GeminiはGoogleの生成AIで、Google Workspaceの中ではGmailやドキュメントの横の画面から、単体ではgemini.google.comやスマートフォンのアプリから使える。Googleは2025年1月15日に、GeminiをWorkspaceのBusinessとEnterpriseのプランに含め、アドオンを買わなくても使えるようにした。会社がWorkspaceのBusinessかEnterpriseのプランを使っていれば、Geminiは追加の契約なしで社員の手元にありうる。
だから「Geminiを入れるか」より先に、「すでにあるGeminiをどう扱うか」を決めることになる。この記事は、2026年10月24日時点のGoogleの公式ヘルプ（生成AIのプライバシーハブ、Geminiアプリのプライバシーに関するお知らせ、管理者向けのヘルプ）を読み、企業が確かめることを整理する。ChatGPTやCopilotも含めた学習の設定の比較は生成AIに学習させない設定に、Microsoft側の同じ論点はMicrosoft 365 Copilotのセキュリティに書いた。
Google Workspaceと個人版で、データの扱いはどう違うか
最初に分けるべきは、どのアカウントで使っているかだ。同じGeminiでも、会社のWorkspaceのアカウントと、個人のGoogleアカウントでは、適用される規約もデータの扱いも違う。Geminiアプリのプライバシーに関するお知らせには、職場や学校のGoogleアカウントでは別のデータの扱いの規約が適用されることがある、と書かれている。
| 項目 | Google Workspaceのアカウント | 個人のGoogleアカウント |
|---|---|---|
| 学習に使うか | 顧客の事前の許可や指示なしには、モデルの学習に使わない | Keep Activityがオンなら、生成AIのモデルの学習を含むサービスの改善に使う |
| 人による確認 | 内容は人に確認されない | 会話の一部を、訓練を受けた確認者が読む |
| 会話の保存 | 管理者が自動削除を3か月、18か月、36か月から選ぶ。既定は18か月 | 既定で18か月。3か月、36か月、自動削除しないも選べる |
| 履歴をオフにしたとき | 管理者が組織の会話の履歴を管理する | オフでも会話は72時間アカウントに残る |
| 確認された会話 | 該当しない | 最長3年保存される |
個人版のお知らせには、確認者に見られたくない機密の情報は入れないように、とはっきり書かれている。私の見方では、企業がいちばん先に決めるべきことは、業務で個人のGoogleアカウントのGeminiを使わせないことだ。Workspaceの側をどれだけ整えても、社員が個人のアカウントで同じ作業をすれば、表の右の列の扱いになる。社内でどのAIがどのアカウントで使われているかを調べる手順はシャドーAIの見つけ方にまとめた。
Workspaceの側で約束されていること
Googleの生成AIのプライバシーハブは、Workspaceで使うGeminiについて次のように説明している。Geminiとのやり取りは組織の中にとどまる。Geminiは既存のGoogle Workspaceの権限に従う。第三者の認証としては、SOC 1/2/3、ISO 9001、ISO/IEC 27001、27701、27017、27018、42001を取得し、HIPAAの対象の業務にも対応できる、としている。
また、Geminiアプリは、多くのWorkspaceのエディションでコアサービスになった、とも書かれている。コアサービスとは、Workspaceの契約の条件がそのまま適用されるサービスのことだ。ただし一つ注意点がある。プライバシーハブは、Gemini Notebookのデータには、組織のファイルの共有設定とデータリージョンの設定が適用されない、と書いている。データの置き場所を地域で決めている会社は、どの機能がその決めごとの外にあるかを、機能ごとに確かめる必要がある。
既存の共有権限が、そのままGeminiの見える範囲になる
「Geminiは既存の権限に従う」は安心材料に聞こえるが、私の見方では、これが導入のときのいちばん大きな論点だ。Geminiは、利用者がもともと開けるファイルやメールしか使わない。言い換えると、利用者が開けるものはすべて、Geminiに聞けば答えの材料になりうる。
社内のドライブには、「リンクを知っている全員」で共有したままの資料や、部署の外まで閲覧できる人事・経営の資料が残りがちだ。これまでは、その場所を知らなければ見つからなかった。Geminiに「来期の組織変更について教えて」と聞けば、検索より手軽に見つかる。権限の設定は変わっていないのに、見えやすさが変わる。
Geminiアプリには、Gmail、Google ドライブ、カレンダーなどの中身から情報を探す機能（管理コンソールでは「Workspace apps」の設定）がある。管理者向けのヘルプによると、この機能を使うにはGeminiの会話の履歴がオンになっている必要がある。共有の設定を見直す前にこの機能を全社で使えるようにすると、上の問題がそのまま表に出る。
この構図はMicrosoft 365 Copilotでも同じで、AIの道具ではなく、社内の共有設定の問題だ。RAGで社内文書に答えるAIを作るときの権限の考え方はRAG構築の進め方に書いた。
管理者が切り替えられる設定
Workspaceの管理コンソールでは、Geminiを部分的に止めたり、対象の人を絞ったりできる。管理者向けのヘルプから、主な設定を並べるとこうなる。
| 設定 | 何に効くか（公式ヘルプ） | 注意点 |
|---|---|---|
| Geminiアプリのオン・オフ | gemini.google.com、Geminiのモバイルアプリ、Chrome内のGemini | Workspaceの各サービスの中のAIの機能には効かない |
| Workspaceのサービスの中のGeminiの機能 | Gmail、カレンダー、ドライブ、ドキュメント、スプレッドシート、スライド、フォーム、Meet、Chatなどのサービスごとに、機能と横の画面をオン・オフ | 既定はオン。対応するエディションが決まっている |
| Workspace apps（Geminiアプリから各サービスの中身を探す） | Gmail、ドライブ、カレンダーなどの中身をGeminiアプリが探せるか | Geminiの会話の履歴がオンである必要がある |
| 会話の履歴と自動削除 | Geminiアプリの会話を残すか、何か月で消すか | 3か月、18か月、36か月から選ぶ。既定は18か月 |
| クライアントサイド暗号化（CSE） | 機密の情報へのGeminiのアクセスを制限できる | どの情報を暗号化するかを、先に決める必要がある |
どの設定も、組織部門か設定グループの単位で変えられる。両方に属する人には、設定グループの設定が優先される。変更が反映されるまでに最大24時間かかることがある、とヘルプは書いている。
見落としやすいのは表の1行目と2行目の関係だ。Geminiアプリを止めても、Gmailやドキュメントの中のGeminiの機能は別の設定で、既定はオンになっている。「Geminiを止めた」つもりで片方しか止めていない、ということが起きうる。
導入の前に決めることの一覧
ここまでを、導入の前に決めることとしてまとめる。項目の選び方は私の見方による整理だ。
| # | 決めること | 決める人の目安 |
|---|---|---|
| 1 | 個人のGoogleアカウントのGeminiを、業務で使わせないことを規程に書く | 情報システム、法務 |
| 2 | ドライブの共有設定（リンク共有・部署の外への公開）を見直す | 情報システム、各部門 |
| 3 | Geminiアプリと、各サービスの中の機能を、どの組織部門で使えるようにするか | 情報システム |
| 4 | Workspace appsの機能を使うか。使うなら、2が終わってから | 情報システム |
| 5 | 会話の履歴を何か月残すか | 情報システム、監査 |
| 6 | クライアントサイド暗号化で、Geminiから外す情報を決めるか | 情報システム、各部門 |
| 7 | Gemini Notebookのように、データリージョンの決めごとの外にある機能を使わせるか | 情報システム、法務 |
1は社内の利用ルールに、3から7は管理コンソールの設定に落とす。入力してよい情報の線引きは生成AIと個人情報に、利用ルール全体の作り方は生成AIの社内利用規程の作り方に書いた。AIの道具がどう使われているかを把握することは、AIを現場で動かす仕事の前提でもある。その仕事を担う職種としてのFDEはFDEとは？Forward Deployed Engineerの意味と仕事内容に書いた。
Googleの管理者向けのヘルプは、support.google.comからknowledge.workspace.google.comに置き場所が移り、管理コンソールの項目名も変わることがある。設定するときは、ここに書いた名前を手がかりに、その時点の管理者向けのヘルプを確かめてほしい。社内でGeminiやほかのAIの道具がどう使われ、どう設定されているかを外から確かめたい場合の、私たちのAI利用セキュリティ診断の中身はサービスのページに書いた。