マイクロソフト、社内AIエージェント統制の実績を公開

米マイクロソフトの社内IT組織（Microsoft Digital）は自社を最初の顧客に見立てた実践ガイド「Customer Zero（自社製品を自社組織で先行導入し運用ノウハウを蓄積する取り組み）」を公開し、社内での自律型AIエージェント作成者を月間約2,000人から20,000人規模へと10倍に拡大させたガバナンス手法を明らかにしました。自動トリアージエージェントを活用することで、ガバナンス統制を維持しながら開発プロセスの滞留を大幅に解消した実績が示されています。

自動判定と3層プラットフォームによる統制モデル

公開されたガイドによると、マイクロソフトは社内の約15万件に及ぶ個人開発環境を管理下に置きつつ、作成者の申請から公開までの摩擦を約50%から5%に低減させました。

統制の核となっているのが、申請されたエージェントを自動トリアージする3つの社内エージェントです。

• Risk-O-Meter: 申請内容のリスクプロファイルに基づき、案件を「緑（自動承認）」「黄（レビュー担当へルーティング）」「赤（自動却下）」に自動分類します。
• Action-O-Meter: 新規コネクタやMCP（モデルコンテキストプロトコル。エージェントと外部ツールの連携規格）サーバーの接続申請に対して同様の判定ロジックを適用します。
• Friction Meter: 作成者の離脱率や滞留時間を測定し、ガバナンス運用の痛点を可視化します。

また、利用者のスキルとリスク許容度に応じて作成プラットフォームを3層に分離しています。

プラットフォーム	主な対象者	担う役割	リスク責任の所在
M365 Copilot Agent Builder	全ナレッジワーカー	情報検索・ナレッジ参照のみ	プラットフォーム（組み込み）
Copilot Studio（マイクロソフトのノーコード/ローコードAIエージェント開発環境）	市民開発者・ビジネス部門	タスク完了・外部アクション実行	管理者（設定可能）
Azure AI Foundry	ソフトウェアエンジニア	高度なワークフロー自動化	組織（明示的）

さらに、60日間利用のないエージェントを検知して警告を発し、自動削除するライフサイクル管理（60日ルール）を適用して放置エージェントの乱立を防止しています。

過剰な制限が招くシャドーAIリスクと未確認の判定基準

ガイドの中でマイクロソフトは、「過度な制限はリスクを排除するのではなく、シャドーAIへ迂回させるだけである」と警鐘を鳴らしています。社内申請に何週間も待たされた社員は、統制外の外部生成AIに社内データを持ち出して作業を進めてしまうためです。

一方で、今回の発表には実務上の重要な留意点（未確認事項）があります。マイクロソフトは「緑・黄・赤」に分類して自動承認した実績を強調するものの、​​具体的にどのような条件（ルーブリック）で各色に判定しているのかの詳細な基準は公開していません​​。また、自動トリアージを行う「Risk-O-Meter」等の仕組み自体も製品として販売されているわけではなく、マイクロソフトが自前構築した内部エージェントにとどまります。

日本の企業への影響と分析・展望

日本国内でも多くの企業がCopilot Studioや生成AIツールの社内展開を進めていますが、「セキュリティ審査の遅延による活用停滞」や「作成されたエージェントの野良化」という同様の課題に直面しています。

今回のマイクロソフトの実践は、情報参照にとどまる低リスクなエージェントは自動承認で即時利用させ、外部更新アクションや未承認APIを伴う高リスクなものだけを人間が精査するという「リスクベーストリアージ」の有効性を示しています。企業がAIエージェントの社内普及を進めるにあたっては、すべてを一律に人手審査するのではなく、データ損失防止（DLP）ポリシーと連動した自動判定ルールの整備が不可欠になるとみられます。

引用元：Microsoft Inside Track