Microsoft Copilot、機密メール漏洩バグを修正中

何が起きたのか
1. 技術的な背景
フリーランスへの直接的な影響
1. 具体的なリスク例
欧州では政治家のAI機能を停止
今後の対応と注意点
まとめ

何が起きたのか

マイクロソフトは2月18日、Office製品に搭載されているAIアシスタント「Copilot」が、本来アクセスできないはずの機密メールを読み取っていたことを認めました。問題の識別番号は「CW1226324」で、1月下旬から報告が上がり始めていたものです。

このバグの厄介な点は、企業が慎重に設定したデータ損失防止（DLP）ポリシーや機密ラベルが、まったく機能していなかったことです。つまり「このメールは社外秘」「この情報は重要顧客データ」といった設定をしていても、CopilotのAIがそれらを読み取り、要約を作成できる状態になっていました。

影響を受けたのは、Outlook、Word、Excel、PowerPointといったOfficeアプリケーション内のCopilot Chat機能です。特に送信済みメールフォルダとドラフトフォルダ内の機密情報が対象となりました。

技術的な背景

マイクロソフトによれば、これはコード上の問題が原因でした。通常、Copilotは「Microsoft Purview Information Protection」というセキュリティ機能と連携し、機密ラベルやDLPルールを尊重するよう設計されています。しかし今回のバグにより、これらの保護機能が正しく動作せず、本来処理してはいけないメールデータがAIの学習や要約の対象になってしまったのです。

修正作業は2月初旬から始まっており、段階的に展開されています。ただし、影響を受けた企業の具体的な数や、どの程度の期間バグが存在していたのかについて、マイクロソフトは詳細を公表していません。広報担当者もコメントを控えている状況です。

フリーランスへの直接的な影響

個人でMicrosoft 365を契約しているフリーランスの方にとって、今回の問題はやや複雑です。まず、Copilot Chatの利用には月額30ドル（約4,500円）の追加料金がかかります。通常のMicrosoft 365サブスクリプションだけでは使えない機能なので、この有料オプションを契約していない限り、今回のバグの影響は受けません。

一方で、企業案件を受けているフリーランスの場合、クライアント企業側でCopilotを導入していれば、あなたとのやり取りのメールが不正に処理されていた可能性があります。特に秘密保持契約（NDA）を結んでいる案件や、未公開の製品情報、顧客データを含むメールのやり取りをしている場合は注意が必要です。

具体的なリスク例

たとえば、あなたがWebデザイナーで、クライアント企業の新サービスのデザイン案をメールで送っていたとします。そのメールに「社外秘」のラベルが付いていても、クライアント企業のCopilotがそれを読み取り、要約を作成できる状態になっていた可能性があるのです。

また、ライターとして複数の企業と契約している場合、競合他社の情報が同じAIシステム内で処理されるリスクも考えられます。マイクロソフトは「テナント間のデータ漏洩は報告されていない」としていますが、同一企業内での不適切なアクセスは発生していたわけです。

欧州では政治家のAI機能を停止

この問題の深刻さを示す事例として、欧州議会のIT部門の対応があります。彼らは機密通信がクラウド上のAIに送信されるリスクを懸念し、政治家が使用する業務デバイスのAI機能を一時的に無効化しました。これは、単なる技術的なバグではなく、情報セキュリティとプライバシー保護の観点から重大な問題だと判断されたことを意味します。

EU圏内で仕事をしているフリーランスにとっては、GDPR（一般データ保護規則）の観点からも気になる話です。今回のようなバグは「目的外処理」に該当する可能性があり、通知義務や評価義務が発生するケースもあります。

今後の対応と注意点

マイクロソフトは修正を進めているものの、「いつ完全に解決するのか」については明言していません。現在もロールアウトが継続中ということは、まだすべての環境で問題が解消されているわけではないということです。

フリーランスとして取るべき対応は、あなたの業務内容によって変わります。もしクライアント企業がMicrosoft 365 Copilotを導入していることを知っているなら、機密性の高い情報をメールで送る際には、いったん様子を見るのが賢明かもしれません。代替手段として、暗号化されたファイル共有サービスや、プロジェクト管理ツールの非公開チャット機能を使うことも検討できます。

個人でCopilotの利用を考えていた方は、今回の問題が完全に解決し、マイクロソフトから詳細な説明があるまで契約を見送るのが無難です。月額30ドルという金額を払う以上、セキュリティ面での信頼性は最低限確保されているべきですから。