このドキュメントでは、Sensitive Data Protection コンテンツ ポリシーを Gemini Enterprise コネクタとアプリ、Gemini Notebook Enterprise ノートブックに適用する方法について説明します。
Gemini Enterprise の Sensitive Data Protection について
Sensitive Data Protection コンテンツ ポリシーは、データ違反や不要なコンテンツがないかデータを検査し、このコンテンツを許可またはブロックするタイミングを選択するように設計されています。これには、機密情報や不適切なソースマテリアルのブロックが含まれます。たとえば、センシティブ データがユーザーに表示されないようにしたり、ポリシーに違反するファイルがアシスタントや Gemini Notebook Enterprise にアップロードされないようにしたりします。この機能により、さまざまなリスクから保護し、責任ある AI への取り組みを確保することで、Gemini Enterprise アプリのセキュリティと安全性が強化されます。
Sensitive Data Protection と Model Armor の連携
Sensitive Data Protection と Model Armor は Gemini Enterprise で連携して動作し、データに多層のセキュリティ保護を提供します。これらは、AI とのやり取りのさまざまな側面を保護します。
Sensitive Data Protection がインバウンド データを保護する
データコネクタの場合、Sensitive Data Protection はセンシティブ データの取り込みやインデックス登録を防ぎます。コンテンツ ポリシーでは、テキスト コンテンツ（画像の OCR を含む）、画像オブジェクト検出、画像の安全性、埋め込み画像を含むリッチ ドキュメント（PDF、DOCx、PPTx、XLSx など）、メタデータ ラベル（Microsoft の機密ラベルと Google Workspace ラベル）など、さまざまなコンテンツ タイプを検査できます。Sensitive Data Protection は、準拠した情報のみがソースとしてシステムに入力されるようにすることに重点を置いています。
アシスタントと Gemini Notebook Enterprise にアップロードされたソースで、コンテンツがコンテンツ ポリシーに違反している場合、ソースはアップロードされません。
Model Armor はサービング パスを保護します
Model Armor は、LLM 処理前のプロンプトと、ユーザーに配信する前のモデル レスポンスをスクリーニングすることで、Gemini Enterprise でのユーザー インタラクションを保護します。Model Armor は、プロンプトをスクリーニングすることで、プロンプト インジェクションと悪意のある URL から保護します。ポリシーに違反している場合、Gemini Enterprise はリクエストをブロックし、エラー メッセージを表示します。
Gemini Enterprise で Model Armor を使用する方法については、Model Armor を有効にするをご覧ください。
サポート対象のソース
Sensitive Data Protection コンテンツ ポリシーは、コネクタ、メタデータ ラベル、ファイル アップロードのデータを検査できます。
コネクタ
コンテンツ ポリシーは、次のコネクタに適用できます。
サードパーティ製コネクタ: Sensitive Data Protection は、取り込みと連携の両方のサードパーティ製コネクタをサポートしています。これらのコネクタのリストについては、サードパーティ データソースを接続するをご覧ください。
カスタム MCP サーバー: Sensitive Data Protection は、カスタム Model Context Protocol（MCP）サーバーのコンテンツをサポートしています。カスタム MCP サーバーの概要については、カスタム MCP サーバー データストアを設定するをご覧ください。
Google Workspace コネクタ:
メタデータ ラベル
Sensitive Data Protection は、特定のコネクタとアップロードに対して次の 2 種類のメタデータ ラベルをサポートしています。
Microsoft の機密ラベル: Purview Information Protection（MSIP）ラベル、Azure Information Protection（AIP）ラベル、Microsoft Information Protection（MIP）ラベルとも呼ばれます。Microsoft 365 アセット（Word、Excel、Outlook など）に適用される機密ラベルです。メタデータをファイルまたはメールのヘッダーに直接埋め込んで、機密性（「極秘」や「社内秘」など）を示します。Sensitive Data Protection は、コネクタで Microsoft の機密ラベルを次のようにサポートしています。
Microsoft SharePoint: Office 365 ファイルと PDF のラベル。SharePoint サイトやページなど、他のファイル形式の Microsoft の機密ラベルはサポートされていません。
Microsoft OneDrive: Office 365 ファイルと PDF のラベル。
Microsoft Outlook: メール メッセージとカレンダーの予定のラベル。
Microsoft Teams: チャット メッセージのラベル。
直接アップロードと Microsoft 以外のコネクタ: Office 365 ファイルと PDF のラベル（ファイルに埋め込みラベルが含まれている場合）。
Google Workspace ラベル: Google Workspace 全体でデータを分類するためのラベルです。管理者は、ユーザーまたは自動システムが Google Workspace アイテムに適用して分類（「機密」や「社内」など）できるカスタム スキーマを定義します。機密データ保護は、Google Workspace コネクタ内のファイルと、Google ドライブから Gemini Enterprise アシスタントにアップロードされたファイルに対する Google Workspace ラベルをサポートしています。
ファイル アップロード
ローカル ドライブ、Google ドライブ、Microsoft OneDrive からアシスタントまたは Gemini Notebook Enterprise にファイルをアップロードすると、Sensitive Data Protection によってファイルがスキャンされ、コンテンツ ポリシーに違反するアップロードがブロックされます。
次の表に、スキャンでサポートされているファイル形式を示します。
| MIME タイプ | 説明 |
|---|---|
application/pdf |
|
text/html |
HTML |
text/plain |
書式なしテキスト |
application/json |
JSON |
application/vnd.openxmlformats-officedocument.wordprocessingml.document |
Microsoft Word（DOCX） |
application/vnd.openxmlformats-officedocument.presentationml.presentation |
Microsoft PowerPoint（PPTX） |
application/vnd.openxmlformats-officedocument.spreadsheetml.sheet |
Microsoft Excel（XLSX） |
application/vnd.ms-excel.sheet.macroenabled.12 |
Microsoft Excel マクロ有効ワークシート（XLSM） |
application/xml |
XML |
image/bmp |
BMP 画像 |
image/gif |
GIF 画像 |
image/jpeg |
JPEG 画像 |
image/png |
PNG 画像 |
image/tiff |
TIFF 画像 |
image/svg+xml |
SVG 画像 |
text/csv |
CSV（カンマ区切り値） |
text/tab-separated-values |
TSV（タブ区切り値） |
Gemini Enterprise のサポート対象エディション
Sensitive Data Protection は、Gemini Enterprise Business エディションを除くすべての Gemini Enterprise エディションで使用できます。
Sensitive Data Protection の使用に追加料金は発生しません。
サポートされるリージョン
Sensitive Data Protection は、グローバル、EU、米国のマルチリージョンをサポートしています。
制限事項
Gemini Enterprise の Sensitive Data Protection コンテンツ ポリシーには、次の制限が適用されます。
コンテンツ ポリシーは、Cloud Storage や BigQuery のデータ、ウェブサイトなど、古いタイプのデータストアには適用されません。エンティティ データを含むコネクタのみが、コンテンツ ポリシーによって保護されます。
1 つのプロジェクトのコンテンツ ポリシーを別のプロジェクトの Gemini Enterprise に適用できますが、2 つのプロジェクトは同じ VPC Service Controls 境界内にある必要があります。Gemini Enterprise の VPC Service Controls に関する一般的な情報については、VPC Service Controls でアプリを保護するをご覧ください。
Google Workspace ラベルとコンテンツ スキャンは、Gemini Notebook Enterprise ノートブックへのアップロードではサポートされていません。
Sensitive Data Protection には、Gemini Enterprise とは異なるファイルサイズのサポートに関する上限があります。PDF、Office 365 ファイル、テキスト ファイル、画像ファイルの最大サイズについては、コンテンツ ポリシーの上限をご覧ください。デフォルトでは、コンテンツ ポリシーで大きなファイルのコンテンツが許可されます。ただし、大きなファイル内のコンテンツをブロックするようにポリシーを構成できます。
暗号化されたファイルを含む Microsoft コネクタの場合、Gemini Enterprise も Sensitive Data Protection もファイルを復号できないため、ファイルはコンテンツ違反のスキャン対象になりません。コンテンツについて質問された場合、コンテンツは暗号化されているため、Gemini Enterprise は回答できません。ただし、暗号化されていないスニペットとメタデータから回答できる質問をユーザーが行った場合、Gemini Enterprise はそれらの回答を提供します。
始める前に
始める前に、次の前提条件を満たしていることを確認してください。
自分と Gemini Enterprise サービス アカウントに必要なロールが割り当てられている。
Gemini Enterprise 管理者のロールが必要です。
Gemini Enterprise サービス アカウントには、DLP ユーザー（
roles/dlp.user）ロールが必要です。
詳細については、Sensitive Data Protection ドキュメント セットの コンテンツ ポリシーの作成と管理にある必要なロールをご覧ください。
Gemini Enterprise app を作成しているか、Gemini Notebook Enterprise が構成されている。詳細については、アプリを作成するまたは Gemini Notebook Enterprise を設定するをご覧ください。
コンテンツ ポリシーを作成する
Gemini Enterprise コネクタまたはアプリ、あるいは Gemini Notebook Enterprise に適用する Sensitive Data Protection コンテンツ ポリシーを準備するには、次の操作を行います。
Sensitive Data Protection のドキュメントのコンテンツ ポリシーの作成と管理の手順に沿って、コンテンツ ポリシーを作成します。
ポリシーは、適用するアプリと同じリージョンに作成してください。
ポリシー名をメモしておきます。コネクタにポリシーを追加するには、
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID形式のフルパスが必要です。
コンテンツ ポリシーを使用してコネクタ内のセンシティブ データを保護する
エンティティにセンシティブ データが含まれている場合に、エンティティ情報がユーザーに表示されないようにするには、Sensitive Data Protection コンテンツ ポリシーをコネクタに適用します。Gemini Enterprise コネクタにコンテンツ ポリシーを適用するの手順に沿って操作してください。
後でコネクタからコンテンツ ポリシーを削除する必要がある場合は、コネクタからコンテンツ ポリシーを削除するをご覧ください。
Gemini Enterprise コネクタにコンテンツ ポリシーを適用する
Sensitive Data Protection コンテンツ ポリシーをコネクタに適用すると、Gemini Enterprise は、デリケートなコンテンツを含むエンティティ データをコネクタから返さなくなります。
特定のタイプのコネクタでは、コンテンツ ポリシーを適用すると、メタデータ ラベルに基づいてエンティティ データの返信をブロックすることもできます。
コンテンツ ポリシーをコネクタに適用する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動し、[データストア] をクリックします。
ポリシーを適用するコネクタの名前をクリックします。
[コンテンツ ポリシー] フィールドに、コンテンツ ポリシー リソースの完全な名前を入力します。
ポリシーをフィールドに入力すると、すぐに適用されます。
省略可: コンテンツ ポリシーをテストします。コネクタにポリシーに違反するデータがある場合は、アシスタントにそのデータについて尋ねます。
コネクタからコンテンツ ポリシーを削除する
コネクタからポリシーを削除する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動し、[データストア] をクリックします。
ポリシーを削除するコネクタの名前をクリックします。
[コンテンツ ポリシー] フィールドのテキストを削除し、空のフィールドを入力します。
ポリシーはすぐに削除されます。
コンテンツ ポリシーを使用してアシスタントへのアップロードを保護する
Gemini Enterprise アプリのアシスタントへのアップロードを保護するには、Gemini Enterprise アシスタントのアップロードにコンテンツ ポリシーを適用するの手順に沿って操作します。
後でアシスタントから Sensitive Data Protection コンテンツ ポリシーを削除する必要がある場合は、アシスタントからコンテンツ ポリシーを削除するをご覧ください。
アシスタントのアップロードにコンテンツ ポリシーを適用する
アシスタントに Sensitive Data Protection コンテンツ ポリシーを適用すると、Gemini Enterprise は、ポリシーに違反するコンテンツまたはメタデータ ラベルを含むファイルがアプリにアップロードされた場合（ローカル デバイス、Google ドライブ、Microsoft OneDrive から）、そのファイルをスキャンしてブロックします。ポリシーに違反するファイルをユーザーがアップロードしようとすると、アップロードは失敗し、ファイルはセッションに追加されません。
コンテンツ ポリシーをアシスタントのアップロードに適用する手順は次のとおりです。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
ポリシーを適用するアプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [アシスタントの設定] で、メニューからコンテンツ ポリシーを選択します。
コンテンツ ポリシーがメニューに表示されない場合は、次のいずれかを行います。
[プロジェクトを切り替え] をクリックして、別のプロジェクトからポリシーを選択します。
[手動で入力] をクリックして、ポリシーのパスを入力します。
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID。[新規作成] をクリックして、[コンテンツ ポリシーの作成] ページに移動します。
アプリと同じリージョンのポリシーを選択してください。
[保存] をクリックします。
省略可: ポリシーをテストします。
ポリシーの無害な違反を含むファイルを作成します。たとえば、コンテンツ ポリシーで米国の社会保障番号がブロックされている場合は、「999-00-0000」を含むファイルを作成します。
アプリのチャットにファイルをアップロードしようとします。アップロードは失敗し、ファイルはブロックされます。
アシスタントからコンテンツ ポリシーを削除する
アプリのアシスタント アップロードからコンテンツ ポリシーを削除するには、次の操作を行います。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
アプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [アシスタントの設定] で、プルダウン矢印をクリックして [手動で入力] を選択します。
[リソース名] フィールドのテキストを削除してフィールドを空にしてから、[確認] をクリックします。
[保存] をクリックします。
コンテンツ ポリシーを使用して Gemini Notebook Enterprise へのアップロードを保護する
Gemini Notebook Enterprise にコンテンツ ポリシーを適用すると、ユーザーはポリシーに違反するソースマテリアルをアップロードできなくなります。
Gemini Notebook Enterprise ノートブックは、特定のアプリに関連付けられていません。コンテンツ ポリシーをプロジェクト内のすべてのノートブックに適用するには、プロジェクト内の任意のアプリに適用します。同様に、プロジェクト内のアプリからコンテンツ ポリシーを削除すると、プロジェクトに関連付けられているノートブックはポリシーで保護されなくなります。
Gemini Notebook Enterprise で Sensitive Data Protection コンテンツ ポリシーを追加または削除する手順は次のとおりです。
Gemini Notebook Enterprise にコンテンツ ポリシーを適用する
Gemini Notebook Enterprise にコンテンツ ポリシーを適用すると、ユーザーはポリシーに違反するソースマテリアルをアップロードできなくなります。Gemini Notebook Enterprise ノートブックは、特定のアプリに関連付けられていません。コンテンツ ポリシーをすべてのノートブックに適用するには、プロジェクト内の任意のアプリに適用します。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
ノートブックを保護するリージョン内のアプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [NotebookLM の設定] で、メニューからコンテンツ ポリシーを選択します。
コンテンツ ポリシーがメニューに表示されない場合は、次のいずれかを行います。
[プロジェクトを切り替える] をクリックして、別のプロジェクトからポリシーを選択します。
[手動で入力] をクリックして、ポリシー
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_NAMEのパスを入力します。[新規作成] をクリックして [コンテンツ ポリシーの作成] ページに移動し、上記の手順に沿って操作します。
ポリシーを指定する方法にかかわらず、アプリと同じリージョン内のポリシーを選択してください。
[保存] をクリックします。
コンテンツ ポリシーが反映されるまで約 10 分待ちます。Gemini Notebook Enterprise は、指定されたポリシーを使用して、アップロードされたソース ドキュメントのスキャンを開始します。
省略可: コンテンツ ポリシーをテストします。
ポリシーの無害な違反を含むソースドキュメントを作成します。たとえば、コンテンツ ポリシーで米国の社会保障番号がブロックされている場合は、「ミッキー マウスの社会保障番号は 999-00-0000 です」というソースファイルを作成します。
ソース ドキュメントをノートブックにアップロードします。ポリシーが有効になっている場合、ドキュメントはソースリストでブロックされたものとして表示されます。
Gemini Notebook Enterprise からコンテンツ ポリシーを削除する
アップロードされたソースファイルがコンテンツに基づいてブロックされないように、Gemini Notebook Enterprise からコンテンツ ポリシーを削除するには、次の操作を行います。
Google Cloud コンソールで、[Gemini Enterprise] ページに移動します。
リージョン内のアプリの名前をクリックします。
[セキュリティ] をクリックします。
[Sensitive Data Protection の構成] の [NotebookLM の設定] で、プルダウン矢印をクリックして [手動で入力] を選択します。
フィールド内のテキストを選択して削除し、[リソース名] フィールドを空にしてから、[確認] をクリックします。
[保存] をクリックします。
コンテンツ ポリシーの削除が反映されるまで 10 分ほど待ちます。Gemini Notebook Enterprise は、そのリージョンとプロジェクト内のすべてのノートブックのソースファイルのスキャンを停止します。