最新動向

MicrosoftがAI操作台帳を追加 Copilotの行動を記録し監査

Meliorra編集部 ・ 公開日
MicrosoftがAI操作台帳を追加 Copilotの行動を記録し監査

この記事の要点

MicrosoftがPurviewにAI Action Ledgerを追加した。Copilotエージェントが取った操作、参照したデータ、判断の理由を改ざんできない記録として残す。エージェントが業務を代行する時代に、誰が何をしたかを説明する備えになる。統制を求められる部門に効く。

結論

Microsoftが、統制ツールのPurviewにAI Action Ledgerを追加した。Copilotのエージェントが取った操作、参照したデータ、適用した判断の理由を、人が読める改ざんできない記録として残す。AIが質問に答えるだけでなく、業務を代わりに実行する段階に入ったことへの備えだ。エージェントが動いた後に「誰が何をしたか」を追えるようにする。統制や監査を求められる部門にとって、AIに操作を任せる前提を整える更新になる。

AI Action Ledgerで何が記録されるのか

AI Action Ledgerは、Copilotエージェントが実行したすべての操作を透明な記録として残す。どのデータにアクセスし、どんな理由でその判断に至ったかまで含まれるとされる。管理者は、Copilotが機密情報や個人情報に触れないよう、特定の作業で明示的に許可した場合を除いてアクセス範囲を絞れる。行動を記録し、権限を区切るという二つの統制を組み合わせる形だ。アクセス権限の考え方は生成AIのアクセス権限管理 誰がどのAIを使えるかを組織で制御するにまとめている。

背景には規制の動きがある。英国の情報コミッショナーオフィスは2026年7月、AIの安全機関と連携し、自律的な業務システムの責任に関する指針を出したとされる。機密の商用情報や個人情報を扱うエージェントについて、判断過程を説明し監査できる責任を組織に課すものだ。Microsoftは、エージェントの統制をAgent 365やDefender、Entra、Purviewへ寄せている。組織の代わりに動くAIには、身元と権限の境界、監視、行動の記録が要るという考え方だ。監査記録の基本は生成AIのログ・監査の考え方 企業が記録すべき情報と運用方法で確認できる。機能名や提供時期は変わりうるため、最新は公式で確認してほしい。

現場の実務にどう効くか

まず、社内でCopilotエージェントに任せている、あるいは任せる予定の操作を洗い出す。メール送信、記録の更新、承認の起票などだ。操作を実行するエージェントには、何をしたかを残す記録が要る。AI Action Ledgerのような台帳が、その要件を満たすかを確かめる。監査に必要な項目をあらかじめ決めておくと、記録の設定に迷わない。

次に、権限の境界を設計する。エージェントがどのデータに触れてよいか、どこから先は人の承認を挟むかを、業務ごとに決める。記録が残っても、触れてはいけない情報に触れてしまえば後の祭りだ。記録と権限の両方をそろえて初めて、AIに操作を任せられる状態になる。セキュリティ部門との進め方はセキュリティ部門とAI推進の協働 対立を避ける進め方、統制を一元化する他社の動きはSnowflakeがCortex AI Gatewayを発表 AIエージェントの統制を一元化が参考になる。

エージェントに操作を任せる前の確認事項

AIに操作を実行させる前に、最低限そろえておきたい点がある。第一に、そのエージェントが誰の権限で動くのかを明確にする。組織の代わりに動く以上、身元と権限の範囲がはっきりしないと、責任の所在が曖昧になる。第二に、どの操作までを自動で許し、どこから人の承認を挟むかを決める。メールの下書きは自動でよくても、送信の直前で人が確認する、といった線引きだ。第三に、何をしたかの記録を必ず残し、後から確認できる状態にする。

これらは、AIが業務を代行する範囲が広がるほど重みを増す。自動化の便利さだけを追うと、誰も気づかないうちにエージェントが機密に触れたり、誤った操作を実行したりする恐れがある。記録と権限、承認の三点をそろえてから任せるのが基本だ。ノーコードで業務用のAIを組む場合も同じで、作る前に統制の設計を済ませておきたい。作り方はCopilot Studioとは？ノーコードでAIエージェントを作る方法、機密を守るツールの見極めは機密情報を守るAIツールの選び方 企業がチェックすべき5つの観点にまとめている。

まとめ

Microsoftは、Copilotエージェントの操作を記録するAI Action LedgerをPurviewに加えた。AIが業務を代行する前提で、行動の記録と権限の境界を組織で整える動きだ。任せる操作を洗い出し、記録と権限をそろえてからエージェントに実行を任せたい。

出典

#Microsoft#Microsoft Purview#AIガバナンス#AIエージェント#最新動向

よくある質問

AI Action Ledgerとは何ですか。

Microsoft PurviewにあるAI Action Ledgerは、Copilotエージェントが取ったすべての操作を、人が読める改ざんできない記録として残すしくみです。参照したデータや適用した判断の理由も含めて残るとされます。エージェントが業務を代行したときに、何をしたかを後から追えるようにするものです。

なぜこうした記録が必要ですか。

AIが質問に答えるだけでなく操作を実行するようになると、組織の代わりに動いた行動を説明し監査できる必要が出てきます。英国の情報コミッショナーオフィスは2026年7月に、自律的な業務システムの判断過程を説明し監査できる責任を組織に課す指針を出したとされます。規制の詳細は変わりうるため、最新は公式で確認してください。

関連記事

最新動向

BaselayerがAIエージェントの身元確認基盤 35M調達

Baselayerは9月22日、35Mを調達しAIエージェントの身元確認基盤を公開した。誰が動かし何を代行できるかを検証する仕組みで、FISやProveらが参画。取引を任せる前の確認が実務課題になる。