社内ナレッジ検索AIの選び方：導入前に確認すべき権限・費用・評価方法

多くの企業にはすでに検索機能があります。足りないのは「答え」です。最新版の規程、ある判断の理由、該当する契約条項などがすぐに見つかりません。Atlassianの「State of Teams 2025」は、ナレッジワーカー12,000人と経営層200人への調査から、リーダーとチームが時間の25%を答え探しに費やしていると報告しています。自社の数字がその半分だとしても、投資判断で最も大きな項目になります。

社内ナレッジ検索AIは、社内文書の検索インデックスと、回答を作成して根拠文書を示す言語モデルを組み合わせたものです。難しいのはモデルではありません。適切な情報源への接続、誰が何を見てよいかの制御、そして回答が信頼できるほど正確であることの検証です。

最初に決めるのはベンダーではなく、自社の文書に合う導入方法です。重要文書の大半を、最小限の追加連携でカバーできる方法を選びます。

判断の近道は、チームが最近答えに困った質問を20件ほど挙げ、最終的に答えがどこにあったかを記録することです。15件が同じオフィス製品内にあれば、付属のAIから始めるのが自然です。5つの別々のシステムに散らばっていれば、モデルの性能よりコネクタの対応範囲が重要になります。頻繁に更新される1つの文書群に集中していれば、対象を絞った独自システムを開発する価値があります。組み合わせも可能で、全社にはオフィス製品付属のAIを使い、特定チーム向けに独自のアシスタントを1つ開発する企業も少なくありません。

AI検索は新しいアクセス権を生みませんが、これまで「見つけにくさ」で隠れていた不適切な権限を表に出します。Microsoftは、Microsoft 365 Copilotが利用者に少なくとも閲覧権限のある組織データのみを表示し、Semantic Indexも現在の利用者がアクセスを許可されたコンテンツだけを根拠に使うと説明しています。設計としては正しいのですが、数年前に「全員」に共有された予算フォルダがあれば、給与について質問した誰にでも回答が返ることになります。

MicrosoftのRestricted SharePoint Searchの解説でも、まさにこの例を取り上げています。ほとんどの社員が存在を知らず、権限も見直されていなかった予算管理サイトの内容が、マーケティング担当者のCopilotの回答に出てくるというものです。権限の見直しはチェック項目ではなく、責任者と期限を持つプロジェクトの一工程として扱います。

2024〜2025年に作られた多くのCopilot導入計画は、Restricted SharePoint Searchを前提にしていました。最大100サイトの許可リストで、組織全体の検索とCopilotが参照できる範囲を制限する機能です。Microsoftは現在、この機能が廃止予定で、2026年7月31日以降は新規の有効化ができないとしています。また、セキュリティ境界ではなく権限も変更しないため、利用者が最近開いたサイトや、TeamsやOutlookで共有されたサイトは引き続き表示されると明記しています。

後継はRestricted Content Discoveryです。サイト単位の設定で、権限を見直している間、そのサイトを組織全体の検索とCopilotの回答から外します。CopilotライセンスとSharePoint Advanced Managementが必要で、ファイルを開ける人は変わりません。Microsoftによると、50万件を超えるアイテムを持つサイトでは反映に1週間以上かかる場合があります。試験導入の日程にこの時間を組み込みます。

独自システムでは、オフィス製品が標準で備える仕組みを自前で作る必要があります。よくある失敗は、すべての文書を1つのベクトルデータベースに入れ、回答後にフィルタをかける方法です。OWASPの「LLMアプリケーションのTop 10（2025年版）」は、ベクトルと埋め込みの脆弱性（LLM08）を挙げ、細かなアクセス制御、権限を考慮したベクトルストア、データセットの厳格な論理分離により、別グループの情報を検索できないようにすることを推奨しています。

既製ツールは利用者単位の料金です。目安として、MicrosoftはMicrosoft 365 Copilot（企業向け）を、対象となるMicrosoft 365プランに加えて、年払いで1ユーザーあたり月額30.00米ドルとしています。専用検索ツールは利用者数とコネクタ数に応じて営業経由で見積もることが多いため、実際に必要なコネクタを含めた価格を確認します。

費用はライセンスだけではありません。権限の見直し、コネクタ設定、評価用データセット、導入後に回答品質を管理する担当者の工数も見込みます。独自RAGはライセンス費用の代わりに開発費とホスティング費がかかり、対象を絞った業務に十分な利用量がある場合にのみ採算が合います。初日から全社員にライセンスを配らず、検索頻度の高いチームから試験導入します。

ベンダーのデモは整ったデモデータで行われます。評価には、自社の質問、自社の整理されていない文書、権限の異なる実際の利用者を使います。

合格基準は結果を見る前に決めます。社内の試験導入であれば、大半の回答が正確で正しい文書を引用していること、答えがない場合に作り話をせず「分からない」と返すこと、そしてテスト用アカウントが権限外の情報を一度も見ないことが妥当な基準です。最後の条件に許容範囲はありません。1件でも漏えいがあれば、平均点で判断せず、作業を止めて権限を修正します。

次の質問で、デモにだけ合うツールと自社環境に合うツールを見分けます。回答は書面で受け取ります。