AIエージェントが社内データに触れ、ユーザーに代わって処理を自動実行するようになった今、「誰が・何に・いつアクセスしたか」を把握できない組織はガバナンスの死角を抱えることになる。Microsoft Purviewがそこに本格的に踏み込んだ。DSPM（データセキュリティポスチャー管理）のAI ObservabilityとInsider Risk Management for agentsが、2026年5月末にGenerally Available（GA）となる。

何が変わるのか

今回GAとなるのは、Roadmap ID 516032 として登録されていた機能群だ。パブリックプレビュー自体は2025年12月から始まっており、早期採用組はすでに評価段階にある。GA展開は2026年5月初旬に開始、5月末までに完了予定。

主な機能は大きく2つに整理できる。

DSPM – AI Observability

AIエージェントがエンタープライズ環境内でどのような活動をしているかをリアルタイムに近い形で可視化する機能だ。具体的には以下が可能になる。

  • エージェントの行動ログの収集・分析
  • コンプライアンス違反の疑いがある行動の特定
  • 組織ポリシーに沿ったガバナンスポリシーの適用

Insider Risk Management for agents

こちらは従来人間向けに存在したInsider Risk Managementのエージェント版だ。知的財産の窃取・データ漏洩・セキュリティ違反といったリスクシグナルを複数のソースから相関分析し、ポリシーベースで検知・対応できる。プライバシー設計として、ユーザーはデフォルトで仮名化（pseudonymize）され、RBAC（ロールベースアクセス制御）と監査ログによってユーザーレベルのプライバシーが保護される点は評価できる。

ライセンスの壁——M365 E7またはAgent 365が必須

見落とせないのがライセンス要件だ。これらの機能はMicrosoft 365 E7またはAgent 365サブスクリプションがなければ使えない。現在のM365 E3やE5ライセンスでは対象外となる。

日本企業でE7を契約しているケースはまだ少ない。Agent 365は比較的新しいSKUであり、AIエージェントの本格活用に踏み切った組織向けの位置づけだ。「うちにはまだ関係ない」と思いがちだが、Copilot Studio・Azure AI Foundry・Microsoft 365 Copilotのいずれかを使ってエージェントを動かしているなら、今すぐ準備の検討を始めるべきフェーズに入っている。

日本のIT現場にとっての意味

日本のエンタープライズでは、AIエージェントの導入がやや遅れ気味だったが、2026年に入って急速に実案件が増えている。問題は、エージェントをとりあえず動かしているものの、「それが社内でどう動いているか」を把握している管理者が少ないことだ。

AIエージェントは本質的にNon-Human Identity（NHI）——人間ではないがシステムに代わってアクセスと処理を行う主体だ。人間の社員に適用していた内部リスク管理の考え方を、AIエージェントにも同等に適用する必要がある。Microsoft Purviewが今回この領域に手を伸ばしたのは、その認識に基づいた自然な流れと言える。

実務での活用ポイント

今すぐできる準備

  • エージェントの棚卸しから始める: 自組織のどのエージェントが企業データにアクセスしているかをリスト化する。Copilot Studio・Azure AI Foundryで作ったカスタムエージェントも含めて把握すること
  • ライセンス計画を見直す: E7・Agent 365へのアップグレードが必要かどうか、コストと対応の必要性を天秤にかける。「エージェントを使っていないから不要」ではなく、「近い将来使うかどうか」で判断する
  • ガバナンスポリシーを先に整備する: 機能がGAになってからポリシーを考えるのでは遅い。今のうちにセキュリティ・コンプライアンス担当と連携して、エージェントに適用すべき行動規範を文書化しておく
  • DSPM有効化手順を確認する: 公式Learnページ（Microsoft Agent 365 Overview）にActivationの手順が記載されている。GA後に慌てないよう、プレビュー段階から読み込んでおくことを勧める

筆者の見解

AIエージェントのガバナンスは、今後のエンタープライズIT管理における最重要テーマの一つになる。その理由はシンプルで、ボトルネックは常に人間にあるからだ。業務効率を本当に上げようとするなら、AIエージェント＝Non-Human Identityが安全に・自律的に動ける仕組みが不可欠であり、そのためにはNHIの活動を可視化・管理する仕組みが土台として必要になる。

Microsoft Purviewがこの分野に正面から機能を追加したことは、方向性として正しい。プライバシー設計（仮名化・RBAC・監査ログ）を組み込んだ形でGAに持ってきたのも、企業コンプライアンスの現実を踏まえた判断だと思う。

ただし、ライセンス要件（E7またはAgent 365）というハードルは、日本の多くの組織にとって無視できない障壁になる。「機能としては良いが、うちのライセンスでは使えない」という状況が続くのは、組織の安全を守る観点でもったいない。この種のセキュリティ・ガバナンス機能こそ、より広いSKUで使えるようになってほしいというのが正直なところだ。

AIエージェントを「とりあえず動かしてみた」段階から、「きちんと管理・監視できている」段階に移行する——その第一歩として、今回のPurview強化は意味ある前進だ。エージェントを本格活用する組織は、GAを待たずに今から準備を進めてほしい。

出典: この記事は Microsoft Purview for agents: AI observability and insider risk management now generally available の内容をもとに、筆者の見解を加えて独自に執筆したものです。