📅 2025年11月22日 ⏱️ 10分で読めます

Google Workspace AIガバナンスチェックリスト｜Gemini・共有権限・ログ管理の20項目

執筆小林編集ファネルAi編集部監修ファネルAi監修チーム最終更新2026年6月8日

利用範囲、データ、共有、ログ、教育、退出の6セクション20項目が整列するガバナンス構造の図

Google WorkspaceでAIを業務利用するときに、ガバナンスを後回しにすると半年後に「想定外のデータ利用」「権限事故」「監査不能」の3大問題が顕在化します。先回りで6セクション20項目を確認するチェックリストにすると、AI活用を加速したまま事故を抑えられます。

結論として、ガバナンスは「利用範囲」「データ取り扱い」「共有権限」「ログ・監査」「教育」「退出設計」の6セクションで構成し、AIエージェント・AI CRM契約前の確認リストとしてそのまま使い回します。加えて、2026年5月の Chrome DBSC 一般提供、2026年6月の Google Calendar DLP 一般提供、managed third-party apps 保護のような経路別保護も確認すると、Google Workspace運用で見落としやすいアカウント乗っ取りやモバイル持ち出し対策まで実務に落とし込みやすくなります。Workspace全体のAI活用は Gemini for Workspace管理者設定、AI CRMでの継続支援は AI CRMとは？をご覧ください。

Workspace AIガバナンスの6セクション20項目を示した図 — Workspace AIガバナンスは6セクション20項目で構成し、契約前確認リストとして使い回します。

本記事のポイント

Workspace AIガバナンスは「利用範囲」「データ取り扱い」「共有権限」「ログ・監査」「教育」「退出設計」の6セクションで20項目をチェックします。
共有権限や監査ログだけでなく、ChromeのDBSC、Calendar DLP、managed third-party apps 保護のような経路別保護も確認すると、アカウント乗っ取りやモバイル持ち出し対策を実務へ落とし込みやすくなります。
AI CRM・自動化エージェント導入時は、ガバナンス項目をそのまま「契約前確認リスト」として使い回せます。

この記事で扱うテーマ

セクション1｜利用範囲（4項目）

OU/グループ単位での有効化方針が明文化されているか
パイロット対象部署・期間・成功条件が決まっているか
AIで「やる業務」「やらない業務」のリストが部署単位で決まっているか
判断系（採否・契約条件・人事評価）にAIを使わないルールがあるか

セクション2｜データ取り扱い（4項目）

Workspace Geminiの「学習利用しない」設定の状態を管理コンソールで確認している
パーソナライゼーション・スマート機能の影響範囲を業務単位で決めている
個人情報・契約情報を含むシート・フォルダの扱いをルール化している
第三者AIアドオンを併用するときのデータ取り扱い・退出設計を確認している

詳細は Workspace Geminiのプライバシーとトレーニングをご覧ください。

セクション3｜共有権限（3項目）

共有ドライブ・マイドライブの使い分けが部署単位で決まっている
外部共有・「リンクを知っている全員」の検出と棚卸しが定例化されている
退職・異動時の権限移管フローが文書化されている

Drive側の設計は Drive顧客フォルダ設計テンプレートをご覧ください。

補足｜Calendar DLP と managed third-party apps 保護を「例外経路」対策として見る

2026年6月に一般提供となった Google Calendar DLP と managed third-party apps 保護は、どちらも「これまで抜けやすかった経路」を埋める機能です。前者は予定タイトル、説明、場所の自由記述欄、後者は iOS 上で業務データを管理対象アプリ間で扱いつつ、個人アプリや私用アカウントへ流しにくくする経路制御です。

AIガバナンス実務では、これらを便利機能として個別に追うより、「例外経路をどう塞ぐか」という同じ論点で扱う方が運用に乗りやすくなります。営業、採用、CS のようにモバイル利用が多い部門では、DLP ルール本体、端末設定、共有制御、監査ログの4つをセットで確認すると、現場が迂回しやすい経路を減らせます。

セクション4｜ログ・監査（3項目）

WorkspaceとGeminiの監査ログが両方有効化されている
BigQuery / Looker StudioへのエクスポートでトレンドCV観測ができる
アラートセンターのルールに「禁止キーワード送信」「閾値超過」「外部共有変更」が含まれている

補足｜ChromeのDBSCをセッション保護の観点で確認する

2026年5月28日にGoogle Workspace Updatesで案内された Device Bound Session Credentials（DBSC）の一般提供は、Google WorkspaceのAIガバナンスと無関係な話ではありません。DBSCは、Chromeのセッション資格情報を端末側へ結び付けることで、Cookieの窃取だけでアカウントを再利用されにくくする仕組みです。

管理者実務では、これを「Chromeの新機能」とだけ見るより、「共有権限」「ログ・監査」を補強するセッション保護の一部として扱う方が実務に乗りやすくなります。AI利用が進むと、Gmail、Drive、Docs、Sheets、Gemini appなど、1つのログインセッションで触れられる業務データが広がります。つまり、セッション乗っ取りが起きたときの被害範囲も広がります。

そのため、Windows環境でChromeを標準ブラウザとして使っている組織では、次の4点を追加確認すると運用が締まります。

対象端末がWindows版Chromeの管理対象に入っているか
セッション窃取を前提にしたブラウザ保護を、ID管理やMFAの補助線として位置付けているか
アカウント異常時に、ブラウザセッション失効と端末切り分けの担当を決めているか
AI利用ポリシーに「共有端末・私物端末・未管理ブラウザ」で扱ってよい範囲を明記しているか

DBSCだけで認証事故が防げるわけではありませんが、MFA、端末管理、監査ログ、共有権限の運用と合わせると、Google Workspace上のAI利用で見落としやすい「セッションが盗まれた後」の被害抑止を補強できます。

セクション5｜教育（3項目）

新入社員・異動者向けにAI利用範囲とポリシーの研修がある
業務テンプレ（プロンプト集）が部署単位で常備されている
違反・懸念ケースの差し戻しフローと窓口が決まっている

セクション6｜退出設計（3項目）

AIアドオン解約時のデータ削除ポリシーが契約に明記されている
退職者のWorkspace・AIアプリへのアクセス即時剥奪フローがある
会議録音・議事録の保管期限と削除運用が決まっている

20項目の早見表

セクション	項目数	レビュー頻度
1. 利用範囲	4	四半期
2. データ取り扱い	4	月次
3. 共有権限	3	四半期
4. ログ・監査	3	月次
5. 教育	3	四半期
6. 退出設計	3	都度（退職・解約時）

AIエージェント・AI CRM導入前の使い回し

本チェックリストはWorkspace Gemini向けですが、AIエージェント・AI CRM・第三者アドオンを契約するときの確認リストとしてもそのまま使えます。「データ取り扱い」「共有権限」「ログ・監査」「退出設計」の4セクションは、SaaS全般の契約前確認の最低ラインです。

導入のしかたは AI CRMとは？や Workspace MarketplaceのCRM をあわせて参照してください。

よくある質問

どのセクションから着手すべきですか？

「データ取り扱い」「共有権限」が最優先です。事故が顕在化したときの被害が大きいため、Day 1から確認します。

中小企業でも全項目チェックする必要がありますか？

20項目は最低ラインです。規模が小さくても、外部共有・退職処理は同じリスクがあります。簡略化するならログ・監査の頻度を下げるなど、頻度で調整します。

ポリシー文書はどこに置くべきですか？

社内Wikiまたは共有ドライブの「ポリシー」フォルダが一般的です。閲覧権限は全社員、編集権限は管理者に限定します。

違反が見つかった場合の対応フローは？

1次対応者・2次エスカレーション先・記録方法を最初に決めます。情報セキュリティ・人事・法務の3部門が関わるケースが多くなります。

AIエージェント契約時に追加で確認すべきことは？

OAuthスコープ・モデル・データレジデンシー・SLA・退出設計の5項目です。Marketplace側の確認手順は Workspace MarketplaceのCRM を参照してください。

DBSCとは何ですか？Google Workspace管理者も確認した方がよいですか？

DBSCはDevice Bound Session Credentialsの略で、ブラウザのセッション資格情報を端末側に結び付け、盗まれたCookieだけでセッションを再利用されにくくする考え方です。Google Workspace管理者にとっては、共有権限や監査ログと別軸の対策ではなく、セッション乗っ取り時の被害を抑える補助線として確認する価値があります。特にWindows版Chromeを標準運用している会社では、AI利用の拡大と合わせて見直す意味があります。

監査ログのレビュー頻度はどう決めますか？

業種・規模による差はありますが、月次レビュー＋四半期サマリが現実的な最低ラインです。BigQuery / Looker Studioに流すと観測が継続しやすくなります。

AIガバナンスを社内ルール化したい方へ

20項目の確認とポリシー文書化を、自社の業種・規模・既存ルールに合わせて整理します。AI CRMやエージェント契約前の確認リストとしての運用、教育・退出設計まで、ファネルAi編集部・監修チームが個別に確認します。

ファネルAiに相談する

実装の落とし穴と継続改善

Google Workspace の各サービス（Forms、Drive、Chat、Calendar、Contacts、NotebookLM、Studio）を業務に組み込むときに共通する落とし穴は、「個別サービスの便利機能だけ使って、業務フローに統合しない」ことです。Forms で問い合わせを取っても、Sheets での案件 ID 採番、Chat での担当者通知、Calendar での初回連絡予定までを連動させないと、対応漏れが起きます。Drive で資料を整理しても、CRM の案件オブジェクトと URL で紐付けないと、商談時に資料が見つかりません。Chat で通知を飛ばしても、メンション先・件名規則・関連リンクが曖昧だと、重要通知が雑談に埋もれます。これらは個別の運用ルールではなく、業務フロー全体の設計問題です。

継続改善のサイクルは、月次の運用レビューと四半期のフロー棚卸しで作ります。月次では「未対応 SLA 超過」「Drive 共有範囲の逸脱」「Chat 通知のミュート率」の3指標を確認し、運用ルールを微調整します。四半期では、Workspace の新機能リリースとフロー設計の整合を確認し、不要になったルール・テンプレートを削除します。Workspace は四半期ごとに新機能が追加されるため、運用ルールが「古い前提」のまま固定されると、生産性向上の機会を逃します。AI（Gemini・AI 関数・NotebookLM）を併用する場合は、各サービスの DLP・監査ログ・退出設計を月次で確認し、四半期に一度プロンプト集の見直しを入れるのが現実的なリズムです。

メディア一覧へ戻る