Microsoftは2026年7月24日、Microsoft 365 CopilotとCopilot Studioにおいて、OpenAIが自社インフラ上で運用するモデル群（まずGPT-5.6から展開）を、管理者が事前に無効化しない限り全ユーザー向けに既定で有効化する設定変更を実施した。従来のCopilotはMicrosoft自身が運用するAzure OpenAI Service経由でGPT-4/GPT-5系モデルを利用してきたが、今回追加されたのは処理そのものがOpenAIのインフラ上で行われる、契約上は「サブプロセッサー」という別経路である。

Azure OpenAIとの違いは「どこで処理されるか」

両者はどちらも同じMicrosoft製品条款とデータ保護契約（DPA）の枠組みで管理されるが、決定的な違いはデータの処理場所にある。Azure OpenAI Service経由のモデルは、MicrosoftのOnline Services環境内で処理が完結する。一方、今回のOpenAIサブプロセッサー経由のモデルは処理がOpenAI側のインフラで行われ、国内処理コミットメント（in-country processing commitments）の対象外とされている。つまり契約上の保護は維持されつつも、データが物理的に日本国外へ出る可能性がある。EU Data Boundaryには一部例外つきで含まれる一方、GCC・GCC High・DoDなどのソブリンクラウドテナントにはこの設定自体が表示されず、利用できない。

管理者が確認すべき設定

この設定は7月9日から管理センターに追加され、当初は無効がデフォルトだった。管理者が明示的に触らなければMicrosoftが7月24日に自動で「有効」へ切り替える仕様で、その期日はすでに過ぎている。まだ確認していないテナントは今すぐ「Microsoft 365 管理センター > Copilot > 設定 > すべて表示 > Microsoftのサブプロセッサーとして動作するAIプロバイダー」を開き、「対象ユーザーなし」か特定ユーザー・グループへの制限を選べるか点検すべきだ。なお、この切り替えはPower Platform管理センターの外部モデル設定やCopilot Studioエージェントの挙動にも波及する点を見落としやすい。

実務への影響

日本企業、とくに金融・医療・行政関連など厳格なデータ所在地要件を抱える組織は、この設定を放置していないか今日中に確認する価値がある。Copilot Studioでカスタムエージェントを運用している場合、意図せず外部モデルを参照する設定になっていないかも合わせて棚卸ししたい。Microsoftは今後もモデルファミリーを追加していく方針を示しており、同種の「既定オンのサブプロセッサー追加」は繰り返される可能性が高い。管理センターの通知だけに頼らず、定期的な設定レビューを社内プロセスに組み込んでおくと安心だ。

筆者の見解

今回の仕組み自体は、AIモデルを禁止するのではなく管理者が制御可能な形で提供するという設計であり、これは筆者が普段から重視している「禁止ではなく安全に使える仕組みを」という考え方に沿っている。使えるものを闇雲に塞ぐより、選べる状態を用意しておく方が現場は結局それを便利に使うようになる。

ただし応援する立場から率直に言えば、データの処理場所やコンプライアンス上の扱いが変わるほど重大な設定を、管理者が能動的に見に行かなければ「期日に自動で全ユーザー有効化」という設計はもったいない。Microsoft 365は各サービスを統合してこそ価値が出るプラットフォームであり、裏を返せばこうした細かな管理設定の見落とし一つが全体のガバナンスを崩しかねない。せっかく丁寧なオプトアウトの仕組みを用意しているのだから、テナント管理者への通知やアラートをもっと目立たせてもよかったはずだ。正面から評価に値する取り組みだけに、通知設計の詰めの甘さが惜しい。

出典: この記事は OpenAI as a subprocessor for Microsoft 365 Copilot and Copilot Studio will be enabled on 24 July 2026 の内容をもとに、筆者の見解を加えて独自に執筆したものです。