Google Workspace AIガバナンスチェックリスト｜Gemini・共有権限・ログ管理の20項目
Google WorkspaceでAIを業務利用するときに、ガバナンスを後回しにすると半年後に「想定外のデータ利用」「権限事故」「監査不能」の3大問題が顕在化します。先回りで6セクション20項目を確認するチェックリストにすると、AI活用を加速したまま事故を抑えられます。
結論として、ガバナンスは「利用範囲」「データ取り扱い」「共有権限」「ログ・監査」「教育」「退出設計」の6セクションで構成し、AIエージェント・AI CRM契約前の確認リストとしてそのまま使い回します。加えて、2026年7月の Calendar 委任編集権限、2026年5月の Chrome DBSC 一般提供、2026年6月の Google Calendar DLP 一般提供、managed third-party apps 保護、Google Workspace の incremental exports のような経路別保護とバックアップ証跡も確認すると、アカウント乗っ取り、モバイル持ち出し、監査不能のリスクを実務に落とし込みやすくなります。Workspace全体のAI活用は Gemini for Workspace管理者設定、AI CRMでの継続支援は AI CRMとは？ をご覧ください。
本記事のポイント
- Workspace AIガバナンスは「利用範囲」「データ取り扱い」「共有権限」「ログ・監査」「教育」「退出設計」の6セクションで20項目をチェックします。
- 共有権限や監査ログだけでなく、Calendarの委任権限、DBSC、DLP、incremental exports のような保護と証跡も確認します。
- AI CRM・自動化エージェント導入時は、ガバナンス項目をそのまま「契約前確認リスト」として使い回せます。
セクション1｜利用範囲（4項目）
- OU/グループ単位での有効化方針が明文化されているか
- パイロット対象部署・期間・成功条件が決まっているか
- AIで「やる業務」「やらない業務」のリストが部署単位で決まっているか
- 判断系（採否・契約条件・人事評価）にAIを使わないルールがあるか
セクション2｜データ取り扱い（4項目）
- Workspace Geminiの「学習利用しない」設定の状態を管理コンソールで確認している
- パーソナライゼーション・スマート機能の影響範囲を業務単位で決めている
- 個人情報・契約情報を含むシート・フォルダの扱いをルール化している
- 第三者AIアドオンを併用するときのデータ取り扱い・退出設計を確認している
詳細は Workspace Geminiのプライバシーとトレーニング をご覧ください。
セクション3｜共有権限（3項目）
- 共有ドライブ・マイドライブの使い分けが部署単位で決まっている
- 外部共有・「リンクを知っている全員」の検出と棚卸しが定例化されている
- 退職・異動時の権限移管フローが文書化されている
Drive側の設計は Drive顧客フォルダ設計テンプレート をご覧ください。
補足｜Calendar の委任編集権限は「非公開予定が見えないこと」まで確認する
Google Workspace Updates は 2026年7月7日に、Google Calendar の新しい共有権限として Make changes (see private events as free/busy) を案内しました。これは、秘書やアシスタントのような代理編集者に予定の作成・編集を任せつつ、非公開予定の詳細は見せずに空き時間だけを表示する権限です。
共有権限の棚卸しでは、「編集できるか」だけでなく「非公開予定のタイトル、説明、検索結果、変更権限がどう見えるか」まで確認します。リーダー、営業責任者、採用責任者のカレンダーでは、代理編集が必要でも、医療、法務、人事、評価、M&A、個人事情に関わる予定を見せるべきではない場面があります。委任権限を付けるときは、代理編集者の範囲、非公開予定の付け方、解除時の棚卸しをセットで決める方が安全です。
| 確認項目 | 管理者・責任者が決めること | ガバナンス上の意味 |
|---|---|---|
| 代理編集者 | 誰に予定作成・編集を任せるか、退職・異動時に誰が外すか | カレンダー運用の属人化を防ぐ |
| 非公開予定 | どの予定を private にし、詳細を見せないか | 役員・人事・顧客対応の機密を守る |
| 繰り返し予定 | 一連の予定で可視性がそろっているか | 1回だけ private にした予定が系列全体へ影響する前提を確認する |
同じ発表では、繰り返し予定の可視性にも変更が案内されています。今後は繰り返し予定の一部だけ可視性を変えることはできず、系列内で最も厳しい可視性が全体に反映されます。定例の一部に機密回が含まれる場合は、同じ繰り返し予定でまとめるべきか、別の予定系列に分けるべきかを先に判断します。
補足｜Calendar DLP と managed third-party apps 保護を「例外経路」対策として見る
2026年6月に一般提供となった Google Calendar DLP と managed third-party apps 保護 は、どちらも「これまで抜けやすかった経路」を埋める機能です。前者は予定タイトル、説明、場所の自由記述欄、後者は iOS 上で業務データを管理対象アプリ間で扱いつつ、個人アプリや私用アカウントへ流しにくくする経路制御です。
AIガバナンス実務では、これらを便利機能として個別に追うより、「例外経路をどう塞ぐか」という同じ論点で扱う方が運用に乗りやすくなります。営業、採用、CS のようにモバイル利用が多い部門では、DLP ルール本体、端末設定、共有制御、監査ログの4つをセットで確認すると、現場が迂回しやすい経路を減らせます。
セクション4｜ログ・監査（3項目）
- WorkspaceとGeminiの監査ログが両方有効化されている
- BigQuery / Looker StudioへのエクスポートでトレンドCV観測ができる
- アラートセンターのルールに「禁止キーワード送信」「閾値超過」「外部共有変更」が含まれている
補足｜incremental exportsをバックアップ証跡として見る
Google Workspace Updates は 2026 年 6 月 26 日に、Google Workspace の incremental exports を案内しました。管理者は組織データを自社の Google Cloud Storage バケットへエクスポートし、全量バックアップに加えて、指定期間分の差分を定期的に取得できます。
AIガバナンスの文脈では、これは単なるバックアップ機能ではありません。Gmail、Drive、Chat のデータを、OU、グループ、特定ユーザー単位でスコープできるため、監査、インシデント調査、退職・異動時の保全、AIアドオン導入前の出口設計と合わせて確認する価値があります。
| 確認項目 | 管理者が決めること | AIガバナンス上の意味 |
|---|---|---|
| 全量バックアップ | 四半期、半期、年次のどの頻度で基準スナップショットを取るか | 復旧や監査の基準時点を残す |
| 差分バックアップ | 直近何日分を何日ごとに取得するか | データ損失や不正操作の影響範囲を縮める |
| スコープ | Gmail、Drive、Chat のうち、OU・グループ・ユーザー単位で何を対象にするか | 高機密部門と一般部門で保持粒度を分ける |
| 保管先 | Google Cloud Storage バケットの権限、暗号化、保管期限をどう管理するか | エクスポート後の二次漏えいを防ぐ |
重要なのは、バックアップを「取れるか」だけで完了にしないことです。誰が復元判断をするのか、どのバケットに誰がアクセスできるのか、AIアドオン解約時にどの時点のデータを保全するのかまで決めておくと、監査ログと退出設計がつながります。なお、この機能は対象エディションが限られるため、自社プランで利用できるかを管理者が確認します。
補足｜ChromeのDBSCをセッション保護の観点で確認する
2026年5月28日にGoogle Workspace Updatesで案内された Device Bound Session Credentials（DBSC）の一般提供 は、Google WorkspaceのAIガバナンスと無関係な話ではありません。DBSCは、Chromeのセッション資格情報を端末側へ結び付けることで、Cookieの窃取だけでアカウントを再利用されにくくする仕組みです。
管理者実務では、これを「Chromeの新機能」とだけ見るより、「共有権限」「ログ・監査」を補強するセッション保護の一部として扱う方が実務に乗りやすくなります。AI利用が進むと、Gmail、Drive、Docs、Sheets、Gemini appなど、1つのログインセッションで触れられる業務データが広がります。つまり、セッション乗っ取りが起きたときの被害範囲も広がります。
そのため、Windows環境でChromeを標準ブラウザとして使っている組織では、次の4点を追加確認すると運用が締まります。
- 対象端末がWindows版Chromeの管理対象に入っているか
- セッション窃取を前提にしたブラウザ保護を、ID管理やMFAの補助線として位置付けているか
- アカウント異常時に、ブラウザセッション失効と端末切り分けの担当を決めているか
- AI利用ポリシーに「共有端末・私物端末・未管理ブラウザ」で扱ってよい範囲を明記しているか
DBSCだけで認証事故が防げるわけではありませんが、MFA、端末管理、監査ログ、共有権限の運用と合わせると、Google Workspace上のAI利用で見落としやすい「セッションが盗まれた後」の被害抑止を補強できます。
セクション5｜教育（3項目）
- 新入社員・異動者向けにAI利用範囲とポリシーの研修がある
- 業務テンプレ（プロンプト集）が部署単位で常備されている
- 違反・懸念ケースの差し戻しフローと窓口が決まっている
セクション6｜退出設計（3項目）
- AIアドオン解約時のデータ削除ポリシーが契約に明記されている
- 退職者のWorkspace・AIアプリへのアクセス即時剥奪フローがある
- 会議録音・議事録の保管期限と削除運用が決まっている
20項目の早見表
| セクション | 項目数 | レビュー頻度 |
|---|---|---|
| 1. 利用範囲 | 4 | 四半期 |
| 2. データ取り扱い | 4 | 月次 |
| 3. 共有権限 | 3 | 四半期 |
| 4. ログ・監査 | 3 | 月次 |
| 5. 教育 | 3 | 四半期 |
| 6. 退出設計 | 3 | 都度（退職・解約時） |
AIエージェント・AI CRM導入前の使い回し
本チェックリストはWorkspace Gemini向けですが、AIエージェント・AI CRM・第三者アドオンを契約するときの確認リストとしてもそのまま使えます。「データ取り扱い」「共有権限」「ログ・監査」「退出設計」の4セクションは、SaaS全般の契約前確認の最低ラインです。
導入のしかたは AI CRMとは？ や Workspace MarketplaceのCRM をあわせて参照してください。
よくある質問
どのセクションから着手すべきですか？
「データ取り扱い」「共有権限」が最優先です。事故が顕在化したときの被害が大きいため、Day 1から確認します。
中小企業でも全項目チェックする必要がありますか？
20項目は最低ラインです。規模が小さくても、外部共有・退職処理は同じリスクがあります。簡略化するならログ・監査の頻度を下げるなど、頻度で調整します。
ポリシー文書はどこに置くべきですか？
社内Wikiまたは共有ドライブの「ポリシー」フォルダが一般的です。閲覧権限は全社員、編集権限は管理者に限定します。
違反が見つかった場合の対応フローは？
1次対応者・2次エスカレーション先・記録方法を最初に決めます。情報セキュリティ・人事・法務の3部門が関わるケースが多くなります。
AIエージェント契約時に追加で確認すべきことは？
OAuthスコープ・モデル・データレジデンシー・SLA・退出設計の5項目です。Marketplace側の確認手順は Workspace MarketplaceのCRM を参照してください。
DBSCとは何ですか？Google Workspace管理者も確認した方がよいですか？
DBSCはDevice Bound Session Credentialsの略で、ブラウザのセッション資格情報を端末側に結び付け、盗まれたCookieだけでセッションを再利用されにくくする考え方です。Google Workspace管理者にとっては、共有権限や監査ログと別軸の対策ではなく、セッション乗っ取り時の被害を抑える補助線として確認する価値があります。特にWindows版Chromeを標準運用している会社では、AI利用の拡大と合わせて見直す意味があります。
Google Calendarの委任編集権限では何を確認すべきですか？
代理編集者に予定作成・編集を任せる場合でも、非公開予定の詳細が見えない権限を使えるか、private の付け方が揃っているか、繰り返し予定の可視性が意図せず系列全体へ広がらないかを確認します。特に役員、営業責任者、採用責任者のカレンダーでは、便利さより機密予定の扱いを先に決めることが重要です。
監査ログのレビュー頻度はどう決めますか？
業種・規模による差はありますが、月次レビュー＋四半期サマリが現実的な最低ラインです。BigQuery / Looker Studioに流すと観測が継続しやすくなります。
関連ページと関連記事
- Gemini Sparkの日本提供状況と企業利用の注意点：個人AIエージェントが接続するデータ、変更操作、人の監督範囲を確認できます。
- Gemini for Workspace管理者設定：6ステップでの設定確認を確認できます。
- Workspace Geminiのプライバシーとトレーニング：データ取り扱いを確認できます。
- Workspace DLPによるCRMデータ保護：機密データ運用を確認できます。
- Drive顧客フォルダ設計テンプレート：共有ドライブ運用を確認できます。
- Workspace MarketplaceのCRM：アドオン導入前のチェックを確認できます。
- AI CRMとは？：AI支援を継続運用する設計の全体像を確認できます。
AIガバナンスを社内ルール化したい方へ
20項目の確認とポリシー文書化を、自社の業種・規模・既存ルールに合わせて整理します。AI CRMやエージェント契約前の確認リストとしての運用、教育・退出設計まで、ファネルAi編集部・監修チームが個別に確認します。
実装の落とし穴と継続改善
Google Workspace の各サービス（Forms、Drive、Chat、Calendar、Contacts、NotebookLM、Studio）を業務に組み込むときに共通する落とし穴は、「個別サービスの便利機能だけ使って、業務フローに統合しない」ことです。Forms で問い合わせを取っても、Sheets での案件 ID 採番、Chat での担当者通知、Calendar での初回連絡予定までを連動させないと、対応漏れが起きます。Drive で資料を整理しても、CRM の案件オブジェクトと URL で紐付けないと、商談時に資料が見つかりません。Chat で通知を飛ばしても、メンション先・件名規則・関連リンクが曖昧だと、重要通知が雑談に埋もれます。これらは個別の運用ルールではなく、業務フロー全体の設計問題です。
継続改善のサイクルは、月次の運用レビューと四半期のフロー棚卸しで作ります。月次では「未対応 SLA 超過」「Drive 共有範囲の逸脱」「Chat 通知のミュート率」の3指標を確認し、運用ルールを微調整します。四半期では、Workspace の新機能リリースとフロー設計の整合を確認し、不要になったルール・テンプレートを削除します。Workspace は四半期ごとに新機能が追加されるため、運用ルールが「古い前提」のまま固定されると、生産性向上の機会を逃します。AI（Gemini・AI 関数・NotebookLM）を併用する場合は、各サービスの DLP・監査ログ・退出設計を月次で確認し、四半期に一度プロンプト集の見直しを入れるのが現実的なリズムです。
