3行でいうと

  • 管理コンソールの「Generative AI」の下に、入口が3つあります。Geminiアプリは「Gemini app」、Workspaceアプリ内のGeminiは「Gemini for Workspace」、別契約のエージェント基盤は「Gemini Enterprise」です。設定は別々で、片方を変えても、もう片方は変わりません。
  • 会話の「保持」は3つの層で決まります。管理コンソールの履歴の設定、利用者による削除、Vaultの保持ルールです。公式は、Vaultのルールとホールドが管理コンソールの設定より常に優先される、と書いています。ただしVaultが対象にするのは「Geminiアプリ」の会話で、Gmailの「Help me write」などWorkspaceアプリに組み込まれたGeminiは同じ方法では保持されない、とお知らせに書かれています。
  • 監査ログ（Gemini for Workspace log events）は、「誰が、どのアプリで、どの種類の使い方をしたか」を記録します。読めた範囲では、プロンプトや応答の本文を記録するとは書かれていません。ログは、中身の監査ではなく、利用状況の調査のための道具、と読めます。
  • Gemini Enterpriseは、Workspaceの契約には含まれず、別のライセンスが要ります。エージェントのアクセスの既定は「許可」、管理リストに載せたエージェントの既定は「Trusted（信頼）」です。有効にする前に、この既定を確かめてください。
  • 設定の反映には、Geminiアプリのアクセスで最大24時間、会話履歴で最大72時間かかる、と書かれています。変えた直後に「効いていない」と判断しないことが大切です。

この記事は、公式の資料を2026年10月24日に読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。運営者はGeminiを入れていますが、使い心地はこの記事には書いていません。メニューの経路、項目名、既定値、数字は、公式の記載を写したもので、動作確認はしていません。公式のページは要約の形で取得したため、引用は最小限にして、ほとんどは言い換えています。読めていない部分と、読んだ範囲では見つからなかったことは、そのつど書きました。自分の組織のエディションや契約で何が使えるかは、管理者が自分の画面で確かめてください。規約やコンプライアンスの解釈は、専門家に確認してください。

先に結論

前提：用語をそろえる

1. 3つのGeminiを地図にする

同じ「Gemini」でも、管理者から見ると別の設定の束です。公式のページから読み取れた対応を、表にします（確認日10月24日）。

名前 公式の説明（要約） 管理コンソールの入口 必要な権限 根拠のページ
Geminiアプリ 独立したチャット型。ブレインストーミングやDeep Researchなど。生成物をWorkspaceアプリに持ち込める メニュー > Generative AI > Gemini app Gemini Settings administrator privilege Turn the Gemini App on or off、Google Workspace with Gemini
Workspaceアプリ内のGemini 各アプリの作業画面の中で動き、メールや文書の情報を使って要約、分析、作成を助ける メニュー > Generative AI > Gemini for Workspace（会話履歴の設定） Gemini Settings administrator privilege Manage Gemini in Workspace conversation history settings
Gemini Enterprise（Standard、Plus、Frontline） エージェントを含む、組織のAIの基盤。Workspaceの契約には含まれず、別のライセンスが要る メニュー > Generative AI > Gemini Enterprise、メニュー > Agents サービスのオン/オフはService Settings administrator privilege、エージェントの制御はSecurity administrator privilege Turn Gemini Enterprise on or off for users、Control access to Gemini Enterprise agents
Gemini Enterprise Business edition 別のヘルプセンターで案内されている版。このドキュメントの範囲外と、Google Cloud側に書かれている 同じ「Gemini Enterprise」の下の「Business edition」 共有とWorkspaceデータへのアクセスはservice administrator privilege Turn Gemini Enterprise on or off for users

Workspaceの公式ページ「Google Workspace with Gemini」は、Workspaceのプランに、Geminiアプリ、Gemini Notebook、Gmail・Docs・Meetなどの中のGeminiが含まれる、と書いています。個別の機能として、サイドパネル、「Help me write」、Meetの「Take notes for me」、Vids、Workspace Studio（コーディング不要の業務自動化）、Slidesの「Help me visualize」「Help me design」、Sheetsの「Enhanced Smart Fill」などが並んでいます。エディションごとの一覧は、そのページには書かれていません。管理コンソールでの切り替えの経路も、そのページには書かれておらず、個別のガイドへのリンクだけがあります。

名前の混ざりやすさ
  • 公式の資料の中でも、同じ物に複数の名前が使われています。たとえば、ログのページは「Gemini for Workspace log events」ですが、Reports APIの資料の題名は「Gemini in Workspace Apps Activity Events」で、APIのアプリ名は gemini_in_workspace_apps です。メニューの項目名は「Gemini for Workspace」です。読むときは、「Workspaceアプリの中のGemini」の話だと分かれば足ります。
  • Google Workspace Updatesの2025年7月1日のお知らせの脚注には、Gemini BusinessとGemini Enterpriseのアドオンは2025年1月15日から販売していない、と書かれています。同じ名前が出てくるので、混ぜないよう注意が要ります。今の「Gemini Enterprise」は、Workspaceの契約には含まれない別のライセンスだと、Workspaceの管理者向けページに書かれています。
  • Gemini Enterpriseのドキュメントは、Standard、Plus、Pay-as-you-go、Frontlineの各エディション向けで、Businessエディションは別のヘルプセンター（support.google.com/g）で案内されている、と書いています。

2. 管理コンソールの経路と権限、既定、反映時間

ここは、読んだ公式ページに書かれた経路を、設定ごとに並べたものです。ページに書かれていないものは「書かれていない」としました。どの設定も、OUまたは構成グループを選んで、一部のユーザーだけに適用できると書かれています。

設定 経路（画面の項目名のまま） 既定 反映 権限
Geminiアプリのオン/オフ メニュー > Generative AI > Gemini app > Service status > On for everyone または Off for everyone 状態の既定は書かれていない。利用資格は、Workspaceライセンスの権利がある18歳以上の全員、と書かれている 最大24時間（多くはより早い） Gemini Settings administrator
ライセンスに関係なく全員に開く Gemini app の中の「Allow all users to access the Gemini app, regardless of license」のチェック 書かれていない 同上 同上
GeminiアプリからのWorkspaceアプリ利用 Gemini app > Apps > Workspace apps、Classroom app、Other Google apps Workspace appsは既定でオン。Classroomは教育版のみ既定でオン。Other Google appsの既定は書かれていない 最大24時間 Gemini Settings administrator
一時チャットと会話の削除 Gemini app > Gemini conversation history > Allow temporary chats、Allow users to delete conversations Vaultを使わないと両方オン、Vault for Geminiを使うと両方オフ 書かれていない Gemini Settings administrator
会話の共有 Gemini app > Sharing > Conversation sharing > Allow conversation sharing via link、Allow conversation sharing via Drive リンク共有はオフ、Drive経由はオン 最大24時間（多くはより早い） Gemini Settings administrator
Geminiアプリの履歴の保持期間 Gemini app の会話履歴の設定（経路の細部は、読んだページでは確かめきれていない） 履歴はオン。保持の既定は18か月。選択肢は3、18、36か月 最大72時間 履歴の設定を変えられるのは管理者のみ
Workspaceアプリ内のGeminiの履歴 メニュー > Generative AI > Gemini for Workspace > Conversation history & deletion > Manual deletion、Auto-deletion 書かれていない 自動削除は通常1日以内。手動削除の反映時間は書かれていない Gemini Settings administrator
Gemini Enterpriseのオン/オフ メニュー > Generative AI > Gemini Enterprise > Service status 書かれていない 最大24時間 Service Settings administrator
エージェントの既定のアクセス メニュー > Agents > Settings > Default access for Gemini Enterprise agents 「Allow agent access」 書かれていない Security administrator
個別のエージェントの許可と遮断 メニュー > Agents > Agent access management > Add agent 「Trusted」 書かれていない Security administrator

いくつか補足です。

オンにしたあとの反映は遅いことがある。 Geminiアプリのオン/オフのページは、アクセスの設定は最大24時間、会話履歴の設定は最大72時間かかると書いています。新しく作ったユーザーは、履歴が効くまで最大72時間かかり、作成後72時間以内の会話は保存されないことがある、とあります。

Androidでは別の設定も要る。 Androidで使うには「Search and Assistant」サービスの設定もオンにする必要がある、と書かれています。オフのままだと、Androidの利用者はGeminiアプリを使えません。

モバイルアプリには専用の管理設定がない。 公式は、モバイルアプリ専用の管理者の制御はなく、デバイス管理の設定でブロックできる、と書いています。また、モバイルアプリでは、Workspaceの利用者はGemsとCanvasを使えない、と同じページにあります。Androidのワークプロファイルでは、gemini.google.comへ転送されます。

この設定が及ぶ範囲。 Geminiアプリのオン/オフは、gemini.google.com、Geminiのモバイルアプリ、Gemini in Chromeにだけ効きます。ほかのWorkspaceサービスのAI機能（Gmailのサイドパネルなど）は、これでは止まらない、と書かれています。Gemini in Chromeだけを止めたい場合は、Chrome EnterpriseのGeminiSettingsで無効にして、WebとモバイルのGeminiアプリを残す方法がある、と同じページにあります。

Workspaceアプリのつなぎを切ると何が起こるか。 「Control Gemini App access to Workspace services」のページによると、サービスをオフにすると、対応するWorkspaceアプリはGeminiから使えなくなります。複数のサービスにまたがる依頼で、どれか1つがオフだと、すべての操作が完了しません（例として、予定の作成とリマインダーの追加で、Tasksがオフだと、どちらも行われない、と書かれています）。Workspace appsをオフにしても、過去のチャットは残りますが、追加の情報にはアクセスできません。Workspace appsを使うには、利用者のGeminiの会話履歴がオンである必要がある、と書かれています。履歴をオフにすると、Workspaceアプリとの連携はGeminiからアクセスできなくなる、とも書かれています。

Gemini in Chromeには別の条件がある。 同じオン/オフのページには、Gemini in Chromeの利用条件として、米国でのサインイン、18歳以上、英語（米国）の既定言語、Chromebook Plus・Windows・macOS・iOSのいずれかのデバイスが書かれています。また、HIPAAのBAAに署名した顧客では自動的にブロックされる、とあります。

3. データ保護：Geminiアプリと、Workspaceアプリ内のGemini

公式の「Generative AI in Google Workspace Privacy Hub」（更新履歴の最新の項目は2026年10月6日、ページ末尾には2026-10-22の表示があります。公開は2024年12月17日）の記載を、二つの入口で並べます。個人アカウントとの違いの全体像は前のガイド（02）に書いたので、ここは管理者が顧客に説明するときに必要な点に絞ります。

観点 Geminiアプリ Workspaceアプリ内のGemini
学習への利用 チャットとアップロードファイルは、許可なしにドメイン外の生成AIモデルの学習に使われない プロンプトとコンテンツは、ドメイン外のモデルの学習に使われない
人間のレビュー チャットとアップロードファイルは、許可なしに人間のレビュー担当者が見ることはない 顧客のコンテンツは、許可なしにドメイン外で人間にレビューされない
保存 最長36か月。履歴をオフにすると、新しいチャットは最大72時間。自動削除の既定は18か月 プロンプトと応答は、90日から無期限まで管理者が決める。利用者の手動削除は、管理者が禁じていなければ可能
データの所在 具体的な地域の記載は、読んだ範囲では見つからなかった 同じく見つからなかった
フィードバック 保存は最長18か月（「任意」と「学習に使われない」の点は、FAQ側では確かめていません。前のガイド（02）を参照） 同じ。プロンプトと出力は、共有のチェックが入っているときだけ含まれる

三つの点に注意が要ります。

①「コアサービス」かどうかで、人間のレビューの扱いが変わる。 Geminiアプリのオン/オフのページは、コアサービスとして使う場合は、チャットとアップロードファイルが人間のレビューやドメイン外のモデル学習に許可なく使われない、と書いています。一方で、追加サービスとして使う場合は、利用者のチャットを人間のレビュー担当者が見ることがあり、Googleの製品や機械学習技術の改善に使われうる、と書かれています。さらに、ページは、機密情報を入れないよう利用者に伝えることを勧めています。コアサービスとして使えるエディションは、Business Starter、Business Standard、Business Plus、Enterprise Starter/Standard/Plus、Essentials、Enterprise Essentials/Essentials Plus、Frontline Starter/Standard/Plus、Nonprofits、AI Expanded Accessと書かれています。Business系の一部には、モバイルアプリを使うために、業務用メールでのサインアップまたはドメインの確認が必要という注記があります。Workspaceアプリ内のGeminiがコアサービスか追加サービスかは、Privacy Hubでは明示されていない、と読めました。

②Geminiは、利用者がアクセスできるものしか取ってこない。 Privacy Hubは、Geminiは利用者が権限を持つWorkspaceのコンテンツだけを取得し、権限のないファイルは取得されない、と書いています。外部から共有されたファイルや、ドメイン外で作られたファイルについては、組織内のDriveとGmailをまたぐ検索（グラウンディング）が、既定で無効になる、とあります。IRM（ダウンロード、コピー、印刷の無効化）とクライアント側の暗号化（CSE）は、Geminiのアクセスを制限できる、と書かれています。CSEのコンテンツには、Googleのシステムも従業員も技術的にアクセスできない、とも書かれています。ただし、FAQには、組織の既存のデータリージョンのポリシーとDLPが自動的に適用される、と書かれていますが、具体的な地域の一覧は書かれていません。

③認証の対象外がある。 Privacy Hubは、SOC 1/2/3、ISO 9001、ISO/IEC 27001、27701、27017、27018、42001を取得していて、Gemini in Workspace appsとGeminiアプリはFedRAMP Highの認可を受けている、と書いています。HIPAAのワークロードもサポートする、とあります。一方、Gemini NotebookとGemini in Chromeは、ISO、SOC、FedRAMPに対応しておらず、HIPAAのBAAの対象外、と明記されています。Gemini Notebookは、組織のデータリージョン設定が適用されない、とも書かれています。Personal Intelligence（ベータ機能）は、Business、Enterprise、Educationのアカウントでは使えない、とあります。

保存場所を聞かれたときの答え方（僕らの整理）

読んだ範囲では、GeminiアプリとWorkspaceアプリ内のGeminiについて、データの保存地域を具体的に書いた箇所は見つかりませんでした。書かれているのは、①Gemini Notebookはデータリージョン設定が適用されない、②FAQに「既存のデータリージョンのポリシーが自動的に適用される」という一文がある、の2つです。これらが矛盾しているのか、対象の範囲が違うだけなのかは、僕らには判断できていません。地域の要件がある組織は、公式の資料だけで答えを決めず、Googleの窓口や契約の資料で確かめてください。

4. 保持と削除：3つの層と、優先の順番

履歴と保持は、次の3つが重なっています。

層 決めるもの 決める人 公式の記載
①管理コンソールの履歴の設定 会話を保存するか、自動削除までの期間 管理者 Geminiアプリは3、18、36か月（既定18か月）。Workspaceアプリ内のGeminiは、90日、540日、1080日、無期限、または利用者に任せる
②利用者による削除 利用者が自分の会話を消せるか 管理者 「Allow users to delete conversations」（Geminiアプリ）、「Manual deletion」（Workspaceアプリ内）
③Vaultの保持ルールとホールド 組織として保持する期間、法的な保全 Vaultの管理者 Geminiアプリの会話が対象。管理コンソールの設定と利用者の設定より優先

優先の順番。 Vaultのお知らせ（2026年6月11日）には、「Vault retention rules and holds will always take precedence over Admin console settings」と書かれています。Vaultのヘルプも、管理コンソールや利用者の設定は、保持ルールやホールドがある範囲では、利用者の表示から会話を隠すだけだ、と書いています。つまり、ホールドがあるとき、利用者が会話を削除しても、履歴をオフにしても、データは保持されて、Vault管理者には見えます。

Vaultの手順（公式のとおり）。 Vault（vault.google.com）での保持ルールの作り方は、次のとおりです。

カスタムルール:
Retention > Custom Rules > Create > サービスで「Gemini app」> Continue
> 範囲（組織部門）を選ぶ > Continue > 保持期間を設定 > Create
> 影響の確認のチェックを入れて Accept

デフォルトルール:
Retention > Gemini の行（ルールがないと「No default retention」と表示）
> Gemini app > 保持期間を設定 > Create > 確認して Accept

保持期間は「Indefinitely（無期限）」か、1から36,500日の日数で指定します。期間の起点は、会話で最後のプロンプトまたは応答が送受信された時点で、期間が切れると、会話の全体がパージされます。既定の保持期間の値は、読んだページには書かれていません。

Vaultの警告。 Vaultのヘルプは、設定が不適切だと、データが即座に、元に戻せない形でパージされることがある、と警告しています。少人数のOUで先に試すのが安全だ、というのは僕らの整理です。ルールの作成と変更は、反映まで最大24時間かかります。ルールを作った後、反映が終わるまでの間に利用者が消したメッセージは、保持されません。保持期間が終わったあと、利用者の表示から消えるまで数時間から数日、すべてのGoogleのシステムから消えるまで少なくとも30日かかる、とあります。ルールを削除すると、ほかのルールやホールドで守られていないデータが、すぐにパージされる場合がある、とも書かれています。

Vaultの対象外。 お知らせは、Gmailの「Help me write」やDocsなど、ほかのアプリに組み込まれたWorkspaceのGemini機能は、同じ方法では保持されない、と書いています。Vaultのヘルプも、Gemini in Workspace appsなどGeminiアプリ以外が対象かどうかは書いておらず、本ページは「Gemini app」が対象と書いています。Workspaceアプリ内のGeminiの履歴の設定のページには、Vaultの記載が見つかりませんでした。アップロードしたファイル、Canvas、一時チャットがVaultの保持の対象かどうかは、Vaultのヘルプには書かれておらず、別の「対応するサービスとデータの種類」のページを参照するよう案内されています。そのページは読んでいません。

エディション。 お知らせには、Geminiアプリの保持ルールとホールドの対象として、Business Plus、Frontline Standard/Plus、Enterprise Essentials Plus、Enterprise Standard/Plus、Education Fundamentals/Standard/Plus、およびVaultアドオンが挙がっています。Business StarterとBusiness Standardはこの一覧に出てきません。自分のエディションで使えるかは、管理者が確かめる必要があります。APIでの対応は「coming weeks」とあり、具体的な日付はありません。

一時チャットとVaultの関係。 一時チャットと会話の削除のページによると、Vault for Geminiを使う組織では両方の既定がオフです。オンにした場合でも、一時チャットのデータはVaultのルールで記録されて保持され、削除した会話は利用者の画面から隠されるだけで、Vaultのルールで保持されます。ユーザーには、管理者やVaultのユーザーから見える可能性がある、というメッセージが表示される、と書かれています。

5. 監査：ログで何が分かり、何が分からないか

どこで見るか

「Gemini for Workspace log events」のページ（2026-10-22更新と表示）によると、次の2つの場所で見られます。

監査ツール:
メニュー > Reporting > Audit and investigation > Gemini for Workspace log events
（Audit & Investigation の管理者権限が必要）

セキュリティ調査ツール:
メニュー > Security > Security center > Investigation tool
> データソースで「Gemini for Workspace log events」
（Security center の管理者権限が必要）

日付の既定は過去7日間です。属性、演算子、値を指定して絞り込めます。セキュリティ調査ツールの対応エディションとして、Frontline Standard/Plus、Enterprise Standard/Plus、Education Standard/Plus、Enterprise Essentials Plus、Cloud Identity Premiumが書かれています。監査ツールは、検索できる範囲はエディションで違うが、全ユーザーを検索できる、とあります。

何が記録されるか

記録されるイベントは、ページに明記されているものとして「Feature Utilization event」で、ユーザーがWorkspaceサービスの中でGeminiを使ったときに記録されます。分類（Event Category）の値は次のとおりです。

値 意味（公式の説明の要約）
active_conversations Geminiとの会話
active_generate 画像やスライドの生成など
active_summarize スレッドの要約など
active_unspecified 生成と要約以外の能動的な利用
inactive 能動的な利用とみなされないもの
unknown 分類されないもの

ほかに、アプリ名、UI上の発生箇所（Feature Source）などの属性があります。ユーザー、デバイス、IPなど、ほかの属性の一覧は、ログのページの属性表を自分で確かめてください。Agent ID、Agent name、Agent productで検索でき、Agent productはGoogle Workspace Studioのフローのみ対応で、ほかのエージェントは今後対応すると書かれています。

Reports APIの資料（Admin SDKの付録、2026-09-22更新と表示）には、イベントの種類が ai_usage_event、イベント名が feature_utilization で、パラメータは action、app_name、event_category、feature_source と書かれています。app_name の値には、gemini_app、gmail、docs、drive、meet、sheets、slides、vids、chat、classroom、keep が挙がっています。呼び出しの例として、公式は次の形を載せています。

GET https://admin.googleapis.com/admin/reports/v1/activity/users/all/applications/gemini_in_workspace_apps?eventName=feature_utilization&maxResults=10&access_token=YOUR_ACCESS_TOKEN

action には、add_to_calendar、conversation、generate_form、summarize_file など、66の値が挙がっています。feature_source には help_me_write、take_notes_for_me、side_panel などが挙がっています。この例と値は公式の写しで、この記事では呼び出して確かめていません。access_token の取り方（OAuthのスコープなど）は、読んだ範囲では確かめられていません。

何が分からないか

アラートと、Notebookのログ

ログのページは、Reporting rulesでログのデータに基づくアラートを作れる、セキュリティ調査ツールではactivity rulesで自動化やアラートを作れる、と書いています。ただし、2025年7月のお知らせにはアラート機能の記載がなく、どのイベントでどんなルールが作れるかは、読んだページには書かれていません。Gemini Notebookの監査ログのお知らせ（2026年9月3日）には、ノートブックの公開範囲、ユーザーID、IPアドレス、リソースのコンテキストなどが記録される、と書かれています。監査ログの保存は標準のリージョンルーティングに従う一方、ノートブック、ソース、チャット履歴などのユーザーデータはグローバルに保存され、現時点ではデータのリージョン指定に対応していない、とあります。

6. Gemini Enterpriseを管理する

エディションの違い

Gemini Enterpriseの「Compare editions」のページ（2026-10-22更新と表示）の表から、管理者に関わる所を写します。金額は、そのページには書かれていませんでした。

項目 Business Standard Plus Pay-as-you-go Frontline
シート数 1〜500ユーザー 1人以上 1人以上 最低1シート Standard または Plus を使う150人以上
ストレージとデータ索引（ユーザーあたり、プール） 25 GiB 30 GiB 75 GiB 従量課金 2 GiB
基本的なエージェントのガバナンスと管理 あり あり あり あり なし
エンタープライズ級のセキュリティとコンプライアンス なし あり あり あり あり
no-codeエージェントの構築と公開（プレビュー表示） あり あり あり あり なし
自作のフルコードエージェント なし あり あり あり あり（管理者が割り当てた開発済みのもののみ）

注意点が3つあります。①「エンタープライズ級のセキュリティとコンプライアンス」が具体的に何を含むかは、そのページには書かれていません。②no-codeエージェントの構築と公開、利用には「(preview)」の表示があります。③管理者がパートナーモデル（そのページには、Anthropicのモデルが名前つきで挙がっています）を有効にすると、その利用は超過分のトグルの対象外で、プロジェクトの月額の支出上限まで従量で即座に課金される、という警告が表示される、と書かれています。月次のシートクレジットは、Googleのモデルにのみ適用されます。

オンにする手順と、データへのアクセス

「Turn Gemini Enterprise on or off for users」のページ（2026-10-22更新と表示）には、次のように書かれています。

サービスのオン/オフ:
メニュー > Generative AI > Gemini Enterprise > Service status
> On for everyone または Off for everyone > Save

Workspaceのデータへのアクセス（Standard / Plus / Frontline）:
メニュー > Generative AI > Gemini Enterprise > Standard, Plus, or Frontline
> 「Allow Gemini Enterprise to access Google Workspace data」にチェック > Save

Business editionの共有:
メニュー > Generative AI > Gemini Enterprise > Business edition > Sharing options
（Off=自分のドメインの中だけ、Share with allowlisted domains、On=ドメイン外にも共有可）

このページは、Gemini Enterpriseは、Workspaceの契約には含まれず、Gemini Enterpriseのライセンスを買う必要がある、と書いています。サービスをオンにすると、利用者はサイドパネル、Gemini Enterpriseのアシスタント、Gemini CLIでエージェントを使えます。適用される条件は、Frontline、Standard、PlusはGoogle Cloudの規約とプライバシー通知、Business editionはGoogleの利用規約、プライバシーポリシー、Business editionの追加の利用規約、と書かれています。データについては、顧客がデータを所有し、プロンプト、出力、学習データは、顧客の許可なしに生成AIモデルの学習に使われず、Googleは顧客データを第三者に売らない、と書かれています。各設定の既定値は、このページには書かれていません。

エージェントの制御

「Control access to Gemini Enterprise agents」と「Manage Gemini Enterprise agents for Workspace users」の2ページによると、次のとおりです。

Gemini Enterpriseのドキュメントの「Agents overview」（2026-10-20更新と表示）は、エージェントの状態として「Private」「Suspended」「Enabled」「Disabled」の4つを挙げ、管理者が、エンドユーザーによるエージェントの共有と、管理者による審査と承認の要否を設定できる、と書いています（Workflow Builderで作ったエージェントが対象）。権限、許可リスト、IAMの記載は、そのページには見つかりませんでした。

認証とセキュリティの制御

「Compliance certifications and security controls」のページ（2026-10-20更新と表示）は、Standard/Plusと、Gemini Notebook Enterpriseについて、HIPAA、FedRAMP、ISO 27001/27017/27018/27701、SOC 1/2/3、PCI DSS、BSI C5:2020など、多くの認証を持つ、と書いています。ただし、認証ごと、エディションごとの対応は書かれておらず、製品名で各セキュリティのページを検索するよう案内されています。制御は次のとおりです。

制御 Standard / Plus 公式の注記
データレジデンシー あり（制限あり） 具体的な保存場所は、別のLocationsのページ（読んでいない）
CMEK（顧客管理の暗号鍵） あり（USとEUのマルチリージョンのAPIのみ） global リージョンでは未対応
VPC Service Controls あり
Access Transparency あり global リージョンでは未対応
IAM、監査ログ 書かれていない

脚注として、Grounding with Google Searchを有効にすると、VPC Service Controls、Access Transparency、データレジデンシーは適用されない、と書かれています。AlphaEvolveとAntigravityには、非対応の認証が列挙されています。

7. ファイアウォールの許可

組織のネットワークでファイアウォールを使っている場合、「Gemini App firewall settings」（2026-10-20更新と表示）に載っているホストを許可する必要があります。管理コンソールでサービスをオフにしている場合でも、許可しておく必要がある、と書かれています。公式が載せているホストは34件で、ポート番号とプロトコルの記載はありません。

公式が挙げている34のホスト

gemini.google.com、www.google.com、www.googleapis.com、apis.google.com、ssl.gstatic.com、www.gstatic.com、fonts.googleapis.com、fonts.gstatic.com、play.google.com、ogs.google.com、jnn-pa.googleapis.com、waa-pa.clients6.google.com、ogads-pa.clients6.google.com、optimizationguide-pa.googleapis.com、content-autofill.googleapis.com、streetviewpixels-pa.googleapis.com、maps.googleapis.com、maps.gstatic.com、i.ytimg.com、yt3.ggpht.com、www.youtube.com、lh3.googleusercontent.com、lh5.googleusercontent.com、lh3.google.com、csp.withgoogle.com、www.googletagmanager.com、www.google-analytics.com、static.doubleclick.net、td.doubleclick.net、googleads.g.doubleclick.net、encrypted-tbn0.gstatic.com、encrypted-tbn1.gstatic.com、encrypted-tbn2.gstatic.com、encrypted-tbn3.gstatic.com。 公式は、現時点で通信がなくても、将来通信が発生する可能性があること、ドメインのIPアドレスは特定の範囲に収まるとは限らないこと、ほかのGoogleサービスが同じIPアドレスを使う場合があることを注意しています。一覧は変わることがあるので、設定の前に、公式のページを開いて確かめてください。

8. 利用上限と、AI Expanded Access

利用上限は、管理者がよく受ける問い合わせの種類です。FAQは、利用上限は容量の制約に応じて変わることがある、と書いています。「About AI usage limits」のページ（2026-10-22更新と表示。この記事の出典には入れていません）には、上限は利用者ごとで共有できず繰り越しもできないこと、Business Starterの表に「daily limits may change frequently」とあること、一部の機能（Nano Banana Pro）ではGeminiアプリとGemini Notebookの使用量が別に数えられることが書かれています。僕らはこのページを一部しか読めていないので、自分の組織の上限は、管理者が公式の最新の表で確かめてください。

「AI Expanded Access」は、既存のプランを補うアドオンです。ページ（2026-10-22更新と表示）には、対象がBusiness Standard、Business Plus、Enterprise Standard、Enterprise Plusと書かれていて、18歳未満の利用者には割り当てないよう注意があります。上限の例として、Geminiアプリで1日あたり最大200プロンプト（Argon）と最大600プロンプト（Thinking）、Slidesのプレゼンテーション生成が月500スライド、Vidsの動画生成が月2,000秒、といった数字が表にありました。この記事では、これらの数字がいまも同じかを確かめていません。購入は、ページの「Get AI Expanded Access」のボタンから、管理コンソールの請求のページへ進みます。価格は、現地通貨と契約の期間で違う、とだけ書かれていて、金額は載っていません。支払いの実績がない新しいアカウントには、購入前に30ドルの前払いが必要なことがある、月の途中でライセンスやユーザーを削除しても、そのライセンスは月額の全額が請求されることがある、と書かれています。

9. 最初の10分でやること（僕らの整理）

ここから先は、公式の記載を読んだうえでの僕らの整理で、見立てです。実際の順番や適用範囲は、組織の方針に合わせてください。

  1. 権限を確かめる。 この記事で出てきたGeminiの設定の多くは「Gemini Settings administrator privilege」が要ります。監査ログはAudit & Investigationの権限、Gemini Enterpriseのエージェントの制御はSecurity administratorの権限、と書かれています。Vaultに必要な権限は、読んだページには書かれていませんでした。Vaultを使う予定なら、Vaultを担当している人に、先に権限を確かめてください。
  2. 自分の組織が、どの「Gemini」を使っているかを書き出す。 Geminiアプリ、Workspaceアプリ内のGemini、Gemini Enterpriseのどれを、どのOUに開くのかを決めます。
  3. Vaultを使うかどうかを先に決める。 使うなら、一時チャットと会話の削除の既定がオフになることを、利用者に伝えます。使うなら、本番の前に、少人数のOUで保持ルールを試します。
  4. 履歴と共有を決める。 履歴の保持期間（3、18、36か月）、一時チャットと削除を許すか、リンク共有を許すか（既定はオフ）、Drive経由の共有を許すか（既定はオン）を、方針として書いてから設定します。
  5. Workspaceアプリとのつなぎを決める。 Gemini app > Apps で、Workspace apps、Other Google appsを、OUごとに許すかを決めます。
  6. ログの入口を開いておく。 「Reporting > Audit and investigation > Gemini for Workspace log events」を、日付の既定（過去7日間）のまま開いて、自分に見えるかを確かめます。
  7. ネットワークを確かめる。 ファイアウォールを使っているなら、第7節のホストが許可されているかを、ネットワークの担当者に確かめます。
  8. 利用者に伝える。 公式は、機密情報を入れないよう利用者に伝えることを勧めています。履歴の設定、共有のルール、一時チャットの扱いを、短い文書にしておくと、問い合わせが減ります。
  9. 反映を待つ。 設定の反映には、最大24時間から72時間かかります。変更した日と内容を記録して、次の日に確かめます。

10. どう選ぶか（僕らの整理）

状況 公式の記載から読める選び方
社員にGeminiを試してもらいたい 小さなOUでGeminiアプリをオンにして、履歴、共有、Workspaceアプリとのつなぎを決めてから広げる
法的な保全や、保持の義務がある Vaultの保持ルールとホールドを使う。対象はGeminiアプリの会話で、Workspaceアプリに組み込まれた機能は同じ方法では保持されない
「誰が使ったか」を知りたい Gemini for Workspace log events。本文は、読んだ範囲では記録されない
「何を聞いたか」を調べる必要がある Geminiアプリの会話は、Vaultの検索。Workspaceアプリ内のGeminiは、読んだ範囲では見つからなかった
外部との共有を絞りたい リンク共有はオフのまま。Drive経由の共有は、Driveの外部共有の設定が効く
機密性の高い資料を扱う IRMとCSEがGeminiのアクセスを制限できると公式に書かれている。Gemini NotebookとGemini in Chromeは、認証の対象外
エージェントを組織で使いたい Gemini Enterpriseのエディションと、エージェントの既定（Allow、Trusted）を確かめてから、管理リストで個別に決める

気をつけること

出典