「Gemini を全社で使い始めたら、ある社員が『役員の給与一覧が検索で出てきた』と言い出しました。調べたら、数年前に誰かが『リンクを知っている全員が閲覧可』でアップロードしたファイルが、ずっと放置されていたんです。悪意はなくても、こういうものが社内にどれだけ眠っているのか、把握できていません」——従業員50名ほどの会社で情シスを兼任する方から、こんな相談を受けました。クラウドで仕事を回すほど、「とりあえず共有をゆるめにしておく」が積み重なり、気づけば会社の機密が緩い設定のまま散らばっている、というのはよくある状況です。
これまでは、緩く共有されたファイルがあっても「URLを知らなければ辿り着けない」ため、実害が出にくいままでした。ところが Gemini のような AI が社内のドライブ全体を横断して検索・要約するようになると、話が変わります。AIは権限のあるファイルを片っ端から見つけてきますから、共有が緩いファイルほど、意図しない相手の目に触れやすくなる。本記事では、AI導入の前後で必ずやっておきたい「共有設定の棚卸し」を、発注者の視点で整理します。
AIは「アクセスできるもの」を全部見つけてくる
Gemini for Workspace のようなAIは、ユーザーがアクセス権を持つファイルの範囲でしか答えません。この設計自体は安全側です。問題は、その「アクセス権を持つ範囲」が、多くの会社で想定よりずっと広いことにあります。「リンクを知っている全員」で共有されたファイルは、社内の誰から見てもアクセス可能とみなされるため、AIの検索対象に入ります。つまり、今まで人が偶然たどり着かなかっただけのファイルが、AIによって一発で表面化するのです。
これは、AIが情報を漏らしているのではなく、もともと緩かった共有設定が、AIによって可視化されていると捉えるのが正確です。だからこそ、対策はAIを止めることではなく、共有設定そのものを正すことになります。社員が勝手にAIを使い始める前に会社としての線引きを決める話は生成AI利用ガイドラインの記事で扱いましたが、その土台として「そもそも何が誰に見えているか」を整えておく必要があります。
棚卸しで最初に見るべき3つの設定
共有設定の棚卸しは、次の3点から始めると漏れが少なくなります。
| 見るべき設定 | なぜ危ないか |
|---|---|
| 「リンクを知っている全員」で共有されたファイル | 社内の誰でも（AI経由でも）到達できる。機密が紛れていないか要確認 |
| 外部（社外ドメイン）と共有されているファイル | 退職した取引先や過去の協力会社に、いまも見えている可能性 |
| 個人アカウント（マイドライブ）に置かれた業務データ | 担当者が消えると失われ、権限管理も個人任せになる |
とくに個人任せになっているファイルは、退職や異動のたびに宙に浮きます。会社のファイルを個人管理から共有ドライブへ移す判断はマイドライブから共有ドライブへの移行記事で詳しく整理しています。棚卸しは「消す・絞る・共有ドライブに集約する」の3択で処理していくのが基本です。
「誰が見ているか」を条件で締める
棚卸しで現状を正したら、次は「これ以上ゆるまない仕組み」を入れます。管理コンソール側で、外部共有をドメイン全体で制限したり、特定のフォルダは社内限定に固定したりする設定を効かせておくと、個々の社員の判断に依存しなくなります。さらに、機密性の高いデータについては「どこから・どの端末からアクセスできるか」まで絞るコンテキストアウェアアクセスの考え方や、Googleにすら中身を見せないクライアントサイド暗号化（CSE）といった、より強い手立ても組み合わせられます。「棚卸しで現状を正す」と「設定で再発を防ぐ」は、必ずセットで考えてください。
AI導入は、共有を見直す絶好の機会
Gemini のようなAIの全社導入は、多くの会社にとって「見て見ぬふりをしてきた共有設定」と向き合う、またとないきっかけになります。緩い共有を放置したままAIを入れると事故の火種になりますが、逆に、この機会に棚卸しと再設定を済ませておけば、情報の見える化と安全性を同時に手に入れられます。「うちのドライブに機密が緩い設定で眠っていないか診断してほしい」「AIを全社に入れる前に、共有と権限を安全な形に整えたい」「個人任せのファイルを共有ドライブに集約して、退職があっても困らないようにしたい」——そうしたお悩みがあれば、グリームハブのGoogle Workspace導入・運用支援からお気軽にお問い合わせください。AIを安心して使える土台づくりを、棚卸しからご一緒します。
