoft Entra IDの法人・学校アカウントでのサインインが前提になります。

個人アカウントではEDPが適用されない

個人アカウント（outlook.comやhotmail.comなど）でCopilotを利用した場合、入力内容がMicrosoftのサービス改善に利用される可能性があり、プライバシーに関する声明でもその旨が示されています。業務上の情報を個人アカウントで扱うのはリスクが高いといえます。

例えば、自宅PCから個人アカウントでログインし、取引先の見積もり内容を貼り付けて要約させた場合、そのやり取りはEDPの対象外です。従業員が自分の使っているアカウントが法人用か個人用かを正しく把握していないと、意図せず保護の外で情報を扱ってしまう恐れがあります。

Entra IDでのサインインが保護の条件になる

EDPを受けるには、Microsoft Entra IDの職場または学校アカウントでのサインインが条件です。個人アカウントとの違いを次の表に整理します。

従業員には、Copilotを開いた際にサインイン中のアカウントが会社のドメインになっているかを確認する習慣づけが有効です。

EDPの対象ライセンスとCopilot Chat・Microsoft 365 Copilotの違いは？

Copilot Chatは、対象となるMicrosoft 365などのライセンスを持つユーザーがEntraの職場・学校アカウントでサインインすると、Microsoft 365 Copilotの追加ライセンスなしで利用でき、EDPが適用されます。一方、組織のデータを参照するMicrosoft 365 Copilotは別途有償のアドオンライセンスが必要です。

追加ライセンスなしで保護が有効になる範囲

Microsoft公式ドキュメントは、Copilot Chatについて「追加ライセンスは必要ありません」と明記しています。つまりMicrosoft 365 Business BasicのようなエントリープランでもEntra IDアカウントがあれば、EDP対象のCopilot Chatを利用できるということです。

なお、2026年7月1日付でMicrosoft 365の法人向けプランは価格改定が実施されており、プランごとの料金体系や含まれる機能が変更されています。正確な料金や最新の対象プランは、必ずMicrosoftの公式価格ページで確認してください。

参考：Microsoft 365 Business のプランと価格｜Microsoft

Copilot ChatとMicrosoft 365 Copilotの違いを押さえる

「Copilot Chat」と「Microsoft 365 Copilot」は名称が似ていますが、できることが異なります。

Copilot Chatは組織コンテンツへの根拠付けが限定的なため、情報漏洩のリスクをより抑えられる構成です。一方、Microsoft 365 CopilotはSharePointやOneDriveのファイルを参照するため、事前のアクセス権限の整理が欠かせません。まずはコストをかけずに試せるCopilot Chatから始める方法もあります。

Copilotのデータ保護が有効かを確認する方法は？

Copilot Chatの画面上部に表示される保護インジケーターが、EDPの有効・無効を示す目印です。表示の有無を見るだけで、専門知識がない従業員でも保護状態を判断できます。

STEP1：法人アカウントでサインインしていることを確認する

STEP2：保護インジケーターの表示を確認する

STEP3：保護が無効な場合の対処を行う

個人アカウントと法人アカウントの両方をブラウザに保存していたことで、意図せず個人アカウント側でログインされていたというケースは起こり得ます。業務用と個人用でブラウザプロファイルを分けておくと、混同を防ぎやすくなります。

EDPがあっても入力を避けるべき情報は？

EDPはAI学習への流用を防ぐ仕組みであり、あらゆる情報を無制限に入力してよいわけではありません。マイナンバーなど法令で厳格な管理が求められる情報は、EDPの保護下でも入力を避けるべきです。

入力を避けるべき情報の具体例

個人情報保護法やマイナンバー法（行政手続における特定の個人を識別するための番号の利用等に関する法律）では、特定個人情報の取り扱いに厳しい規制が設けられています。EDPはあくまで「AI学習に使われない」ことへのコミットメントであり、クラウドサービスへのあらゆる入力を法的に許容するものではありません。

入力を避けるべき情報の代表例は次のとおりです。

例えば経理担当者が従業員リストの住所を集計させたい場合、氏名・住所をそのまま貼り付けるのではなく、事前に匿名化（A社員、B社員など）してから入力するとリスクを下げられます。

社内利用ガイドラインのチェックリスト例

バックオフィス担当者が社内ルールを整備する際に参考にできるチェックリストです。

完璧なガイドラインを最初から目指すより、基本ルールをまず展開し、運用しながら改善していくほうが実効性が高くなります。

Copilotのエンタープライズデータ保護でよくある質問

Copilotのエンタープライズデータ保護でよくある質問をまとめました。

退職者アカウントのデータはどうなる？

EDPが適用されたCopilot Chatでは、プロンプトと応答が記録され、組織の契約やMicrosoft Purviewの設定に応じて保持・削除の対象になります。退職者のアカウントを削除しただけで、監査や保持の対象となるデータが直ちにすべて消去されるとは限りません。退職時は、アカウント、OneDrive、チャット履歴、保持ポリシー、訴訟ホールドなどを含めて、組織のオフボーディング手順に沿って処理する必要があります。

Microsoft公式ドキュメントによると、ユーザーアカウントがMicrosoft 365管理センターまたはEntra IDから削除されると、OneDriveでは既定の保持期間が30日間に設定されており、その期間中であればアカウントやデータを復元できます。 必要なファイルは事前に別のアカウントや共有ドライブへ移しておくと安心です。

参考：削除された OneDrive を復元する｜Microsoft Learn

海外拠点でもEDPは有効？

Entra IDの法人アカウントでサインインしていれば、アクセスする場所にかかわらずEDPは有効です。海外拠点や出張先からCopilotを利用しても、同じテナント内のアカウントであれば保護の対象になります。

ただし、EUのGDPRなど地域ごとに異なるデータ保護規制への対応は別途必要になる場合があります。海外拠点での利用開始前に、現地の法規制とMicrosoftのデータ処理拠点（リージョン）の関係を確認しておくと安心です。

Copilot Chatの利用状況を管理者が監視できる？

Copilot Chatには個別のチャット内容を管理者がリアルタイムに閲覧する標準機能はありません。一方、Microsoft 365 Copilotであれば、Microsoft Purview（Microsoft 365のコンプライアンス・データガバナンス管理プラットフォーム）を通じて利用状況の監査ログを取得できます。

監査ログの取得が社内ポリシー上必須の場合は、有償版の導入を検討したほうが運用上の安心感は高くなります。

個人事業主でもEDPを使える？

Microsoft 365の対象プランを個人事業主名義で契約していれば、Entra IDのアカウントが発行されEDPの対象になります。判断基準は法人格の有無ではなく、Entra IDで管理されたアカウントかどうかです。

具体的な料金プランは価格改定の影響を受けている時期のため、契約前に必ずMicrosoftの公式価格ページで最新情報を確認してください。

Copilotのエンタープライズデータ保護を業務に安全に活用するために

Copilotのエンタープライズデータ保護（EDP）は、法人アカウントでサインインするだけで有効になり、入力データがAI学習に使われない環境で業務利用できる仕組みです。保護状態は画面上のインジケーターで確認でき、表示されない場合は法人アカウントへの切り替えで対処できます。マイナンバーなど法令で保護される情報はEDP下でも入力を避け、社内ガイドラインと組み合わせて運用することが、安全なCopilot活用の土台になります。

• 監修：高萩雄空輝（ITエンジニア/IT・AIメディアライター/SEOコンサルタント）

  ITエンジニアとして、Javaによる業務アプリケーション開発やデータベースの保守・運用に従事。その後、IT分野の知見を基盤として、AI・機械学習・生成AI分野を専門的に学習し、SEOコンサルタント／Webライターとして独立。専門性を生かし、大手プログラミングスクールにて、トレンドや最新情報を反映したIT技術・AIに関する記名記事を多数執筆している。現在は、ITとAIの基礎理解を前提としたファクトチェックや表現の妥当性検証、過度な自動化を避けたAI活用設計を強みとし、生成AI活用記事の監修や品質基準の策定も行っている。