先に結論を書きます。Microsoft 365 Copilotは、社員がもともと開ける権限のあるファイルしか読みません。逆に言えば、今の共有設定がゆるければ、そのゆるさがそのまま検索結果や回答に出てきます。Copilotが新しい穴を開けるわけではありません。これまで「誰も探しに行かなかったから見えていなかった」ファイルが、質問ひとつで目の前に出てくるようになる、ということです。

那覇や浦添で数十人規模の会社を見ていると、SharePointやTeamsは「とりあえず動くように」作られたまま何年も使われていることが多くあります。初期設定の担当者がもう社内にいない、ということも珍しくありません。この記事では、導入後に実際に起きがちな困りごとを4つ取り上げ、それぞれ「なぜ起きるか」「導入前にどこを確かめるか」「小さな会社ならどの順で直すか」の順に整理します。最後に、そのまま使える点検表を付けました。

Copilotは「見えてしまう権限」を正直に映す鏡

Copilotに「来期の賞与の資料をまとめて」と頼むと、Copilotはその社員が開ける範囲のメール、Teamsのチャット、OneDriveやSharePointのファイルを横断して探します。ここで大事なのは、判断の基準が「その人が本来見るべきか」ではなく「システム上アクセスできるか」だという点です。

たとえば総務の方が、数年前に人事評価のExcelを「社内の全員」が開けるリンクで共有したとします。当時は上司ひとりに送るつもりだったのでしょう。リンクを知らない人は事実上たどり着けないので、これまで問題になりませんでした。ところがCopilotは社内検索の延長で動くため、この種の「知らなければ届かない」状態を、保護として扱ってくれません。

つまり導入前の点検とは、Copilotの設定をいじることではなく、自社のファイルの置き方と共有のしかたを棚卸しすることです。ここを飛ばしてライセンスだけ配ると、最初の一週間で誰かがヒヤッとする回答に出会う可能性があります。

失敗その1　給与表や人事評価が、質問ひとつで出てくる

なぜ起きるか。原因の多くは、個人のOneDriveで作ったファイルを「組織内のユーザー」向けリンクで共有したことにあります。共有ボタンを押したときの既定のリンク種類が社内全員向けになっていると、担当者は深く考えずにそのまま送ります。送られた側が一度でもリンクを開くと、そのファイルはその人の検索対象に入りやすくなります。給与計算を外注している会社でも、社労士さんとのやり取り用に作った一覧表が社内向けリンクで残っている、という形はよくあります。

導入前に確かめる場所。まずSharePoint管理センターの共有設定で、「既定のリンクの種類」が何になっているかを見ます。ここが組織全体向けなら、今後も同じことが起き続けます。次に、給与・評価・賞与・人件費といった言葉で、管理者とは別の一般社員のアカウントから検索してみてください。社員の立場で何が見えるかを確かめるのが、いちばん早い点検方法です。

小さな会社の現実的な直し方。全ファイルを洗い出すのは時間がかかりすぎます。先に既定のリンクを「特定のユーザー」に変えて、これ以上増えないようにします。そのうえで、給与・人事・役員関連のファイルを持っている人（多くは社長、総務、経理の数名）にだけ、自分のOneDriveの共有一覧を見直してもらいます。人数が少ない会社ほど、この「持っている人に絞る」やり方が効きます。

失敗その2　辞めた人の共有リンクが、生きたまま残っている

なぜ起きるか。退職時にアカウントを止めても、その人が作った共有リンクや、その人のOneDriveにあったファイルの扱いが決まっていないケースがあります。また、退職者が社外の取引先に送った「リンクを知っている全員」向けのURLは、アカウントの状態とは別に動くことがあり、誰も把握していないまま残りがちです。さらに、退職者のOneDriveの中身を後任に引き継いだ際、後任が「全員に見えるように」と雑に共有し直してしまう、というのもよくある流れです。

導入前に確かめる場所。Microsoft 365管理センターのユーザー一覧で、すでに辞めた人のアカウントがどういう状態か（ブロック済みか、ライセンスが残っているか、削除済みか）を確認します。あわせてSharePoint管理センターで、「リンクを知っている全員」向けの共有を許可しているかどうか、許可している場合に有効期限が付く設定になっているかを見てください。

小さな会社の現実的な直し方。まずは過去の退職者を一覧にし、アカウントとOneDriveの扱いを一人ずつ決めます。ここは人数が限られるので、半日あれば終わることが多いはずです。次に、匿名リンクに有効期限を付けるか、そもそも使わない設定にします。最後に、今後の退職手続きの書類に「共有リンクとOneDriveの扱い」を一行足しておくと、同じ穴が再び開きにくくなります。

失敗その3　全員参加のチームに、機密がいつの間にか置かれている

なぜ起きるか。Teamsでチームを作ると、裏側では同名のSharePointサイトができます。「全社連絡」「本社」のような全員参加のチームは便利なので、ファイルの置き場として使われがちです。そこに見積書の原本、取引条件の一覧、銀行とのやり取りの資料などが少しずつ溜まっていきます。また、SharePointサイトの権限に「外部ユーザー以外のすべてのユーザー」が丸ごと入っていて、サイト名からは想像できないほど広く公開されている例もあります。

導入前に確かめる場所。SharePoint管理センターのアクティブなサイトの一覧で、各サイトのプライバシー設定（パブリックかプライベートか）と、メンバーの人数を確かめます。全員参加のサイトについては、ドキュメントライブラリの中身をざっと眺めて、「全員が見てよいもの」以外が混ざっていないかを確認します。Teamsのチームがパブリック設定になっていると、社内の誰でも参加できる状態なので、ここも合わせて見ておきます。

小さな会社の現実的な直し方。全員参加のサイトは「誰が見ても困らないものだけ置く場所」と決め、機密になりそうなファイルは役員用・経理用など人数を絞ったチームへ移します。チームを細かく分けすぎると運用が続かないので、多くても3〜4つ程度の区分から始めるのが無理のない進め方です。整理の途中でどのファイルを動かしたかを簡単にメモしておくと、「あの資料どこへ行った？」という問い合わせにも答えやすくなります。

失敗その4　昔招いたゲストが、今もチームの中にいる

なぜ起きるか。ホームページ制作会社、税理士事務所、システム業者、イベントの共催先など、一時的にTeamsへ招いた社外の人がそのまま残っているケースです。ゲスト本人がCopilotを使って御社のデータを見ることは通常想定しにくいですが、問題は別のところにあります。ゲストが入っているチームは「社外の人も見ている場所」なのに、社員がそれを忘れて社内向けの資料を置いてしまう。こちらのほうが現実に起きやすい事故です。

導入前に確かめる場所。Microsoft Entra管理センター（旧Azure AD）のユーザー一覧で、ユーザーの種類が「ゲスト」の人を絞り込み、最終サインインの時期を確認します。Teams管理センターでは、ゲストアクセスが有効になっているか、どのチームにゲストがいるかを見られます。沖縄の会社だと、県外の協力会社や離島の取引先を招いた履歴が思った以上に残っていることがあります。

小さな会社の現実的な直し方。半年以上サインインしていないゲストから順に、招いた社員に「まだ必要か」を確認して削除します。続けて、ゲストがいるチームの名前に「（社外含む）」などと付けておくと、置き間違いがぐっと減ります。今後のために、ゲストを招けるのを管理者や特定の担当者に限る設定も検討してください。どこまで絞るかは業務の流れによるので、現場と相談して決めるのが現実的です。

4つをどの順で手当てするか

ここまでの4項目を一度にやろうとすると、日常業務の合間ではまず終わりません。おすすめは「これ以上広がらない設定」を先に入れ、それから「すでに広がっているもの」を片付ける順番です。具体的には、既定の共有リンクの種類を変える、匿名リンクに期限を付ける、ゲスト招待の権限を絞る、といった設定変更を最初の一日で済ませます。これだけで、点検している間に新しい穴が増えることを防げます。

その後、給与・人事・役員関連のファイル、退職者のアカウント、全員参加のサイト、残っているゲスト、の順に見直していきます。影響の大きいもの、人数が少なく短時間で終わるものから手を付けると、途中で止まっても効果が残ります。Copilotの導入はこの片付けが一巡してから、まず数名の試験利用で始めると、見落としがあっても気づける範囲に収まります。社内でAIをどう使っていくかの全体像は沖縄の中小企業のAI活用についての記事でも整理していますので、あわせてご覧ください。

導入前にそのまま使える点検表

ここまでの内容を一枚にまとめました。印刷して、管理者アカウントを持っている方と一緒に上から順に確認していく使い方を想定しています。

点検項目	確かめる場所	見るポイント	先にやる手当て
給与・人事評価の共有	SharePoint管理センター／一般社員アカウントでの検索	既定リンクが組織全体向けか、機密語で検索して何が出るか	既定リンクを「特定のユーザー」に変更し、担当者のOneDriveを見直す
退職者の共有リンク	Microsoft 365管理センター／SharePoint管理センター	退職者アカウントの状態、匿名リンクの許可と期限	退職者ごとに扱いを決め、匿名リンクに期限を付ける
全員参加のTeams・SharePoint	SharePoint管理センターのサイト一覧	パブリック設定か、全員参加サイトに機密が混ざっていないか	機密は人数を絞ったチームへ移し、置き場のルールを決める
放置されたゲスト	Entra管理センター／Teams管理センター	ゲストの最終サインイン、ゲストがいるチーム	不要なゲストを削除し、チーム名に社外を含む旨を付ける

表の右端の列だけを先にやっても、Copilot導入時のヒヤリはかなり減らせます。どの設定を選べるかは、契約しているMicrosoft 365のプランによって変わる部分もあるため、画面に項目が見当たらない場合は契約内容から確認してください。

まとめ　Copilotの前に、まず社内の「見え方」を整える

Copilotで社外秘が見えてしまうのは、Copilotのせいではなく、これまでの共有のしかたが表に出てくるからです。給与や評価のファイル、退職者のリンク、全員参加のチーム、残ったゲスト。この4つを導入前に一巡するだけで、導入後の不安はだいぶ小さくなります。

とはいえ、管理画面の場所や設定の意味がわかりにくく、どこから触ればよいか迷う会社も多いと思います。弊社では、沖縄の中小企業向けにMicrosoft 365の設定点検からAIの業務活用までをお手伝いしています。進め方や費用は会社の規模や現状によって変わるため、まずは状況をお聞かせください。AI活用の全体像はAIエージェント導入支援のページに、ご相談はお問い合わせフォームから受け付けています。