公開日：2026-08-08／最終更新：2026-08-08（JST） 規約・仕様は本文記載の時点の情報です。
📋 この記事でわかること
Claude の法人導入で社内審査を通すための確認項目をまとめた記事です。確認を「契約層・設定層・運用層」の3層に分けると、誰が何を調べればよいかが決まります。学習利用の既定・保存期間・権限・監査ログについて公式資料で確認できる事実を層ごとに整理し、管理画面のどこを見るかまで示します。末尾に確認シート12項目を掲載しています。
📖 この記事は約14分で読めます。
記載時点について：仕様・規約の記述は2026年8月6日に公式資料を確認した時点のものです。規約と管理機能は更新されるため、審査では記事末の出典から最新版をご確認ください。個別の法令解釈は弁護士など有資格の専門家にご相談ください。
「Claude を全社で使いたい。その前にセキュリティの確認を通してほしい」。法人導入のご相談でよくいただく依頼です。ところが着手すると審査は進みません。「セキュリティは大丈夫か」という問いが、性質の違う3つの問いを束ねているからです。
規約で担保される話、管理画面の設定で決まる話、社員の入力操作で決まる話。調べ方も責任部署も違うため、混ぜたまま議論すると「ベンダーに聞かないと分からない」「現場に聞かないと分からない」が交互に出ます。
1. 結論：確認は「契約層・設定層・運用層」の3層に分ける
審査が長引くかどうかの差は、調査量ではなく問いを分解できているかにあります。
1-1. 3層それぞれが答える問い
| 層 | 答える問い | 調べ方 | 担当 |
|---|---|---|---|
| 契約層 | 学習に使われるか／権利は誰のものか／秘密扱いか | 規約と公式資料を読む | 法務・総務 |
| 設定層 | 権限の割り当て／会話を残す期間／記録の可否 | 管理画面の組織設定を開く | 情シス（兼任可） |
| 運用層 | 入力してよい情報／出力の確認者／退職時の扱い | 自社で決めて文書化する | 利用部門＋管理部門 |
※時間がかかるのは運用層です。契約層と設定層は「調べれば決まる」のに対し、運用層は「自社で決める」ためです。
1-2. 審査が長引きやすい3つのパターン
第一に、契約層で答えが出る問いを現場に投げ返していること。第二に、個人アカウントの利用実態を把握しないまま審査を始めること。第三に、「絶対に情報漏洩が起きないこと」を合格条件にすること。この基準では既存のメールもクラウドストレージも通りません。比較対象は「今使っている他のSaaSと比べてどうか」に置くのが実務的です。
2. 契約層：規約で担保されている範囲を確認する
2-1. 法人プランと個人プランでは適用される規約が違う
Anthropic の商用向け規約（Commercial Terms of Service）は冒頭で、本規約のサービスは消費者向けの利用を想定せず、Claude.ai などには消費者向け規約が適用されると明記しています（発効日2025年6月17日）。プライバシーセンターでも商用顧客は「API、Console、Team および Enterprise プラン」と定義されています。
つまり社員が個人契約のまま業務で使っている状態は、法人向けの規約が適用されていない状態です。プラン間の機能差はClaude Enterprise と Team の違いで整理しています。
2-2. 学習利用の既定と、例外になる操作
プライバシーセンターの「Is my data used for model training?」には、既定では商用製品（Claude for Work、Anthropic API など）の入力・出力をモデル学習に使用しないと記載されています。商用規約 B 条にも、Customer Content でモデルを学習させない旨が明記されています。
ただし例外があります。同じ資料には、利用者がフィードバックや不具合報告を送信した場合（高評価・低評価ボタンなど）、その会話が学習に利用されることがあると書かれています。送信された会話は最大5年保存されます。
この例外は管理者設定で塞げます。Team・Enterprise の Primary Owner または Owner が、組織設定の「Data and Privacy」にある「Rate chats」を無効にすれば、メンバーの送信を止められます。社内規程で断言したいなら、この設定を先に落とします。なお公式の権限一覧表ではこの設定が Enterprise 側に記載されているため、Team で見当たらない場合は提供元にご確認ください。
2-3. 権利・秘密保持・出力の確認責任
商用規約 B 条は、入力の権利を顧客が保持し、出力は顧客が所有すると定めています。E 条では入力と出力を顧客の秘密情報として扱うと規定されています。Claude for Work（Team・Enterprise）では Anthropic がデータ処理者として動作します。
一方 D.3 条は、出力の妥当性を評価する責任が顧客側にあると定め、事実の主張は正確性を独自に確認せずに依拠すべきではないと述べています。生成AIが誤った内容をもっともらしく出力する現象はハルシネーションと呼ばれ、大規模言語モデル（LLM）を業務で使う以上、確認工程は省略できません。
2-4. 第三者認証と委託先評価
取引先や監査法人から評価の根拠を求められる場合の項目です。プライバシーセンターにはISO 27001:2022、ISO/IEC 42001:2023、SOC 2 Type I および Type II、HIPAA 対応構成（BAA 締結可）が挙げられています。証跡は Trust Center から請求します。
3. 設定層：管理画面のどこを見て、何を決めるか
設定層は契約プランによってできることが変わる層です。確認せずに規程を書くと「規程に書いたのに設定できない」という差し戻しが起きます。
3-1. 権限（ロール）を先に決める
Team・Enterprise の権限は User／Admin／Owner／Primary Owner で決まります。Primary Owner は1組織に1名のみで、この席もライセンスを1つ消費します。個人ではなくサービスアカウントにもでき、担当者の退職で最上位権限が宙に浮く事態を避けられます。組織データのエクスポート要求と Primary Ownership の移管は Primary Owner のみが実行できます。SSO・認証の管理、監査ログの請求、保持期間の管理は Enterprise の Owner／Primary Owner の権限です。なお Enterprise では、グループ単位で機能アクセスを絞るカスタムロールも使えます（既定の権限を持たない役割のため、割り当て前に付与範囲を決めます）。
3-2. 会話をいつまで残すか
API 経由の入力・出力は、受領または生成から30日以内に自動削除されます（保持を制御する機能を使う場合、別途の合意、利用ポリシーの執行や法令順守に必要な場合を除く）。
利用者が会話を削除すると、履歴からは即座に消え、保存領域からは30日以内に削除されます。例外として、利用ポリシー違反と判定された会話は入力と出力を最大2年、判定スコアを最大7年保持すると記載されています。Enterprise では、通常の会話・プロジェクトについて保持期間を組織側で設定できます。最短30日で、既定は無期限です。変更すると対象外のデータは即座に削除され、復元できません。
3-3. 監査ログで何が取れて、何が取れないか
監査ログは Enterprise 組織のみで、Owner と Primary Owner が組織設定の「Data and Privacy」からエクスポートします。1回で過去180日分が集計され、有効期間24時間のダウンロードリンクがメールで届きます。記録されるのはサインイン、SSO 接続の変更、メンバーの招待・削除、プロジェクトや会話の作成・削除などです。
一方、会話やプロジェクトのタイトル・本文は監査ログに含まれず、識別子のみが出力されます。中身を確認するには Primary Owner によるデータエクスポートを使います。「誰が何を入力したか」を常時監視したいという要望には、この違いを先に説明します。
| 確認したいこと | 見る場所 | 実行できる役割 |
|---|---|---|
| フィードバック送信の可否 | Data and Privacy > Rate chats | Owner／Primary Owner |
| 会話・プロジェクトの保持期間 | Data and Privacy（Enterprise） | Owner／Primary Owner |
| 操作の記録（監査ログ） | Data and Privacy > Export logs（Enterprise） | Owner／Primary Owner |
| 会話の中身の取り出し | データエクスポート | Primary Owner のみ |
※2026年8月6日時点の公式ヘルプセンターの記載にもとづく整理です。画面名称と項目位置は更新されます。プラン別の差はClaude 法人契約の料金・プラン比較もご覧ください。
4. 運用層：入力してよい情報の線引きと確認の担当
ここからは自社で決める領域です。契約層と設定層を固めても、社員が何を入力するかは規約では制御できません。
4-1. 入力してよい情報を3分類で決める
禁止事項を細かく列挙すると現場は覚えられません。3分類で線を引きます。
| 分類 | 具体例 | 現場での扱い |
|---|---|---|
| そのまま入力可 | 公開済みの自社情報、一般的な業務手順、社外に出せる下書き | 承認不要 |
| 加工すれば入力可 | 取引先名を伏せた商談メモ、個人名を置き換えた問い合わせ | 固有名詞と識別子を除いてから入力 |
| 入力しない | 顧客と従業員の個人情報、秘密保持契約の対象情報、認証情報、未公表の決算・人事情報 | 例外を作らない。必要なら業務ごと外す |
※分類は業種と契約内容で変わります。秘密保持契約の対象範囲は取引先ごとに異なるため、契約書の定義を確認してください。
4-2. 個人情報を扱う場合の前提
個人情報保護委員会は「生成AIサービスの利用に関する注意喚起等について」を公表し、事業者向けの注意点を2つ示しています。1つは、個人情報を含むプロンプトの入力が、特定した利用目的の達成に必要な範囲内かを十分に確認すること。もう1つは、本人の同意を得ずに個人データを含むプロンプトを入力する場合、提供事業者がその個人データを機械学習に利用しないこと等を十分に確認することです。後者は2-2の学習利用の確認と同じ論点です。最初は「個人情報は入力しない」と決めて業務を切り出すほうが、審査も運用も簡単です。個別の該当性判断は法令解釈を伴うため、同委員会の公表資料を確認したうえで、弁護士など有資格の専門家にご相談ください。
4-3. 出力の確認者と、退職時のデータの扱い
運用ルールでは出力の確認者を業務単位で指名します。社外に出ない下書きは作成者本人、社外に出る文書は上長、金額・法令・契約条件を含む文書は担当部署の確認を必須にする——この3段階で足ります。
退職・異動時の扱いも先に確認します。メンバーを組織から削除すると、非公開のプロジェクトには残りのメンバーがアクセスできなくなります。組織全体に共有していたプロジェクトは残ります。業務で使うプロジェクトは個人の非公開ではなく組織共有で作ると決めておくと、成果物の引き継ぎで困りません。ただし会話（チャット）は、組織に共有していたものも含め、本人が削除されると残りのメンバーからは参照できなくなります。残す必要がある内容はプロジェクトや社内文書へ書き出す運用にし、事後の取り出しは Primary Owner のデータエクスポートで行います。
5. 確認シート12項目と、3週間で審査を終わらせる進め方
5-1. そのまま提出できる確認シート
| # | 層 | 確認項目 | 回答欄 |
|---|---|---|---|
| 1 | 契約 | 契約するプラン種別と、適用される規約 | |
| 2 | 契約 | 学習利用の既定を公式資料で確認したか | |
| 3 | 契約 | 例外（フィードバック送信）への対処を決めたか | |
| 4 | 契約 | 入力の権利・出力の所有・秘密情報の扱い | |
| 5 | 契約 | 第三者認証の種類と証跡の入手方法 | |
| 6 | 設定 | Primary Owner を誰にするか | |
| 7 | 設定 | Owner・Admin・User の割り当て方針 | |
| 8 | 設定 | 保持期間と監査ログの要否／プランで実現できるか | |
| 9 | 運用 | 入力可否の3分類を作り文書化したか | |
| 10 | 運用 | 出力の確認者を業務ごとに指名したか | |
| 11 | 運用 | 退職・異動時のプロジェクトの扱い | |
| 12 | 運用 | 個人アカウント利用を棚卸しし、移行計画を作ったか |
5-2. つまずきやすい3点
第一に、「学習に使われない」を口頭確認で終わらせないこと。資料には公式情報の該当箇所と確認日を添えます。第二に、プランでできることを確認する前に規程を書かないこと。保持期間の設定と監査ログは2026年8月時点では Enterprise の機能です。第三に、合格基準を成果物で判定できる形にすること。「安全と確認できたら」ではなく「入力可否のルールが文書化されている」と書きます。
5-3. 3週間の進め方
1週目は契約層。公式資料を読み、確認シート1〜5を埋めます。調査であって意思決定ではないため担当者1名で進みます。2週目は設定層。契約予定のプランでできることを確認し、6〜8を決めます。3週目は運用層。9〜12を文書化し、A4で2〜3枚にまとめて審査に出します。
この順番を守るのは、契約層と設定層で確定した事実がないと運用層のルールが書けないからです。逆順だと現場ルールを作った後に書き直しになります。導入全体の流れはClaude Code 法人導入の手順【全6ステップ】、当社が確認したときの記録はAI導入日記：セキュリティの確認にあります。読み合わせから伴走が必要な場合は、Claude 法人導入支援でご相談を承っています。
よくある質問（FAQ）
入力内容が学習に使われないと、社内規程に書いてよいですか？
公式資料では、商用製品の入力・出力を既定では学習に使用しないと明記されています（2026年8月6日確認）。ただし高評価・低評価ボタンによる送信は例外のため、組織設定で無効にしたうえで、確認日と出典を併記して書きます。規約は改定されるため年1回の再確認も決めます。
会話を消したら、提供元のサーバーからも消えますか？
会話を削除すると履歴からは即座に消え、保存領域からは30日以内に削除されると記載されています。ただし利用ポリシー違反として検出された会話や、法令上の保持が必要な場合は例外です。
社員が何を入力したか、管理者はすべて確認できますか？
監査ログと、会話の中身を含むデータエクスポートは別の機能です。監査ログ（Enterprise のみ）に残るのは操作の記録で、会話の本文とタイトルは含まれません。常時参照する運用にするなら、労務上の説明を含めて社内合意を取ってください。
すでに社員が個人アカウントで使っています。どうすればよいですか？
禁止の通達だけでは止まりません。まず利用実態を申告してもらい（過去を咎めない前提を明示すると集まります）、法人プランを用意し、期限を切って切り替えます。適用される規約が違うため、審査対象は法人契約に一本化します。移行時はプロジェクトの引き継ぎ方法もあわせて決めます。
📚 出典・参考（2026年8月6日確認）
- Anthropic「Commercial Terms of Service」
- Anthropic Privacy Center「Is my data used for model training?」
- 同「How long do you store my organization’s data?」
- 同「Configure custom data retention controls…」
- 同「Who owns and manages the data of my team?」／「Manage user feedback settings」
- 同「What Certifications has Anthropic obtained?」
- Anthropic Help Center「Roles and permissions」
- 同「Access audit logs」
- 同「What happens to a user’s data when removed…」
- Anthropic Trust Center
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
この記事について
執筆・編集：MGK編集部（株式会社エム・ジー・ケイ）
編集責任者：代表取締役 山崎 将史
当社は記事制作に Claude／Claude Code を活用し、事実確認と掲載判断は人間が行っています。工程ごとの担当とAI利用の開示は 編集方針、当社の監修体制は 監修者紹介 で公開しています（本記事は監修対象外です）。
記載内容の誤りは お問い合わせ よりお知らせください。
チェックシートの読み合わせから、60分でご一緒します
12項目のうち判断がつかない項目だけをお持ちください。契約プラン・権限設計・入力可否の線引きまで、その場で持ち帰れる形に整理します。情報システム担当がいない体制でも進められます。初回相談は無料、オンライン全国対応。
