WorkspaceのGemini社内データ既定アクセスと遮断手順

Google Workspaceにおいて、AIアシスタントGemini（Googleが開発するマルチモーダルAIモデルファミリー）が既定でGmail、Googleドキュメント、Googleカレンダー、Google Chatなどの社内業務データにアクセスして回答を生成する設定になっていることが確認された。企業管理者は管理コンソールからアクセス権限を無効化できる。

データ学習への流用はないが社内横断アクセスに注意

Googleのポリシー上、Workspace内の企業データがGeminiのモデル学習に利用されたり、自社の組織ドメイン外に流出したりすることはない。またプロンプトや生成回答が他社と共有されることもない。

Geminiはプロンプトを受け取ると、リアルタイムのRAG（検索で得た情報を生成に組み込む手法）（検索拡張生成）技術を用いて社内インデックスを検索し、ユーザーがアクセス権を持つ情報をもとに回答を組み立てる。このため「外部流出」という観点でのリスクは低いものの、社内コンプライアンスや部門間での情報隔離において注意が必要となる。

社内ガバナンスにおけるリスクと無効化手順

企業内でAIアクセスを制限すべき主な理由は以下の通りである。

• ​部門間の情報隔離​: 人事評価、未公開取引、法務案件などの機密情報が、社内チャットやドキュメント経由で意図せずAIの回答に含まれ、他部門の従業員に閲覧されるリスク
• ​内部不正・コンプライアンス要件​: 顧客契約や規制基準で社内データのAIスキャン・取得が制限されている場合への抵触

管理者がこの機能を組織全体または部門単位で制御する手順は以下の通りである。

1. admin.google.com に管理者アカウントでログイン
2. 「Generative AI（生成AI）」メニューから「Gemini in Workspace」を選択
3. 「Workspace Intelligence Sources」ブロックを開く
4. 全社または組織部門（OU）単位で、連携を停止したいデータソース（Drive・Docs、Gmail等）を無効化する

なお、個別ユーザー単位での直接オフ設定は管理画面上で読み取り専用となっており、特定ユーザーのみ無効化したい場合は専用の組織部門（OU）やグループを作成して移動させる必要がある。

独自価値：日本の企業・IT管理者への実務的示唆

日本国内の企業においても、Google WorkspaceのGemini統合を導入する組織が増加している。本仕様はAIの業務利便性を高める一方で、従来のファイル共有権限（閲覧・編集権限）が緩く設定されている組織では、AIを介して想定外の社内情報が横断検索される危険性がある。

管理者は単に機能をオフにするだけでなく、自社のGoogle Drive共有設定やフォルダ権限の棚卸しを行い、最小権限の原則が徹底されているか確認することが推奨される。

分析・展望

エンタープライズ向け生成AIの導入が進むにつれ、セキュリティの主戦場は「AIベンダーによるデータ学習の有無」から「自社組織内でのガバナンスと権限設計」へとシフトしている。競合のエンタープライズ向けAIスイートと同様に、社内データの検索範囲とアクセス制御をきめ細かく管理できる体制づくりが企業のIT部門に強く求められている。

引用元：ZDNET