2026年5月26日、Google Workspace の管理者向けに Workspace Studio のステップとスターターをより細かく制御できる機能が GA（一般提供）となりました。この記事では、情シス担当者が「どのステップをどの範囲に許可すべきか」を判断するための設計軸を整理します。
この記事を読んだほうが良い人
- Workspace Studio を全社または一部グループに展開済みで、ガバナンス設計を進めたい情シス担当者
- これから Workspace Studio の利用を開始する予定で、制限ポリシーをどこから設計すればよいか迷っている方
- 2026年6月1日から適用された AI Expanded Access の利用上限変更が自社に影響するか確認したい方
Workspace Studio のステップ制限とは何か
Workspace Studio（ワークスペーススタジオ）は、Google Workspace 上でノーコードの業務自動化フローを作成できるサービスです。
今回 GA した機能により、管理者は管理コンソールの Workspace Studio 設定から、ユーザーが使える「ステップ」と「スターター」をドメイン単位・OU（組織単位）単位・グループ単位の3レベルで制御できるようになりました。
ステップ とは、フロー内で実行される個々の処理です。「Gmail でメールを送信する」「Google Meet を起動する」「Gemini に質問する」がそれぞれ1つのステップにあたります。
スターター とは、フローの起点となるトリガーです。「Gmail で新しいメールを受け取ったとき」が公式ヘルプに記載されている代表例ですが、手動実行（ユーザーが実行ボタンを押したとき）やスケジュール実行（毎週月曜 9 時に）なども含まれます。スターターの種類によってフローの自律性が変わるため、「どのスターターを許可するか」も重要な判断軸になります。
制限を設定すると、無効化されたステップはフロー編集画面でグレーアウト（選択不可）表示になります。ユーザーが誤って無効なステップをフローに組み込もうとしても、そもそも選択肢に出てこないため、操作ミスを未然に防げます。
GA 以前からの変化
今回の機能追加以前、管理者が取れる手段は Workspace Studio そのものを有効・無効にする全体スイッチのみでした。特定のステップだけ制御するためには、ドメイン全体または OU 単位で Studio を完全に無効化するしかなく、「外部連携は使わせたくないが業務系ステップは使わせたい」といった細かい調整は実質できませんでした。
今回の GA により、ステップ単位での制御が初めて可能になりました。「全員に Studio 自体は使わせるが、外部連携ステップだけ制限する」という設定が実現できます。この変化は、Studio の展開を躊躇していた組織にとって展開再検討の契機になります。
制限対象ステップの分類と設計の考え方
公式ヘルプで確認できるステップのカテゴリは4つです。カテゴリごとにリスクの性質が異なるため、分類単位で制限方針を検討するのが現実的な設計アプローチです。
以下に各カテゴリの代表例とリスク特性を整理します。
| カテゴリ | 代表的なステップ例 | リスク特性 |
|---|---|---|
| 業務系（Workspace サービス） | Gmail / Drive / Chat / Calendar / Meet 操作 | 誤操作・データ流出リスク。既存業務への影響が大きい |
| AI 連携系 | Ask Gemini・NotebookLM 連携など | AI 利用ログ・データ利用ポリシーとの整合が必要 |
| 外部連携・カスタム系 | 外部サービストリガー・公開カスタムステップ | 外部への情報送信経路になり得る。最も慎重な判断が必要 |
| フロー作成支援（Gemini 機能） | Gemini を使ったフロー自動生成 | AI 利用ポリシーとの整合が必要 |
各カテゴリのリスクと設計判断のポイントを補足します。
業務系ステップは日常業務と直結するため、全面制限は現実的ではありません。ただし放置するリスクも実在します。Gmail の送信ステップを例にすると、「顧客リストの全件に一括メールを送るフロー」を誰でも作れる状態のまま放置すると、社外への大量送信フローが無制限に稼働し得ます。ステップ単体の制限より、Drive に保管している顧客リストへのアクセス権と組み合わせた多層防御が現実的ですが、特に Gmail 送信ステップについては対象ユーザーを絞る設計を検討する価値があります。
AI 連携系ステップ（Ask Gemini など）は、フロー内で取り扱うデータが Gemini のプロンプトとして渡されることを意味します。自社の情報セキュリティポリシーで「生成 AI への情報入力ルール」が定められている場合、そのルールをフローにも適用できているか確認が必要です。フロー内でどのデータが Gemini に渡っているかを把握する仕組みを事前に検討しておく方が安全です。
外部連携・カスタム系ステップで特に注意が必要なのが「公開カスタムステップ」です。これはサードパーティの開発者が Workspace Studio 向けに作成・公開しているカスタムのステップで、ユーザーが承認なしに利用できます。Slack や HubSpot など社内承認済みの SaaS と連携するステップが含まれる一方、未承認サービスへの接続ステップが紛れ込むリスクがあります。このカテゴリは初期設定で原則制限にしておくのが最も無難です。
Gemini によるフロー作成は、ユーザーがプロンプトを書くと Gemini がフロー構造を自動生成する機能です。制限済みのステップは Gemini が提案しても選択できない状態になるため、基本的に制限設定は機能します。ただし Gemini が制限外ステップだけで代替フローを生成する可能性はゼロではなく、生成されたフローの内容を定期確認する習慣を作ることを勧めます。
情シスとして最初に着手すべきは 外部連携・カスタム系の制限 です。外部サービストリガーは未承認 SaaS との連携口になるため、まずここを封じることで最大のリスクを素早く抑えられます。
OU・グループ別の制限方針サンプル
制御はドメイン・OU・グループの3レベルで設定できます。100名規模の企業であれば、以下のような方針を起点に設計するのが現実的です。
まず ドメイン全体のデフォルトを「外部連携系は制限、業務系は許可」 に設定します。これにより全社員に対して最低限のガードが機能します。次に、自動化業務の必要性が高いメンバー（営業・マーケ・経理など）については別の OU またはグループに切り出し、追加のステップを許可する構成にします。
以下はその方針をまとめた例です。
| 対象 | 推奨設定 | 理由 |
|---|---|---|
| ドメイン全体（デフォルト） | 外部連携・カスタムステップ：制限 | 未承認外部連携の抑止 |
| 業務ユーザー（OU or グループ） | 業務系ステップ＋AI 連携ステップ：許可 | 日常業務での自動化を実現 |
| 一般社員（制限対象 OU） | Gmail 送信など特定ステップを制限 | 誤操作フローの抑止 |
| IT 管理者・特権グループ | 全ステップ許可 | 検証・管理用途 |
OU の作り方として、「Workspace Studio 利用許可 OU」を別途作成し、許可したいユーザーをそこに移動させるホワイトリスト型の運用は柔軟性が高い選択肢です。一方、公式ヘルプが推奨しているのは Studio へのアクセスを無効化した専用の子 OU を作成し、問題のあるユーザーをそこに移動して即座にフローを停止させるブラックリスト型の手法です。緊急停止が必要な局面を想定するなら、この制限 OU を事前に用意しておくことを勧めます。ホワイトリスト型と制限 OU の両方を組み合わせることで、日常運用と緊急対応を両立した設計になります。
グループベースの制限は、部門をまたいだ特定ロール（例：RPA 担当者）に対して許可を付与したいケースで有効です。OU とグループを組み合わせることで、組織構造にとらわれない柔軟な制御が可能になります。
制限ポリシーの判断基準
どのステップをどのグループに許可するか迷ったときは、次の3つの問いを順番に確認します。
- 業務上の必要性: このステップを使えないと、対象グループの日常業務に支障が出るか。支障が出るなら許可を検討。出ないなら制限を優先する
- インシデント発生時の影響範囲: このステップが悪用・誤用されたとき、どこまで影響が広がるか。外部への情報流出が起き得るなら制限を優先する
- 代替手段の有無: このステップを制限しても、同じ業務を別の承認済みツール（既存の GAS スクリプトや他の SaaS 等）で代替できるか。代替がある場合は制限の判断がしやすい
この3つの問いに答えることで、「全制限」や「全許可」に偏らず、必要な範囲だけを明確にした制限ポリシーを組めます。
例外申請と定期見直し
「原則制限だが、特定プロジェクト期間中だけ許可したい」というケースは必ず出てきます。その場合は IT 部門内で例外申請フローを定め、許可期間と対象ステップを明記した上で一時的に許可する運用を検討します。無期限の例外を認め続けると、次第に「制限がある状態」が形骸化します。
Workspace Studio は Google が継続的に新機能を追加しているサービスです。新しいステップが追加されるたびに、既存の制限ポリシーを見直す必要があります。Google のリリースノート（Workspace Updates Blog）をウォッチしながら、半年に1回程度を目安にポリシーの棚卸しを行う運用を組み込むことを勧めます。
AI Expanded Access 利用上限の引き上げで何が変わるか
Google Workspace の AI Expanded Access アドオンを契約しているユーザーを対象に、2026年6月1日から Workspace Studio の利用上限が引き上げられました（Workspace Updates の公式アナウンスより）。
AI Expanded Access は Google Workspace に追加できるアドオンライセンスで、通常プランより高い AI 利用上限と追加の Gemini 機能を提供します。Workspace Studio においては、実行可能なフロー数やステップ処理数の上限が通常より大きく設定されます。
利用上限の引き上げは、実行できるフロー数・ステップ数の上限が増えることを意味します。これまで上限に達して止まっていたフローが動き続けるケースが生まれる可能性があります。具体的には、月次で上限に達してスケジュールフローが途中で停止していたケースや、大量データを処理するフローが途中でタイムアウトしていたケースが、今後は通り抜けるようになります。
情シス担当者として意識すべき点は2つです。
- 上限緩和により、それまで問題が顕在化しなかった「無制限に実行されるフロー」がより多く動き始める可能性がある
- 外部連携ステップや大量データ操作ステップへの制限が未設定のまま上限だけ緩和されると、ガバナンスの抜け穴が広がる
ステップ制限ポリシーの整備と利用上限の緩和が重なる今このタイミングは、設定を後回しにする理由がありません。
既存フローへの影響と事前対策
ステップ制限を設定する前に必ず確認すべきことがあります。すでにユーザーが作成している既存フローに、制限しようとしているステップが含まれているかどうかです。
制限を適用したステップを含む既存フローは実行できなくなる可能性があります。公式ヘルプでは既存フローの挙動について種別ごとの明示的な記述はありませんが、制限を適用したステップが含まれるフローが正常に動作しなくなることを前提に準備を進めるのが安全です。フロー編集画面でのグレーアウト表示は新規フロー作成時のみ機能し、過去に保存済みのフローは自動修正されません。
この点を見落とすと「急に自動化が止まった」という問い合わせが情シスに集中します。特に注意が必要なのは次のようなケースです。
- 定期的に実行するスケジュールフロー（夜間バッチ的な使い方）
- 営業やマーケが日常業務に組み込んでいるトリガーフロー
- Gmail の自動返信や Drive へのファイル移動など、業務の一部になっているフロー
棚卸しの進め方
制限を適用する前に、既存フローの棚卸しを以下の手順で進めます。
- 管理コンソールのレポート機能から Workspace Studio のフロー実行ログを確認し、直近30日以内に実行されたフローを把握する
- スターターが「スケジュール実行」に設定されているフローを優先的にリストアップする。スケジュールフローは誰も気づかないまま止まりやすい
- 制限を適用しようとしているステップ（特に外部連携・AI 連携）が含まれているフローを洗い出す
- フロー作成者に対して「〇月〇日から〇〇ステップが制限されます」と事前通知する
- 猶予期間（最低7日、できれば14日）を設けて、代替フローの構築やステップ差し替えの時間を確保する
ユーザーへの通知文では「このステップは削除されるのではなく、新規フローへの追加と既存フローの実行ができなくなります」と明記するのが重要です。「削除」と「制限」の違いをユーザーが混同すると、不要な問い合わせが増えます。また、代替手段がある場合は通知と同時に案内すると、ユーザーの不安を小さくできます。
まとめ：今日から整備すべき3つのアクション
Workspace Studio のステップ制限は、2026年5月26日の GA 以前は ON/OFF しか選択肢がありませんでした。細かい粒度でのアクセス制御が可能になった今、「全員に全機能を開放する」状態から脱するタイミングが来ています。
今日から取り掛かれるアクションを順番に整理します。
- 外部連携・カスタムステップをドメイン全体で制限する — まず最もリスクの高いカテゴリを封じる。これだけでも未承認連携の温床を断てる
- 業務ユーザー向けの OU またはグループを定義し、許可するステップを明示する — 制限のためにではなく、「誰に何を許可するか」を能動的に決めるための設計
- 既存フローの棚卸しを行い、制限適用の影響範囲を把握する — 現在動いているフローを確認しておかないと、制限適用後に予期せぬ停止が発生する
この3点を順に対処することで、AI Expanded Access 利用上限の引き上げが重なるこの時期に、自動化のガバナンスを崩さず展開を進められます。Workspace Studio のガバナンス設計は、展開初期に一度丁寧に組んでおけば後からの手戻りが少ない領域です。後回しにするほど棚卸しのコストが増えるため、今週中に着手することを勧めます。
コーポレートITのご相談はお気軽に
この記事で書いたような業務改善・自動化の設計から実装まで、DRASENASではコーポレートITの現場に寄り添った支援を行っています。 「まず相談だけ」でも大歓迎です。DRASENAS 公式サイトからお気軽にどうぞ。
御社の IT 部門、ここにあります。
「ITのことはあまりわからない」── そのような状態からで、まったく問題ございません。まずはお気軽にご相談ください。