Microsoft Purview の DSPM（旧 DSPM for AI）で Copilot の使われ方を見る｜必要なライセンスと Business Premium でできること

Copilot を社員に配ったあと、「社外秘や個人情報を Copilot に入れていないか、見えるようにしておいてほしい」と頼まれたとします。調べると「Microsoft Purview の DSPM for AI」という機能が出てきますが、画面の名前は変わっているようで、E5 が要ると書いた資料もあり、自社の Business Premium で使えるのかが分かりません。

この記事では、DSPM for AI が今どの名前でどこにあるか、Copilot について何が見えるか、質問と答えの文を誰が読めるか、自社のライセンスの組み合わせで足りるかを順に書きます。そのうえで、DSPM を足さない会社が、使用状況レポート・監査ログ・DLP で代わりにできることを並べます。この記事で扱うのは Microsoft 365 Copilot と Copilot Chat です。次のものは扱いません。他社の AI アプリ、Microsoft Fabric（データ分析のサービス）や Security Copilot（セキュリティ担当者向けの AI）に入っている Copilot、ライセンスの価格です。なお、他社の AI アプリは、Purview の従量課金の設定が要る構成もあります。

書いているのは Microsoft 365 と生成 AI の導入を手伝っている当社で（ライセンスの販売はしていません）、DSPM の画面は当社では操作せず、Microsoft の公式の資料をもとにまとめています。

「AI 用 DSPM」が見つからないときは、［DSPM］を開く

以前の Purview には「AI 用データ セキュリティ態勢管理（DSPM for AI）」と「データ セキュリティ態勢管理（DSPM）」の2つの画面がありました。今はこの2つが1つにまとまり、名前は「データ セキュリティ態勢管理（DSPM）」（英語では Data Security Posture Management）です。以前の2つは、今は「AI 用 DSPM（クラシック）」「DSPM（クラシック）」と呼ばれています。Microsoft の説明では、以前の版にも引き続きアクセスできます。ただし、新しい機能はほとんど今の版にだけ足されます（出典は、Microsoft の公式の解説サイト Microsoft Learn の「データ セキュリティ態勢管理について学習する」というページ）。

開く場所は、Microsoft Purview ポータル（Purview の管理画面）の［ソリューション］＞［DSPM］です。Copilot に関係する画面は、以前の AI 用 DSPM の画面から、次の図の場所へ移っています（出典は Microsoft Learn の以前のバージョンとの対応表のページ）。初めて開くと、自社でまだオンになっていない最初の設定の作業（監査など）があれば、それを受け入れるよう画面で求められます。自社のデータが見え始めるまでには、1日ほどかかります。

以後、この記事では今の版を「DSPM」と書きます。検索で出てくる解説記事や Microsoft のブログには、以前の画面の名前で書かれたものもあります。メニューの名前が合わないときは、この対応で読み替えてください。

この記事に関連するサービス

Microsoft 365 Copilot 導入支援Copilotを、共有の見直しから配るところまで。詳しく見る →AI活用支援生成AIを、業務に組み込むところまで詳しく見る →Claude 導入支援Claudeを、会社の決まりの中で使える状態まで。詳しく見る →ChatGPT 導入支援ChatGPTを、会社の決まりの中で使える状態まで。詳しく見る →AIセキュリティ診断・規約・ルール整備AIを使う前に、出す前に。安全の確認と、規約・ルールの整備を詳しく見る →

DSPM で Copilot について分かること

ここからは、説明のための例を1つ使います。社員が、顧客の個人番号（マイナンバー）が入った表を Copilot Chat に貼り付けて、「見やすく整えて」と頼んだ、という場面です（作った例で、実際の出来事ではありません）。

DSPM の［検出］＞［アクティビティ エクスプローラー］（操作の記録を一覧で見る画面）には、AI とのやり取りだけを集めた［AI アクティビティ］タブがあります。ここに出るイベント（記録の種類）は次の4つです（出典は Microsoft Learn の「データ セキュリティ態勢管理の考慮事項」というページ。以下「考慮事項」と書きます）。

DSPM は、個人番号のような機密情報を、質問と答えの中から見つけます。見つけるのに使うのは、機密情報の種類（個人番号などを見分けるために Microsoft が用意した定義。上の表のイベントと同じ言葉ですが、ここでは見分けるための定義のことです）と、トレーニング可能な分類子（例を学ばせて、文書の種類を見分けさせる仕組み）です。つまり DSPM は、「その1回のやり取りに個人番号が入っていた」ことを、ポリシーを作る前から一覧にできます。監査ログには、使った事実と読まれたファイルまでは残りますが、質問に何が入っていたかは残りません。この点が、DSPM と監査ログの違いです。

ほかに Copilot に関係するのは、次の3つです。

• ［レポート］＞［Microsoft 365 Copilot］：Copilot について、機密データの使われ方や秘密度ラベル（ファイルに付ける「社外秘」などの区分）、ポリシーの状況を見るレポートです。以前の AI 用 DSPM の「Microsoft 365 Copilot の概要ページ」がここに移りました。
• ［検出］＞［データ リスク評価］：Copilot が読めてしまう、共有しすぎのサイトを見つけます。既定の評価は、組織でよく使われている上位100の SharePoint サイト（社内でファイルを共有するサイト）に対して、毎週自動で実行されます（出典は Microsoft Learn の「データ リスク評価によるオーバーシェアリングの防止」。オーバーシェアリングは、共有しすぎと同じ意味です）。
• ［タスクとアクション］＞［修復アクション］：ワンクリックで作れるポリシーの一覧です。たとえば、次の2つがあります。1つは、選んだ秘密度ラベルの付いたファイルを Copilot に処理させない DLP ポリシーです（ポリシーの名前は「DSPM for AI – Protect sensitive data from Copilot processing」）。もう1つは、Copilot とのやり取りから危険な使い方を見つける、インサイダー リスク管理（社内の人による危険な操作を見つける機能）のポリシーです。作ったポリシーは、DLP やインサイダー リスク管理の画面で直します。

ワンクリックのポリシーは、組織の全員に当たります。そのため、管理単位（部署などの単位で、管理者が受け持つ範囲を分ける仕組み）で範囲を絞られた管理者は、このポリシーを作れません。また、DSPM を60日を超えて誰も開かないと、Microsoft 365 のデータを更新する処理が止まります。管理者が開けば自動で再開しますが、表示が戻るまで少し遅れます。

質問と答えの文まで読めるのは、専用の役割を足した人だけ

DSPM を入れても、社員の質問がすべての管理者に見えるわけではありません。DSPM を開いて設定できるのは、次の3つです。Microsoft Entra（Microsoft 365 のアカウントと権限を管理する仕組み）のコンプライアンス管理者の役割、Entra の全体管理者（グローバル管理者）の役割、Purview のコンプライアンス管理者の役割グループ（いくつかの役割をまとめたもの）です。ところが、［アクティビティ エクスプローラー］で質問と答えの文を表示する操作は、この3つでも、セキュリティ閲覧者のような表示だけの役割でも許されていません。文を読むには「コンテンツ エクスプローラー コンテンツ ビューアー」か「Microsoft Purview データ セキュリティ AI コンテンツ ビューアー」の役割を、読む人に別に割り当てます（出典は Microsoft Learn の「データ セキュリティ態勢管理のアクセス許可」）。

例の場面に当てはめると、上の3つの管理の役割の人は、［AI アクティビティ］タブのイベントの一覧を見られます。そのため、その1回のやり取りに「機密情報の種類」の記録があることまでは分かります。貼られた表の中身まで確かめられるのは、「コンテンツ エクスプローラー コンテンツ ビューアー」か「Microsoft Purview データ セキュリティ AI コンテンツ ビューアー」の役割を割り当てた人だけです。

文が出ないこともあります。AI の操作のイベントには、質問と答えの文が毎回出るとは限りません。1回のやり取りの文が、続けて並ぶ複数の記録にまたがって出ることもあります。また、利用者のメールボックスが Exchange Online（Microsoft 365 のメールのサービス）に無い場合、文は表示されません。

DSPM 以外にも、電子情報開示（訴訟や調査のために社内のデータを探して集める機能）やコミュニケーション コンプライアンス（社員のやり取りから不適切な内容を見つける機能）で、文を読む方法があります。どの方法で誰が何を読めるかは、「管理者は社員の Copilot のやり取りを見られるか」の記事にまとめています。

Business Premium の基本ライセンスで DSPM が使えるとは、Microsoft の資料に書かれていない。E5 かアドオンかを確かめる

例の場面で、個人番号が入ったやり取りを DSPM で後から一覧にしたいとします。その一覧が自社のライセンスの組み合わせで見られるかを、Microsoft の資料から分かる範囲で、組み合わせごとに並べます。

E5・E5 Compliance の会社：Microsoft の資料で、DSPM の要件として挙がっているのは、この組み合わせです。Microsoft のDSPM の利用ガイド（英語の PDF）は、要件を「To access and use DSPM for AI, you need a Microsoft 365 E5 or Microsoft 365 E5 Compliance license.」と書いています。AI とのやり取りを扱うには、利用者の Microsoft 365 Copilot のライセンスも要るとしています。ほかに、次の機能も E5 か E5 Compliance で使える項目として挙がっています。DLP・インサイダー リスク管理・コミュニケーション コンプライアンスのポリシーの推奨（作るとよいポリシーを示し、すぐ作れるようにする機能）、既定とカスタムのデータ リスク評価、アプリとエージェントの一覧です。このガイドは2025年7月のもので、統合前の版を説明しています。

E3 の会社：同じガイドが Microsoft 365 E3 で使えるとしているのは、次の2つです。1つは、分類と秘密度ラベル付けのポリシーの推奨と、そのポリシーをすぐ作る機能です。もう1つは、監査の記録だけを使うレポートです。このレポートについて、ガイドは「audit only – no prompt/response visibility」と書いており、質問と答えは見えません。E3 の項目には、例の場面の「個人番号が入ったやり取りの一覧」に当たるものは挙がっていません。

Business Premium だけの会社：ガイドの要件には、Business Premium は挙がっていません。Microsoft Purview サービスの説明という資料（Purview のどの機能がどのライセンスで使えるかをまとめた Microsoft の資料。以下「サービスの説明」と書きます）にも、Business Premium で DSPM が使えるかを示す行はありません。この組み合わせで使えるかどうかが分かるのは、DSPM の周りの機能です。「サービスの説明」の表では、次のとおりです。

例の場面に当てはめると、Business Premium だけでも、個人番号を含む質問を止める DLP と、使った事実を残す監査（標準）は使えます。やり取りを後から一覧にする DSPM が、この組み合わせで使えるとは、資料に書いてありません。

Business Premium にアドオンを足す会社：Business Premium の会社で、DSPM for AI が資料に出てくるのは、この組み合わせです。2025年9月3日の Microsoft のBusiness Premium 向けアドオンの発表（英語）では、「Microsoft Purview スイート for Business Premium」の内容として「Microsoft Purview Data Security Posture Management (DSPM) for AI」が挙がっています。「サービスの説明」によれば、このアドオン（と「Microsoft Defender + Purview スイート for Business Premium」）を足すには、Business Premium の基本ライセンスが必要です。また、アドオン全体で合計300シート（ライセンスの数）が上限です。「サービスの説明」の DLP とコミュニケーション コンプライアンスの表には、アドオンの列がありません。そのため、そこに並ぶ機能がアドオンで使えるかは、この表からは分かりません。表とは別に確かめます。

今の版の「考慮事項」のページは、前提条件として「この Microsoft Purview ソリューションのサポート ライセンスがあり」と書き、詳しくは「サービスの説明」を見るよう案内しています。その「サービスの説明」は、AI 用 DSPM のライセンスについて、「AI 用 DSPM（クラシック）」の考慮事項のページを見るよう案内しています。その「AI 用 DSPM（クラシック）」の考慮事項のページの前提条件には、プランの名前は書いてありません。そのため、DSPM を目当てに買い足すなら、契約の前に、販売店か Microsoft に次の2点を確かめることをお勧めします。1つは「自社の Business Premium＋アドオンで、DSPM の［AI アクティビティ］タブとデータ リスク評価が Copilot について使えるか」、もう1つは人数の上限です。E5 と E3 の違いの全体は、「Microsoft 365 E3・E5・E7 の違い」の記事にあります。

DSPM を足さない会社が、代わりにできること

DSPM の良さは、「1か所で見られる」ことです。知りたいことの多くは、Business Premium でも別々の画面で追えます。例の場面に当てはめると、次のように分かれます。

• 誰がどれだけ使っているか：Microsoft 365 管理センター（Microsoft 365 全体の管理画面）の Copilot の使用状況レポートで見ます。使われていないライセンスの見つけ方は、「Copilot の利用状況レポート」の記事にあります。
• 誰がいつ使い、Copilot がどのファイルを読んだか：Purview の監査ログで、記録の種類「CopilotInteraction」を探します。その前に、自社で監査がオンになっているかを確かめておきます。確かめ方と検索の手順、保持の日数は、「監査ログの検索と保持期間」の記事にあります。Copilot の記録に何が入って何が入らないかは、「管理者は社員の Copilot のやり取りを見られるか」の記事にあります。
• 個人番号を含む質問を止める：例の場面に直接効くのはこれです。DLP のポリシーで、場所（ポリシーを当てる対象）に Microsoft 365 Copilot と Copilot Chat を選び、機密情報の種類を含むプロンプト（Copilot への質問や指示の文）を処理させないようにします。「サービスの説明」では、この使い方は Copilot と Copilot Chat のすべての利用者が使えるとされています。ただし、Copilot の場所の DLP を説明した Microsoft Learn のページでは、この機能はプレビュー（正式に公開される前の段階）とされています。そのページは「Microsoft Purview データ損失防止で Microsoft 365 Copilot と Copilot Chat との対話を守る方法」です。マイナンバーの機密情報の種類の選び方と、シミュレーション モード（以前のテストモード）での試し方は、「DLP でマイナンバー・カード番号の送信を止める」の記事にあります。ただし、その記事の手順で選んでいる場所は、メール・SharePoint・OneDrive です。
• Copilot が読めてしまうサイトを見つける：SharePoint 管理センター（SharePoint の管理画面）のサイトのアクセス許可のレポートで、直すサイトの順番を決めます。手順は「Copilot 導入前のオーバーシェアリング対策」の記事にあります。Copilot のライセンスで使える SharePoint Advanced Management（SharePoint の管理の機能を足す製品）の範囲は、「SharePoint Advanced Management」の記事にあります。
• 入れた内容が学習に使われないか：これは、管理者が設定で見張るものではありません。職場のアカウントで使う Copilot について、Microsoft が約束している扱いで、名前はエンタープライズ データ保護です。詳しくは「Copilot に入力した内容は学習に使われるか」の記事にまとめています。

足りないのは、次の2つです。「どのやり取りに個人番号が入っていたか」を後から一覧で見ることと、秘密度ラベルの付いたファイルを Copilot に処理させない DLP です。前者は、監査ログの記録の項目にありません。後者は、上の「サービスの説明」の表で、Business Premium が「いいえ」です。この2つが社内の規程や取引先との約束で求められているかどうかで、DSPM（を含むプラン）を足すかが決まります。

DSPM を入れる前に、読む人と開く頻度を決める

DSPM を足すと決めたら、画面を開く前に2つを決めておきます。

1つ目は、質問と答えの文を読む人です。文を読めるのは、専用の役割を割り当てた人だけです。全体管理者も、この役割が無ければ文は読めません。逆に、役割を割り当てた人は、社員の質問を読めるようになります。そのため、誰に割り当てるか、どんなときに読むかを先に決めます。社員にも、「Copilot とのやり取りは会社の記録として残り、決まった担当者が決まった場面で読むことがある」ことを、社内の規程や案内で示しておくことをお勧めします。Copilot で起きうるリスクの全体は、「Copilot のセキュリティリスク」の記事にあります。

2つ目は、開く頻度と担当です。60日を超えて誰も開かないと、データの更新が止まります。月に一度、［AI アクティビティ］タブの「機密情報の種類」と［データ リスク評価］の結果を見る担当を決めておけば、更新は止まりません。見つかったことを、DLP やサイトの権限の見直しにつなげることもできます。Copilot の管理の設定がどの画面に分かれているかは、「Copilot の管理設定の地図」の記事で確かめられます。

この記事の確かめ方

根拠にしたのは、次の資料です。Microsoft Learn の DSPM の各ページとアクセス許可の表、「サービスの説明」、Microsoft の DSPM の利用ガイド（2025年7月の PDF）、Microsoft Security Community Blog（Microsoft のセキュリティの公式ブログ）に載った Business Premium 向けアドオンの発表です。どれも2026年11月2日に開いて読みました（Microsoft Learn は日本語版と英語版の両方）。画面の名前は、Microsoft Learn の日本語版の表記に合わせました。日本語版でメニュー名に英語が混じるところは、英語版と突き合わせています。

「サービスの説明」の DLP とコミュニケーション コンプライアンスの表で、英語版の「No」に当たる欄は、日本語版では「不要」となっています。この記事では、英語版の表記に合わせて「いいえ」と書きました。DSPM の画面は、当社では操作していません。そのため、Business Premium だけの環境で DSPM の画面がどこまで開けるかは確かめていません。アドオンの価格は米ドルの表示しか確かめていないため、載せていません。資料は更新されることがあるので、契約の前に最新の版を確かめることをお勧めします。

まず「使った事実」と「止めること」から始める

「Copilot の使われ方を見えるようにしてほしい」と頼まれたら、最初に、頼んだ人が知りたいのがどれなのかを確かめることをお勧めします。「使っている量」「読ませたファイル」「機密情報が入ったか」「質問の文」の4つです。知りたいのが「使っている量」と「読ませたファイル」で、あわせて「機密情報を含む質問は止めたい」ということなら、今の Business Premium のまま始められます。「機密情報が入ったか」と「質問の文」まで求められたときに、DSPM を足すかを考えます。

Copilot を入れる前後の管理の作業を、どの順に済ませるかは、「Microsoft 365 Copilot の導入手順」の記事にまとめています。DLP や監査の設定を自社に合わせて決めるところから一緒に進めたい場合は、Microsoft 365 の導入支援で受けています。