Google WorkspaceでGeminiなどのAI機能を業務に広げると、設定が正しいかどうかに加えて、「誰が確認し、その証拠がどこにあるか」を説明できるかが問われます。このチェックリストは、設定の手順書ではなく、組織としての確認状況を点検するための表です。
Google WorkspaceのAIガバナンスは、利用範囲、データの扱い、共有権限、ログ、教育、退出の6分野・20項目で点検し、項目ごとに「確認する場所」「確認担当」「残す証跡」を決めておくと監査や引き継ぎに耐えられます。管理コンソールでの設定手順はGemini for Workspace管理者設定ガイドに任せ、この表では確認したかどうかと、その記録の置き場所を管理します。
要点
- Workspace AIガバナンスは、利用範囲・データの扱い・共有権限・ログ・教育・退出の6分野20項目で点検します。
- 各項目に確認する場所、確認担当、残す証跡を決めておくと、監査や担当者交代のときに確認状況を説明できます。
- 管理コンソールの設定手順は管理者設定ガイドに任せ、このチェックリストでは確認の有無と記録の置き場所を管理します。
20項目の点検表：確認場所・担当・証跡
設定の細かな手順は管理者設定ガイド、データの扱いはWorkspace Geminiのプライバシーとトレーニングを参照してください。担当は一般的な分担の例で、自社の体制に合わせて置き換えます。
| # | 確認項目 | 確認する場所 | 確認担当 | 残す証跡 |
|---|---|---|---|---|
| 1. 利用範囲 | ||||
| 1 | Geminiを使える組織部門・グループが方針どおりか | 管理コンソールの生成AI設定 | Workspace管理者 | 設定画面の記録と変更日 |
| 2 | 試行の対象部署・期間・成功条件が決まっているか | 社内の導入計画 | AI推進担当 | 承認済みの導入計画 |
| 3 | 部署ごとにAIで「やる業務・やらない業務」が決まっているか | 利用ガイドライン | 各部門責任者 | 部署別ガイドラインの版 |
| 4 | 採否・契約条件・人事評価などの判断にAIを使わないルールがあるか | 利用ガイドライン | 法務・人事 | ガイドラインの該当条項 |
| 2. データの扱い | ||||
| 5 | 学習への利用に関する契約上の扱いを確認したか | Google Workspaceの生成AIに関するプライバシー説明、契約書 | 情シス・法務 | 確認日と参照した文書 |
| 6 | スマート機能（パーソナライズ）を使わせる範囲を決めたか | 各サービスのスマート機能設定 | Workspace管理者 | 設定の記録 |
| 7 | 個人情報・契約情報を含むファイルへのGeminiのアクセスを制限したか | Gemini向けDLP（対象エディションのみ）、共有ドライブの権限 | 情シス・セキュリティ | DLPルールの設定と監査結果 |
| 8 | 第三者のAIアドオンのデータの扱いと解約時の削除を確認したか | アドオンの規約、Marketplaceのアクセス許可 | 情シス・調達 | 確認したスコープと規約の版 |
| 3. 共有権限 | ||||
| 9 | 共有ドライブとマイドライブの使い分けが決まっているか | Drive運用ルール | 各部門責任者 | 運用ルールの版 |
| 10 | 外部共有と「リンクを知っている全員」の棚卸しを定期的に行っているか | Driveの監査ログ、共有設定 | Workspace管理者 | 棚卸しの実施記録 |
| 11 | 退職・異動時の権限移管手順があるか | 人事と情シスの手順書 | 情シス・人事 | 手順書と実施チェックリスト |
| 4. ログ・監査 | ||||
| 12 | Geminiの監査ログを誰がどの頻度で見るか決まっているか | レポート → 監査と調査（Gemini for Workspaceのログイベント） | セキュリティ担当 | 定例レビューの記録 |
| 13 | 6か月より長くログを残す必要があるか判断したか | ログの書き出し設定 | 情シス・法務 | 保持方針の文書 |
| 14 | 一時チャット・会話削除の可否とVault保持の関係を部署ごとに決めたか | Geminiアプリの設定、Vaultの保持ルール | Workspace管理者・法務 | 部署別の設定と保持ルール |
| 5. 教育 | ||||
| 15 | 新入社員・異動者向けにAI利用ルールの研修があるか | 研修計画 | 人事・AI推進担当 | 受講記録 |
| 16 | 部署ごとの業務テンプレート（プロンプト集）があるか | 共有ドライブ | 各部門責任者 | テンプレートの版と更新日 |
| 17 | 違反や懸念を報告する窓口と差し戻しの流れがあるか | 社内窓口の案内 | 情シス・法務 | 受付記録 |
| 6. 退出 | ||||
| 18 | AIアドオン解約時のデータ削除が契約に書かれているか | 契約書 | 調達・法務 | 該当条項 |
| 19 | 退職者のWorkspaceとAIアプリへのアクセスを即日止める手順があるか | アカウント停止の手順書 | 情シス | 停止の実施記録 |
| 20 | 会議の録音・議事録の保管期限と削除が決まっているか | Meet・Driveの保持ルール、Vault | 法務・情シス | 保持ルールの文書 |
見直しの頻度は、データの扱いとログ・監査を月次、利用範囲・共有権限・教育を四半期、退出を退職・解約のつどにすると、点検が途切れにくくなります。Drive側の共有設計は Drive顧客フォルダ設計テンプレート をご覧ください。
点検表とあわせて確認するWorkspaceの保護機能
Google Calendarでは2026年7月に、代理で予定を編集できても非公開予定の詳細は見えない共有権限 Make changes (see private events as free/busy) が追加されました。役員や採用責任者のカレンダーを代理編集させる場合は、この権限を使うかを項目10の棚卸しに含めます。
予定の説明欄やiOSの管理対象アプリ間の受け渡しのように抜けやすい経路は、Calendar DLPとmanaged third-party apps 保護で確認できます。
ログやデータを6か月より長く保全する必要がある場合は、2026年6月に案内されたincremental exportsで、組織データを自社のGoogle Cloud Storageへ定期的に書き出す方法があります。対象エディションは限られるため、自社の契約で使えるかを確認します。
AI利用が広がると、1つのログインで触れられるデータも増えます。Windows版Chromeでセッション情報を端末に結び付けるDBSCが2026年5月に一般提供されたため、セッション乗っ取り対策としてMFAや端末管理と合わせて確認します。
AIエージェント・AI CRM導入前の使い回し
本チェックリストはWorkspace Gemini向けですが、AIエージェント・AI CRM・第三者アドオンを契約するときの確認リストとしてもそのまま使えます。「データの扱い」「共有権限」「ログ・監査」「退出」の4分野は、SaaS全般の契約前確認の最低ラインです。
導入のしかたは AI CRMとは？ や Workspace MarketplaceのCRM をあわせて参照してください。
よくある質問
どのセクションから着手すべきですか？
「データの扱い」「共有権限」が最優先です。事故が顕在化したときの被害が大きいため、Day 1から確認します。
中小企業でも全項目チェックする必要がありますか？
20項目は最低ラインです。規模が小さくても、外部共有・退職処理は同じリスクがあります。簡略化するならログ・監査の頻度を下げるなど、頻度で調整します。
ポリシー文書はどこに置くべきですか？
社内Wikiまたは共有ドライブの「ポリシー」フォルダが一般的です。閲覧権限は全社員、編集権限は管理者に限定します。
違反が見つかった場合の対応フローは？
1次対応者・2次エスカレーション先・記録方法を最初に決めます。情報セキュリティ・人事・法務の3部門が関わるケースが多くなります。
AIエージェント契約時に追加で確認すべきことは？
OAuthスコープ・モデル・データレジデンシー・SLA・退出設計の5項目です。Marketplace側の確認手順は Workspace MarketplaceのCRM を参照してください。
監査ログのレビュー頻度はどう決めますか？
業種・規模による差はありますが、月次レビュー＋四半期サマリが現実的な最低ラインです。BigQuery / Looker Studioに流すと観測が継続しやすくなります。
証跡は何で残せばよいですか？
設定画面の記録と変更日、承認済みの文書の版、定例レビューの記録など、あとから第三者が確認できる形で残します。置き場所は共有ドライブのポリシー用フォルダなど1か所に決めます。
