「AIは使わせたいが、社内データを読めるものを私物のPCから触られるのは困る」。この一言で止まったまま、Gemini の設定が全社オフになっている会社は珍しくありません。
止まる理由は、判断材料が足りないからではなく、選択肢がオンかオフの二択しかないと思われているからです。 情報システムの担当者としては、許可して事故が起きたときに説明できる根拠がほしい。しかし「許可する／しない」しか設定項目がないなら、安全側に倒すしかありません。
2026年9月8日から、Gemini Enterprise に対してコンテキストアウェアアクセス（CAA）のポリシーを管理コンソールから適用できるようになりました。「誰に許可するか」ではなく「どういう状態のときに許可するか」を書ける設定です。
CAA は何を判定しているのか
コンテキストアウェアアクセス自体は Google Workspace に以前からある仕組みで、アプリへのアクセスを許可するかどうかを、ユーザーのアカウントだけでなく接続時の状況で判定します。
判定に使える属性には、端末が会社の管理下にあるか、画面ロックやディスク暗号化が有効か、どの地域からの接続か、といったものが含まれます。今回の変更は、この仕組みの適用先に Gemini Enterprise が加わった、という位置づけです。
重要なのは、管理対象の端末だけでなく個人所有の端末にも属性を適用できる点です。BYOD を全面禁止していない組織では、ここが実務上の分かれ目になります。
Googleの公式例では、適用するアクセスレベル・対象アプリ・ポリシーの動作を確認してから割り当てます。 出典：Google Workspace公式資料。
既存のポリシーを流用できる
すでに Gmail やドライブに対して CAA ポリシーを運用している組織なら、同じポリシーを Gemini Enterprise に割り当て直すところから始められます。ただし、その条件が Gemini Enterprise の利用者・接続方法にも適しているかは改めて検証します。
適用の単位は組織部門（OU）またはグループです。全社一律ではなく、部署ごとに条件を変えられます。
「オフのまま」の代わりに書ける条件
具体的にどう設定を組むかは、何を怖がっているかによって変わります。よくある3つの懸念に対応させると、次のようになります。
社外の私物PCから機密文書を要約されるのが怖い場合。 会社管理の端末からのみ許可する条件にします。私物端末では Gemini Enterprise へのアクセスが遮断されるため、社内データを引き当てる経路がそこで閉じます。
海外からのアクセスを想定していない場合。 特定の地域からのアクセスに限定する条件を作れます。出張者がいる組織では、対象を出張の多い部署だけ緩める、といった分け方になります。
端末の状態が不明なまま使われるのが怖い場合。 画面ロックやディスク暗号化が有効であることを条件にします。この条件は、紛失時に何が起きるかという説明を求められたときに、そのまま根拠として使えます。
適用前に確認しておくこと
Gemini Enterprise の購入と、CAA に対応するエディションの両方が前提です。 対象は Enterprise Standard / Plus、Education Standard / Plus、Frontline Standard / Plus、Enterprise Essentials Plus、Cloud Identity Premium です。通常の Workspace の Gemini 機能が使えるだけで対象になるわけではありません。今回の案内は Google サインインによる Gemini Enterprise への認証に関する制御です。
ロールアウトは段階的です。 2026年9月8日から順次提供が始まり、管理コンソール上で設定項目が見えるまでに最大15日程度かかる形になっています。設定画面に項目が出てこない場合、設定が間違っているのではなくまだ届いていない可能性があります。
条件を厳しくしすぎると業務が止まります。 会社管理端末に限定する条件を全社に一括適用すると、私物端末で利用していた人がアクセスできなくなる可能性があります。会社管理端末を使う外出者まで遮断されるかは、IP アドレスなど他の条件との組み合わせ次第です。セキュリティ設定は影響の小さいものから順に当てるのが原則です。まず1つの組織部門で試し、問い合わせが出ないことを確認してから広げてください。
アクセス制御だけでは足りない部分
CAA は「入口」の制御です。入った後に何を読めるかは、別の仕組みが担います。
Gemini Enterprise が参照するデータは、接続するデータソースの権限・ACL 連携・コネクタ設定も確認する必要があります。したがって、共有設定が緩いままの状態で入口だけ締めても、許可された端末からは同じように広い範囲を読めます。 Workspace 側の保護設定を検討するときは、DLP とドライブラベルで AI からの参照を制限する設定の対象アプリ・対応範囲も確認してください。Gemini Enterprise の各コネクタに同じ制御が適用されるとは限りません。
そして、誰が何を聞いたかを後から確認する話も、CAA の外側です。Gemini の利用状況については監査ログで管理者が確認できる範囲が広がってきているので、入口・参照範囲・記録の3つを分けて考えると設計が整理できます。
次にやること
いま Gemini を全社オフにしているなら、その理由を1行で書き出してください。「私物端末が怖い」「海外拠点からの接続が管理できていない」など、具体的な文になるはずです。
書き出した理由が、上に挙げた属性のいずれかで表現できるなら、それは全面禁止ではなく条件付き許可で扱える課題です。全面禁止だけで代替手段を用意しないと、管理外の生成AIを使う動機が残ります。 そちらのほうが、管理者から見える情報は少なくなります。
組織部門ごとのアクセス条件の設計、既存 CAA ポリシーの棚卸し、AI が参照できるデータ範囲の整理については、グリームハブの IT・Google Workspace 無料相談で承っています。組織の規模と現在の端末管理の状況によって適した進め方が変わるため、範囲は個別にお見積りします。お問い合わせからご相談ください。
