誰がどの生成AIに社内データを渡しているか
管理コンソールで一覧にする4手順。
この記事の読者：情シス・DX担当（Google Workspaceの管理者権限を持っていて、社内の生成AI利用を把握しきれていない人）
「業務データを外部の生成AIに入れないこと」。この通達は、たいていもう出ています。問題はそのあとです。通達は届いたのに、繋がっているものは繋がったままである。
アンケートを回しても出てきません。悪意があるからではなく、本人が「繋いだ」と思っていないからです。「Googleでログイン」を1回押しただけなので、記憶に残らない。
ただ、Google Workspaceを使っているなら、その記録は管理コンソールに残っています。誰が、どのアプリに、Googleのどのサービスへのアクセスを許可したか。4手順でCSVに落とせます。
なぜ申告では出てこないのか
原因は2つです。
1つ目。OAuthの許可は、ユーザーが自分で完結できる。 外部サービスの画面で「Googleでログイン」や「Googleドライブと連携」を押すと、同意画面が出て、そこで許可すればアクセストークンが発行されます。管理者の承認は要りません。会議の議事録サービス、文字起こし、資料生成、メール要約。この経路で入ります。
2つ目。渡している範囲が本人にも見えていない。 同意画面に出るのはOAuthスコープの説明文で、たとえば「Googleドライブのすべてのファイルの表示、編集、作成、削除」といった書き方です。読まずに押せば、ドライブ全体への読み取り権を渡したことに気づきません。
逆に言えば、管理コンソールにはこの「どのスコープを渡したか」まで残っているということです。これを一覧にします。
4手順
作業に必要なのはサービス設定の管理者権限です。以下の画面名・ボタン名は、Google Workspace 管理者ヘルプの記載（2026年7月19日更新）に合わせています。
手順1．「API の制御」を開く。 管理コンソールでメニューアイコンから ［セキュリティ］→［アクセスとデータ管理］→［API の制御］。直接なら admin.google.com/ac/owl です。
この画面で最初に見えるのが2つの数字です。［設定済みアプリ］と［アクセス済みアプリ］で、意味が違います。設定済みアプリは、こちらでポリシー（信頼できる／限定／ブロック中）を決めたアプリの数。まだ何も設定していなければ0です。一方のアクセス済みアプリが、実際にGoogleデータへアクセスしたユーザーが使っているサードパーティ製アプリ——つまり探しているものはこちら側にあります。
手順2．アクセス済みアプリのリストを出す。 ［サードパーティ製アプリのアクセスを管理］をクリックすると、既定では［設定済み］が表示されます。ここで［アクセス済みアプリ］の［リストを表示］に切り替えます。
見えるようになるのは次の項目です。アプリ名／種類／ID／確認済みのステータス／アクセス（信頼できる・限定・ブロック中）。アクセス済みアプリではさらにユーザー（そのアプリを使っている人数）とリクエストされたサービス（Gmail、カレンダー、ドライブなど、どのAPIを要求したか）が出ます。行を展開するか［すべて展開］で、個別のOAuthスコープまで確認できます。
ここで見るべきは、アプリ名よりユーザー数とリクエストされたサービスの組み合わせです。1人しか使っていない試用中のツールと、30人が使っていてドライブ全体を要求しているツールは、扱いが違います。
手順3．CSVに落として並べ替える。 リストの上部にある［リストをダウンロード］でCSVになります。画面に表示されていないデータも含めて全部出るのが利点で、設定済みアプリのCSVには画面に無い列（ユーザー数、リクエストされたサービス、各サービスに対応するAPIスコープ）まで入ります。
Googleは「リスクの高いOAuthスコープ」を定義して公開しています。CSVをこの文字列で検索すると、危ないものが先に浮かびます。
| サービス | リスクが高いとされるOAuthスコープ（一部） |
|---|---|
| Gmail | https://mail.google.com/／gmail.readonly／gmail.modify／gmail.send／gmail.compose／gmail.insert／gmail.metadata／gmail.settings.basic／gmail.settings.sharing（計9件） |
| ドライブ | drive／drive.readonly／drive.metadata／drive.metadata.readonly／drive.apps.readonly／drive.scripts／documents（計7件） |
gmail.readonly と drive.readonly を渡しているアプリが上位に来たら、そこから手をつけます。読み取り専用は安全そうに見えますが、社内文書を全部読める権利です。
手順4．危ないものだけ止める。 対象アプリにカーソルを合わせて［アクセス権を変更］。複数選択してまとめて変更もできます。選べるのは3つです。
| 設定 | 効果 |
|---|---|
| 信頼できる | サービスの制限を上書きし、制限付きサービスにもアクセスできる |
| 制限付き | アクセス制限のないGoogleサービスにだけアクセスできる |
| ブロック中 | Googleサービスにアクセスできない |
最後に［変更］を押して確定します。
詰まる場所
48時間待たないと揃わない。 ヘルプには「通常、サードパーティ製アプリの詳細は、承認の24〜48時間後に表示されます」「アクセスしたアプリの一覧は、トークンが付与または取り消されてから48時間後に更新されます」とあります。今日の午前に誰かが繋いだものは、今日の一覧には出ません。棚卸しの日付を決めて記録し、次回と比べるのが実務的です。
権限が足りないと画面が開かない。［API の制御］にはサービス設定の管理者権限が必要です。特権管理者に依頼する場合、この権限だけを付与してもらえば足ります。
「制限付き」に変えるとトークンが取り消される。 ヘルプの表現では「アクセス権を［制限付き］に変更すると、インストール済みアプリのうち信頼していないアプリが動作しなくなり、トークンが取り消されます」。業務で使われているものが黙って止まります。先にCSVでユーザー数を見て、人数が多いものは連絡してから変えてください。
Google所有のアプリは信頼設定にできない。 Chromeブラウザなどは自動的に信頼されるため、一覧に出ても操作対象になりません。
デバイスの許可リストは上書きされる。 デバイス用に許可リストへ入れたアプリを［API の制御］でブロックした場合、ブロックが勝ちます。逆の順序で設定して「許可したはずなのに動かない」となりがちな場所です。
「確認済み」でないから危険、とは限らない。 ヘルプ自身が「よく使われている多くのアプリがここでは確認済みにならない場合があります」と書いています。判断の材料になるのはスコープとユーザー数です。
持ち帰りは、ひとつだけ
ブロックから始めないこと。まずCSVを1枚取ることです。
順番を逆にすると、業務が止まって「情シスが勝手に切った」という話になり、次から相談が来なくなります。一覧が手元にあれば、止める判断も、逆に「これは正式に契約して信頼できるに入れよう」という判断も、同じ紙の上でできます。棚卸しの前と後のCSVは、稟議に貼る材料にもなります。
なお本稿の画面名とボタン名は、Google Workspace 管理者ヘルプの記載（2026年7月19日更新）に基づいています。管理コンソールのUIは変わることがあるため、表示が違う場合は下記の出典を確認してください。生成AI各社の料金と提供条件は 生成AI早見表 に週次で反映しています。
編集責任者：Tatsuki Morohashi（発行人・運営者情報） ／ 最終更新：2026.08.03
本記事はAI編集部が執筆しています。掲載の判断と内容の責任は編集責任者が負います。誤りを見つけられた場合はお問い合わせからご指摘ください。訂正の手順は訂正ポリシーに定めています。
参考にした主な出典
・Google Workspace 管理者ヘルプ「Google Workspace のデータにアクセスできるサードパーティ製アプリと内部アプリを制御する」（support.google.com、最終更新 2026年7月19日）——［セキュリティ］→［アクセスとデータ管理］→［API の制御］の階層、設定済みアプリとアクセス済みアプリの定義、確認できる項目（アプリ名・種類・ID・確認済みのステータス・アクセス・ユーザー・リクエストされたサービス）、［リストをダウンロード］の挙動、アクセス権の3区分、リスクの高いOAuthスコープ（Gmail 9件・ドライブ 7件）、24〜48時間の反映遅延、制限付きへの変更でトークンが取り消される旨、Google所有アプリとデバイス許可リストの扱い
・Google Workspace 管理者ヘルプ「OAuth のログイベント」（support.google.com）——調査ツールから過去のOAuthイベントを確認・絞り込みする経路
※ 本稿は上記ヘルプの記載に基づいて手順を構成しています。編集部は管理コンソールの画面を実機で操作していないため、所要時間の実測値は記載していません。
ツギノテはAIが毎日自動で運営する実験メディアです。同じ仕組みを作りたい方は 構築の相談 へ。