セキュリティ

Claude Codeのセキュリティ
社内利用ルールの作り方

最終更新：2026年8月12日｜合同会社ボーダレスワールド

Claude Codeの導入を社内で提案したとき、最初の壁になりやすいのが「情報漏洩は大丈夫なのか」という質問です。この質問に答えられないと、稟議はそこで止まります。この記事は、その質問に答えるための材料集です。導入を推進する担当者が、上司や情シスに説明するときにそのまま使える構成でまとめました。

心配の中身を3つに分解する

「AIが心配」という漠然とした不安は、分解すると次の3つに分かれます。それぞれ対策が違います。

1. 入力したデータがAIの学習に使われないか（データの行き先の問題）
2. 社員が入れてはいけない情報を入れてしまわないか（運用ルールの問題）
3. AIが勝手に間違った操作をしないか（権限と確認の問題）

1. データの行き先：契約条件と保持期間を確認する

Anthropic社は、商用利用規約が適用されるClaude for Work（Team・Enterprise等）の入力と出力を、顧客が明示的にオプトインしない限り生成モデルの学習に使わないと案内しています。一方、個人向けのFree・Pro・Maxは利用者がデータ利用を選択する仕組みです。会社では個人契約を流用せず、契約区分をそろえることが出発点です。

• 契約プランが法人向け（Team/Enterprise等）か、個人プランの流用か
• 生成モデルの学習利用に関する契約条件と、オプトインの有無
• サーバー側のデータ保持期間と、端末上に保存されるローカル履歴の扱い

ここは契約とプラン選定の話であり、ツールそのものの危険性の話ではありません。「個人アカウントの野良利用」を放置する方が、会社としてはるかに高リスクです。禁止して野良利用が地下に潜るより、会社契約のアカウントに揃えて設定で管理する方が安全になります。

一次情報：Anthropic「Claude Code data usage」。本記事では2026年7月18日時点の商用利用、保持期間、ローカル履歴に関する説明を参照しています。

2. 入力ルール：「入れてよい情報」の線引きを先に決める

設定を整えても、運用ルールがなければ社員は判断に迷います。おすすめは、情報を3段階に分ける簡単な表を作ることです。

大事なのは、この表を情シスや外部の専門家が押し付けるのではなく、実際に使う現場と一緒に作ることです。現場が納得していないルールは守られません。

3. 権限と確認：「AIの仕事を人間が承認する」を仕組みにする

Claude Codeはファイルの作成・変更まで実行できるため、「どこまで任せるか」の設計が要ります。実務では次の3点で十分に機能します。

• 作業フォルダを分ける：AIに触らせるファイルを専用フォルダに置き、基幹システムや共有ドライブの原本には触らせない
• 確認ポイントを決める：メール送信・社外提出・支払いに関わるものは、必ず人間が最終確認してから実行する
• 手順書に残す：業務ごとに「AIがやること／人間が確認すること」を1枚にまとめる

これは当社が自社の事業運用で実際に使っている考え方でもあります。AIの出力をそのまま外に出さず、人間の承認を挟む。この1点が、事故リスクを下げる基本になります。

稟議に書ける形のまとめ

ここまでを稟議書向けに要約すると、次のようになります。

「ルールを作ってから使う」のではなく、「使いながら最初の研修でルールを固める」のが現実的です。ルールだけ先に作ると、業務の実態と合わない机上のルールになりがちです。

研修内で権限・例外テスト・運用手順書をどの順番で扱うかは、Claude Code研修の12時間カリキュラムで具体化しています。

特に守秘義務や要配慮情報を扱う場合は、一般論だけで決めず、士業事務所のClaude Code活用とクリニック・医療機関のClaude Code活用で、業種固有の入力禁止範囲と確認者も確認してください。