セキュリティ

Claude Codeのセキュリティ
社内利用ルールの作り方

最終更新日：2026年8月30日｜合同会社ボーダレスワールド

結論：Claude Codeの会社利用は、法人向け契約のデータ条件、入力情報の3区分、重要操作を人が承認する手順を先に決めれば検討できます。個人契約の流用やAIへの無条件の権限付与を前提にしないことが重要です。この記事では、稟議・情シス確認で必要な項目を、契約・入力・権限の順に整理します。

導入前に決める3項目

助成金を使う場合は助成金ガイドで対象条件と期限を確認し、研修の全体像は研修トップで確認できます。

心配の中身を3つに分解する

「AIが心配」という漠然とした不安は、分解すると次の3つに分かれます。それぞれ対策が違います。

1. 入力したデータがAIの学習に使われないか（データの行き先の問題）
2. 社員が入れてはいけない情報を入れてしまわないか（運用ルールの問題）
3. AIが勝手に間違った操作をしないか（権限と確認の問題）

1. データの行き先：契約条件と保持期間を確認する

Anthropic社は、商用利用規約が適用されるClaude for Work（Team・Enterprise等）の入力と出力を、顧客が明示的にオプトインしない限り生成モデルの学習に使わないと案内しています。一方、個人向けのFree・Pro・Maxは利用者がデータ利用を選択する仕組みです。会社では個人契約を流用せず、契約区分をそろえることが出発点です。

• 契約プランが法人向け（Team/Enterprise等）か、個人プランの流用か
• 生成モデルの学習利用に関する契約条件と、オプトインの有無
• サーバー側のデータ保持期間と、端末上に保存されるローカル履歴の扱い

ここは契約とプラン選定の話であり、ツールそのものの危険性の話ではありません。「個人アカウントの野良利用」を放置する方が、会社としてはるかに高リスクです。禁止して野良利用が地下に潜るより、会社契約のアカウントに揃えて設定で管理する方が安全になります。

一次情報：Anthropic「Claude Code data usage」。本記事では2026年7月18日時点の商用利用、保持期間、ローカル履歴に関する説明を参照しています。

2. 入力ルール：「入れてよい情報」の線引きを先に決める

設定を整えても、運用ルールがなければ社員は判断に迷います。おすすめは、情報を3段階に分ける簡単な表を作ることです。

大事なのは、この表を情シスや外部の専門家が押し付けるのではなく、実際に使う現場と一緒に作ることです。現場が納得していないルールは守られません。

3. 権限と確認：「AIの仕事を人間が承認する」を仕組みにする

Claude Codeはファイルの作成・変更まで実行できるため、「どこまで任せるか」の設計が要ります。実務では次の3点で十分に機能します。

• 作業フォルダを分ける：AIに触らせるファイルを専用フォルダに置き、基幹システムや共有ドライブの原本には触らせない
• 確認ポイントを決める：メール送信・社外提出・支払いに関わるものは、必ず人間が最終確認してから実行する
• 手順書に残す：業務ごとに「AIがやること／人間が確認すること」を1枚にまとめる

当社の研修でも、この考え方を最初に確認します。AIの出力をそのまま外に出さず、人間の承認を挟む。この1点が、事故リスクを下げる基本になります。

稟議に書ける形のまとめ

ここまでを稟議書向けに要約すると、次のようになります。

研修では、サンプル情報で入力可否を判断する技能と、権限・例外・確認者を検証案へ整理する方法を学びます。実際の社内規程、運用ルール、運用手順書の作成・承認・本番反映は研修後の別工程です。

知識・技能10時間と実務適用2時間をどう分けるかは、Claude Code研修の12時間カリキュラムで具体化しています。

特に守秘義務や要配慮情報を扱う場合は、一般論だけで決めず、士業事務所のClaude Code活用とクリニック・医療機関のClaude Code活用で、業種固有の入力禁止範囲と確認者も確認してください。

次の判断に進む：管理者研修で決める項目　権限別の対象者選定