このドキュメントでは、Sensitive Data Protection のコンテンツ ポリシーを Gemini Enterprise のコネクタとアプリ、Gemini Notebook Enterprise のノートブックに適用する方法について説明します。
Gemini Enterprise の Sensitive Data Protection について
Sensitive Data Protection コンテンツ ポリシーは、データ違反や不要なコンテンツがないかデータを検査し、このコンテンツを許可またはブロックするタイミングを選択するように設計されています。これには、機密性の高いデータがユーザーに表示されないようにするなど、機密性の高いソース資料や不適切なソース資料をブロックすることや、ポリシーに違反している場合にアシスタントや Gemini Notebook Enterprise へのファイル アップロードをブロックすることが含まれます。この機能は、さまざまなリスクから保護し、責任ある AI への取り組みを確保することで、Gemini Enterprise アプリのセキュリティと安全性を強化します。
Sensitive Data Protection と Model Armor の連携
Sensitive Data Protection と Model Armor は Gemini Enterprise で連携して、データの多層防御を実現します。これらは、AI とのやり取りのさまざまな側面を保護します。
Sensitive Data Protection がインバウンド データを保護
データコネクタの場合、Sensitive Data Protection は機密データの取り込みやインデックス登録を防止します。コンテンツ ポリシーでは、テキスト コンテンツ（画像の OCR を含む）、画像オブジェクト検出、画像安全性、埋め込み画像を含むリッチ ドキュメント（PDF、DOCx、PPTx、XLSx など）、メタデータ ラベル（Microsoft 機密ラベルと Google Workspace ラベル）など、さまざまなコンテンツ タイプを検査できます。Sensitive Data Protection は、準拠している情報のみがソースとしてシステムに入力されるようにすることに重点を置いています。
アシスタントと Gemini Notebook Enterprise にアップロードされたソースの場合、コンテンツがコンテンツ ポリシーに違反していると、ソースはアップロードされません。
Model Armor がサービング パスを保護
Model Armor は、LLM 処理の前にプロンプトをスクリーニングし、ユーザーに配信する前にモデルのレスポンスをスクリーニングすることで、Gemini Enterprise でのユーザー インタラクションを保護します。Model Armor は、プロンプトをスクリーニングすることで、プロンプト インジェクションや悪意のある URL から保護します。ポリシーに違反している場合、Gemini Enterprise はリクエストをブロックし、エラー メッセージを表示します。
Gemini Enterprise で Model Armor を使用する方法については、Model Armor を有効にするをご覧ください。
サポート対象のソース
Sensitive Data Protection のコンテンツ ポリシーは、コネクタ、メタデータ ラベル、ファイル アップロードのデータを検査できます。
コネクタ
コンテンツ ポリシーは、次のコネクタに適用できます。
サードパーティ製コネクタ: Sensitive Data Protection は、取り込みコネクタと連携コネクタの両方のサードパーティ製コネクタをサポートしています。これらのコネクタの一覧については、サードパーティ データソースを接続するをご覧ください。
カスタム MCP サーバー: Sensitive Data Protection は、カスタム Model Context Protocol（MCP）サーバーのコンテンツをサポートしています。カスタム MCP サーバーの一般的な情報については、カスタム MCP サーバーのデータストアを設定するをご覧ください。
Google Workspace コネクタ:
メタデータ ラベル
Sensitive Data Protection は、特定のコネクタとアップロードに対して 2 種類のメタデータ ラベルをサポートしています。
Microsoft の秘密度ラベル: Purview Information Protection（MSIP）ラベル、Azure Information Protection（AIP）ラベル、Microsoft Information Protection（MIP）ラベルとも呼ばれます。これらは、Microsoft 365 アセット（Word、Excel、Outlook など）に適用される秘密度ラベルです。メタデータをファイルまたはメールのヘッダーに直接埋め込んで、機密性（「極秘」や「社内専用」など）を示します。Sensitive Data Protection は、コネクタで Microsoft の秘密度ラベルを次のようにサポートしています。
Microsoft SharePoint: Office 365 ファイルと PDF のラベル。SharePoint サイトやページなど、他のファイル形式の Microsoft 機密ラベルはサポートされていません。
Microsoft OneDrive: Office 365 ファイルと PDF のラベル。
Microsoft Outlook: メール メッセージとカレンダーの予定のラベル。
Microsoft Teams: Office 365 ファイルと PDF のラベル。
直接アップロードと Microsoft 以外のコネクタ: Office 365 ファイルと PDF のラベル（ファイルに埋め込みラベルが含まれている場合）。
Google Workspace ラベル: これらのラベルは、Google Workspace 全体でのデータ分類に使用されます。管理者は、ユーザーまたは自動システムが Google Workspace アイテムに適用して分類できるカスタム スキーマ（「機密」や「内部」など）を定義します。Sensitive Data Protection は、Google Workspace コネクタ内のファイルと、Google ドライブから Gemini Enterprise アシスタントにアップロードされたファイルの Google Workspace ラベルをサポートしています。
ファイル アップロード
ローカル ドライブ、Google ドライブ、Microsoft OneDrive からアシスタントまたは Gemini Notebook Enterprise にファイルをアップロードすると、Sensitive Data Protection がファイルをスキャンし、コンテンツ ポリシーに違反するアップロードをブロックします。
次の表に、スキャンでサポートされているファイル形式を示します。
| MIME タイプ | 説明 |
|---|---|
application/pdf |
|
text/html |
HTML |
text/plain |
書式なしテキスト |
application/json |
JSON |
application/vnd.openxmlformats-officedocument.wordprocessingml.document |
Microsoft Word（DOCX） |
application/vnd.openxmlformats-officedocument.presentationml.presentation |
Microsoft PowerPoint（PPTX） |
application/vnd.openxmlformats-officedocument.spreadsheetml.sheet |
Microsoft Excel（XLSX） |
application/vnd.ms-excel.sheet.macroenabled.12 |
Microsoft Excel マクロ有効ワークシート（XLSM） |
application/xml |
XML |
image/bmp |
BMP 画像 |
image/gif |
GIF 画像 |
image/jpeg |
JPEG 画像 |
image/png |
PNG 画像 |
image/tiff |
TIFF 画像 |
image/svg+xml |
SVG 画像 |
text/csv |
CSV（カンマ区切り値） |
text/tab-separated-values |
TSV（タブ区切り値） |
Gemini Enterprise のサポート対象エディション
Sensitive Data Protection は、Gemini Enterprise Business エディションを除くすべての Gemini Enterprise エディションで使用できます。
Sensitive Data Protection の使用に追加料金はかかりません。
サポートされるリージョン
Sensitive Data Protection は、グローバル、EU、米国のマルチリージョンをサポートしています。
制限事項
Gemini Enterprise の Sensitive Data Protection コンテンツ ポリシーには、次の制限が適用されます。
コンテンツ ポリシーは、Cloud Storage、BigQuery、ウェブサイトのデータなど、古いタイプのデータストアには適用されません。コンテンツ ポリシーで保護できるのは、エンティティ データを含むコネクタのみです。
1 つのプロジェクトのコンテンツ ポリシーを別のプロジェクトの Gemini Enterprise に適用できますが、2 つのプロジェクトは同じ VPC Service Controls の境界内にある必要があります。Gemini Enterprise の VPC Service Controls の一般的な情報については、VPC Service Controls でアプリを保護するをご覧ください。
Gemini Notebook Enterprise ノートブックへのアップロードでは、Google Workspace ラベルとコンテンツ スキャンはサポートされていません。
Sensitive Data Protection には、Gemini Enterprise とは異なるファイルサイズの上限があります。PDF、Office 365 ファイル、テキスト ファイル、画像ファイルの最大サイズについては、コンテンツ ポリシーの上限をご覧ください。デフォルトでは、コンテンツ ポリシーは大きなファイルのコンテンツを許可します。ただし、大きなファイルのコンテンツをブロックするようにポリシーを構成できます。
暗号化されたファイルを含む Microsoft コネクタの場合、Gemini Enterprise も Sensitive Data Protection もファイルを復号できないため、ファイルはコンテンツ違反のスキャン対象になりません。ユーザーがコンテンツについて質問しても、コンテンツが暗号化されているため、Gemini Enterprise は回答できません。ただし、暗号化されていないスニペットやメタデータから回答できる質問をユーザーが行った場合、Gemini Enterprise はそれらの回答を提供します。
始める前に
始める前に、次の前提条件を満たしていることを確認してください。
自分と Gemini Enterprise サービス アカウントに必要なロールが割り当てられている。
Gemini Enterprise 管理者ロールが必要です。
Gemini Enterprise サービス アカウントには、DLP ユーザー（
roles/dlp.user）ロールが必要です。
詳細については、Sensitive Data Protection ドキュメント セットのコンテンツ ポリシーの作成と管理の必要なロールをご覧ください。
Gemini Enterprise app を作成しているか、Gemini Notebook Enterprise が構成されている。詳細については、アプリを作成するまたは Gemini Notebook Enterprise を設定するをご覧ください。
コンテンツ ポリシーを作成する
Gemini Enterprise コネクタまたはアプリ、または Gemini Notebook Enterprise に適用する Sensitive Data Protection コンテンツ ポリシーを準備するには、次の操作を行います。
Sensitive Data Protection のドキュメントのコンテンツ ポリシーを作成して管理するの手順に沿って、コンテンツ ポリシーを作成します。
ポリシーは、適用するアプリと同じリージョンに作成してください。
ポリシー名をメモしておきます。コネクタにポリシーを追加するには、
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID形式のフルパスが必要です。
コンテンツ ポリシーを使用してコネクタ内の機密データを保護する
エンティティに機密データが含まれている場合に、エンティティ情報がユーザーに表示されないようにするには、コネクタに Sensitive Data Protection コンテンツ ポリシーを適用します。Gemini Enterprise コネクタにコンテンツ ポリシーを適用するの手順に沿って操作します。
その後、コネクタからコンテンツ ポリシーを削除する必要がある場合は、コネクタからコンテンツ ポリシーを削除するをご覧ください。
Gemini Enterprise コネクタにコンテンツ ポリシーを適用する
コネクタに Sensitive Data Protection コンテンツ ポリシーを適用すると、Gemini Enterprise がコネクタから機密コンテンツを含むエンティティ データを返さなくなります。
特定のタイプのコネクタでは、コンテンツ ポリシーを適用すると、メタデータ ラベルに基づいてエンティティ データの返却をブロックすることもできます。
コネクタにコンテンツ ポリシーを適用する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動し、[データストア] をクリックします。
ポリシーを適用するコネクタの名前をクリックします。
[コンテンツ ポリシー] フィールドに、コンテンツ ポリシー リソースの完全な名前を入力します。
フィールドにポリシーを入力すると、すぐに適用されます。
省略可: コンテンツ ポリシーをテストします。コネクタにポリシーに違反するデータがある場合は、アシスタントにその旨を伝えるよう依頼します。
コネクタからコンテンツ ポリシーを削除する
コネクタからポリシーを削除する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動し、[データストア] をクリックします。
ポリシーを削除するコネクタの名前をクリックします。
[コンテンツ ポリシー] フィールドのテキストを削除し、空のフィールドを入力します。
ポリシーはすぐに削除されます。
コンテンツ ポリシーを使用してアシスタントへのアップロードを保護する
Gemini Enterprise アプリのアシスタントへのアップロードを保護するには、Gemini Enterprise アシスタントのアップロードにコンテンツ ポリシーを適用するの手順に沿って操作します。
その後、アシスタントから Sensitive Data Protection のコンテンツ ポリシーを削除する必要がある場合は、アシスタントからコンテンツ ポリシーを削除するをご覧ください。
アシスタントのアップロードにコンテンツ ポリシーを適用する
アシスタントに Sensitive Data Protection のコンテンツ ポリシーを適用すると、Gemini Enterprise は、アプリにアップロードされたファイル（ローカル デバイス、Google ドライブ、Microsoft OneDrive から）をスキャンし、ポリシーに違反するコンテンツまたはメタデータ ラベルが含まれている場合は、そのファイルをブロックします。ユーザーがポリシーに違反するファイルをアップロードしようとすると、アップロードは失敗し、ファイルはセッションに追加されません。
アシスタントのアップロードにコンテンツ ポリシーを適用する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
ポリシーを適用するアプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [アシスタントの設定] で、メニューからコンテンツ ポリシーを選択します。
コンテンツ ポリシーがメニューにない場合は、次のいずれかを行います。
[プロジェクトを切り替え] をクリックして、別のプロジェクトからポリシーを選択します。
[手動で入力] をクリックして、ポリシーのパス（
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID）を入力します。[新規作成] をクリックして、[コンテンツ ポリシーの作成] ページに移動します。
アプリと同じリージョンのポリシーを選択してください。
[保存] をクリックします。
省略可: ポリシーをテストします。
ポリシーに違反する無害なファイルを作成します。たとえば、コンテンツ ポリシーで米国の社会保障番号をブロックする場合は、「999-00-0000」を含むファイルを作成します。
アプリのチャットにファイルをアップロードしてみます。アップロードは失敗し、ファイルはブロックされます。
アシスタントからコンテンツ ポリシーを削除する
アプリのアシスタント アップロードからコンテンツ ポリシーを削除する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
アプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [アシスタントの設定] で、プルダウン矢印をクリックして [手動で入力] を選択します。
[リソース名] フィールドのテキストを削除してフィールドを空にし、[確認] をクリックします。
[保存] をクリックします。
コンテンツ ポリシーを使用して Gemini Notebook Enterprise へのアップロードを保護する
Gemini Notebook Enterprise にコンテンツ ポリシーを適用すると、ユーザーはポリシーに違反するソース資料をアップロードできなくなります。
Gemini Notebook Enterprise ノートブックは、特定のアプリに関連付けられていません。プロジェクト内のすべてのノートブックにコンテンツ ポリシーを適用するには、プロジェクト内の任意のアプリに適用します。同様に、プロジェクト内のアプリからコンテンツ ポリシーを削除すると、プロジェクトに関連付けられているノートブックはポリシーで保護されなくなります。
Gemini Notebook Enterprise で Sensitive Data Protection のコンテンツ ポリシーを追加または削除する手順は次のとおりです。
Gemini Notebook Enterprise にコンテンツ ポリシーを適用する
Gemini Notebook Enterprise にコンテンツ ポリシーを適用すると、ユーザーはポリシーに違反するソース資料をアップロードできなくなります。Gemini Notebook Enterprise ノートブックは、特定のアプリに関連付けられていません。コンテンツ ポリシーをすべてのノートブックに適用するには、プロジェクト内の任意のアプリに適用します。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
ノートブックを保護するリージョン内のアプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [NotebookLM の設定] で、メニューからコンテンツ ポリシーを選択します。
コンテンツ ポリシーがメニューにない場合は、次のいずれかを行います。
[プロジェクトを切り替え] をクリックして、別のプロジェクトからポリシーを選択します。
[手動で入力] をクリックして、ポリシー
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_NAMEのパスを入力します。[Create new] をクリックして [Create Content Policy] ページに移動し、上記の手順に沿って操作します。
ポリシーを指定する方法に関係なく、アプリと同じリージョンのポリシーを選択してください。
[保存] をクリックします。
コンテンツ ポリシーが反映されるまで 10 分ほど待ちます。Gemini Notebook Enterprise は、指定されたポリシーを使用して、アップロードされたソース ドキュメントのスキャンを開始します。
省略可: コンテンツ ポリシーをテストします。
ポリシーに違反する無害なソース ドキュメントを作成します。たとえば、コンテンツ ポリシーで米国の社会保障番号をブロックする場合は、「ミッキーマウスの社会保障番号は 999-00-0000 です」というソースファイルを作成します。
ソース ドキュメントをノートブックにアップロードします。ポリシーが有効な場合、ドキュメントはソースリストでブロックされているように表示されます。
Gemini Notebook Enterprise からコンテンツ ポリシーを削除する
アップロードされたソースファイルがコンテンツに基づいてブロックされないように、Gemini Notebook Enterprise からコンテンツ ポリシーを削除するには、次の操作を行います。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
リージョン内のアプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [NotebookLM の設定] で、プルダウン矢印をクリックして [手動で入力] を選択します。
フィールド内のテキストを選択して削除し、[リソース名] フィールドを空にして、[確認] をクリックします。
[保存] をクリックします。
コンテンツ ポリシーの削除が反映されるまで、10 分ほど待ちます。Gemini Notebook Enterprise は、そのリージョンとプロジェクト内のすべてのノートブックのソースファイルの読み取りを停止します。