【AI導入日記#3】情シスがいない会社が、Claude 法人導入のセキュリティ確認をどう進めたか

「セキュリティは大丈夫なの？」に、誰も答えられなかった日

質問は正しいのに、答える人がいない

AIの利用を社内に広げようとしたとき、最初に返ってきた反応は反対ではありませんでした。「便利そうですね。ところで、セキュリティは大丈夫なんですか？」というひとことです。もっともな質問です。そして私は、その場で答えられませんでした。

当社には専任の情報システム担当者がいません。サーバーの契約も、パソコンの調達も、業務ソフトの選定も、それぞれの担当が兼務で回しています。つまり「セキュリティを確認する係」が構造的に存在していませんでした。この状態のまま議論を続けると、結論は「よく分からないから、いったん保留」になりがちです。

生成AIの導入が止まるとすれば、多くはここではないかと感じています。技術的に難しいのではなく、確認する責任を誰も引き受けられないまま止まってしまうのです。Claude 法人導入を進めるうえで最初にやるべきだったのは、ツールの調査ではなく、判断の置き場所を決めることでした。

「専門家がいないから決められない」を先に潰す

私たちが置いたのは、たいそうな役職ではありません。「AI利用の窓口担当」という一行の役割です。やることは3つだけと決めました。使ってよい範囲を書いた紙を配ること、迷った人の相談を受けること、月に一度だけ内容を見直すこと。

ポイントは、この担当者が「安全を保証する人」ではないと最初に明言したことです。保証まで求めると、手を挙げにくくなります。役割を「決めごとを書いて、迷いを引き取る人」に限定すると、途端に引き受け手が出てきます。当社では私自身がその役を持ちました。

完璧な規程を待つと、たいてい何も始まらない

最初に社内規程を完成させてから使い始める、という順番も検討しました。ですが、使っていない状態で書いた規程は、想像で書いた禁止事項の羅列になります。読まれず、守られず、実態と合わない文書が増えるだけです。

そこで、順番を逆にしました。危険度の高いところだけ先に線を引き、残りは使いながら書き足すことにしました。この記事で紹介するのは、その「先に引いた線」の中身です。なお、個人情報保護法や契約上の守秘義務に関わる最終判断は、必ず自社の顧問弁護士など専門家にご確認ください。ここに書くのは、あくまで社内で実務を回すための整理の仕方です。

セキュリティ確認を、3つの問いに分解する

漠然とした不安は、そのままでは検証できない

「セキュリティは大丈夫か」という問いは、そのままでは調べようがありません。何をもって大丈夫と言うのかが決まっていないからです。そこで私は、この問いを3つに割りました。この分解が、今回いちばん効いた工程だったと思っています。

3つとは、①入れた情報はどこへ行くのか、②誰が使えるのか、③後から何が起きたか分かるのか、です。順番にも意味があります。①は提供元に確認すること、②と③は自社で決めることで、確認先がまったく違うからです。

①入れた情報はどこへ行くのか

ここは推測で語らず、提供元の公式情報にあたるのが確実です。法人向けの契約と個人向けの契約では、入力内容の扱いが異なる場合があります（2026年7月時点の仕様です。最新は公式サイトでご確認ください）。各社のプラン体系や規約は更新が続いているため、検討する時点の公式ページで確認してください。

私が社内向けにまとめたのは、「学習に使われるのか」「保存期間はどうなっているのか」「管理者はどこまで見えるのか」の3点を、公式の記載から引用した一枚だけです。自分の言葉で要約すると誤解が生まれるので、原文の該当箇所をそのまま貼り、リンクを添える形にしました。

②誰が使えるのか、③後から追えるのか

この2つは提供元の問題ではなく、自社の運用の問題です。つまり、こちらが決めさえすれば今日から改善できます。逆に言えば、ここを放置したまま「サービスが安全かどうか」だけを議論しても、リスクはほとんど減りません。

当社の体感では、事故につながりやすいのは高度な攻撃よりも、退職した人のアカウントが残っている、私物の端末で業務データを開いている、といった生活感のある穴です。今回の見直しをきっかけに、この2点を全社的に点検できたことのほうが、実は収穫としては大きかったと感じています。

「入れてはいけない情報」を先に決める

禁止リストではなく、信号機にした理由

最初は禁止事項を箇条書きにしようとしました。ですが、書いているうちに気づきます。禁止だけ並べると、書かれていないものが全部「たぶん大丈夫」になってしまいます。実務では、その「たぶん」がいちばん危ないと感じています。

そこで、赤・黄・青の3色に分ける方式に変えました。赤は入力しない、黄は加工してから入力する、青はそのまま使ってよい。3色にすると、判断そのものを社員に委ねずに済みます。迷ったら黄として扱う、という逃げ道も作れます。

黄色をどう加工するか、具体例を1つ載せる

「加工してから入力」と書くだけでは、実際には誰も加工しません。ルールには必ず、加工前と加工後の例を1組だけ載せました。たとえば取引先名を「A社」、担当者名を「担当者様」、金額の桁を「◯◯万円」に置き換える、という具合です。

例が1つあるだけで、社内からの質問は目に見えて減りました。ルールを増やすより、例を1つ足すほうが効くと感じています。

社内に配ったチェックリスト（そのまま使えます）

• 入力しようとしている文章に、社外の人の氏名・連絡先が含まれていないか
• 取引先を特定できる固有名詞（社名・商品名・案件名）が残っていないか
• 金額・数量・契約条件が、そのままの数字で入っていないか
• パスワード・APIキー・アクセストークンが紛れ込んでいないか
• 受け取った資料に「取扱注意」「社外秘」の表示がないか
• 迷ったか？ 迷ったなら黄色として扱い、窓口担当に一言確認したか

アカウントと権限──人数が少ないうちに棚卸しをしておく

個人アカウントの寄せ集めをやめる

個人アカウントが散在していた実態は、#1・#2で書いたとおりです。ここではセキュリティの観点から、棚卸しの粒度だけを補足します。会社として誰が何を入力したのか把握できない状態が続くことが、いちばん避けたい点でした。

そこで、業務で使うものは会社の管理下のアカウントに集約する、という一行を先に決めました。個人契約を否定するのではなく、業務で使うなら会社側で用意する、という整理です。契約形態の違いについては前回の日記でも触れました。

入社・異動・退職の3タイミングを決めておく

アカウント管理は、作るときより「消すとき」に穴が空きます。当社では、次の3つのタイミングで必ず一覧を見直すと決めました。特別なツールは使わず、共有フォルダの表計算ファイル1枚です。

• 入社時：付与するアカウントを一覧に追記し、利用ルールの紙を渡す
• 異動・担当変更時：アクセスできる範囲が広がりすぎていないか確認する
• 退職時：最終出社日に停止し、一覧の状態欄を「停止済み」に更新する
• 加えて、四半期に一度、一覧と実際の利用者が一致しているかを突き合わせる

人数の少ない会社では、仕組みの立派さより、抜けないことのほうが大事だと考えました。

端末とログイン方法もセットで見る

サービス側の設定だけを固めても、私物のパソコンで社内資料を開いていたら意味がありません。棚卸しのついでに、業務で使う端末と、ログインに使うアカウント（会社のメールなのか個人のものなのか）まで一覧に足しました。

ここまで来ると、もはやAIの話ではなく情報管理そのものの話です。ですが実務としては、この地味な整理が最も効きました。

Claude Code に作業させる前に決めたこと

権限の話は「どこまで自動で実行させるか」に尽きる

チャットで文章を作るだけなら、リスクは主に入力情報の中身です。ところが、ファイルを読み書きしたりコマンドを実行したりする使い方になると、話が変わります。人間が確認せずに実行される操作をどこまで許すか、という設計が必要になります。

当社では、最初は「読むのは自由、書き換えと実行は都度確認」から始めました。慣れてきた作業だけを、確認なしで実行してよい範囲に少しずつ移します。逆の順番、つまり最初に全部許可してから絞るやり方は、事故の芽を先に作ることになるので採りませんでした。この考え方はClaude 法人導入支援のサービスページでも、支援の初期段階の型としてご紹介しています。

秘密情報をリポジトリから遠ざける

Web構築の現場でよく見かけるヒヤリは、パスワードやAPIキーが設定ファイルに書かれたまま共有されることです。これはAIの有無に関係なく起きる問題ですが、AIに作業を任せるようになると、参照される範囲が広がるぶん影響も大きくなります。

• 認証情報は、バージョン管理の対象外のファイルに置く（管理対象から除外する設定を必ず入れる）
• ログや作業記録に、認証情報そのものを書き出さない（「設定あり／なし」だけ残す）
• 本番環境に接続できる情報は、必要な人だけが取り出せる場所に置く
• 作業用のコピーを作ったら、終わったあとに消すところまでを手順に含める

いずれも開発現場では以前から言われてきた基本です。AI導入をきっかけに全員で再確認できました。

何をやらせたかが残る場所を作る

3つ目の問い「後から追えるか」への対応です。当社では、作業のたびに何を依頼して何が変わったかが記録として残るようにしました。サイト更新であれば変更履歴が残りますし、それ以外の作業も、依頼文と結果を作業ログとして残す運用にしています。

自社サイトを日本語の指示で更新している具体例は、WordPressとAIを活用した、日本語指示によるホームページ更新にまとめています。記録が残る形で運用すると、監査のためだけでなく、次に同じ作業をするときの資産にもなります。

社内規程はA4一枚から始める

読まれない規程は、無いのと同じ

最終的に社内へ配ったのは、A4一枚の「AI利用の約束ごと」です。分量を増やそうと思えばいくらでも増やせましたが、増やした瞬間に読まれなくなると考えました。一枚に収まらない内容は、窓口担当に聞けば分かる、という運用に寄せています。

紙にしたのにも理由があります。共有フォルダのどこかに置いたPDFは、探されません。席の見えるところに一枚あるほうが、参照率は高いというのが当社の体感です。

一枚に入れた6項目

• 使ってよい業務の範囲（と、判断に迷ったときの連絡先）
• 入力してよい情報・してはいけない情報（前述の信号機の3色）
• 使うアカウント（会社が用意したものを使う、という一行）
• 出力の扱い（そのまま社外に出さない。人が必ず確認する）
• やってしまったときの報告先と、報告しても責めない旨の明記
• このルールの見直し時期（月1回、担当者名つき）

特に5つ目は意識して入れました。うっかり入力してしまった人が黙ってしまうのが、いちばん困ります。報告のハードルを下げるほうが、結果として被害は小さくなると考えています。

目的は「事故ゼロ」ではなく「気づける状態」

セキュリティ確認を進めるうちに、目標設定を変えました。事故をゼロにすることを目的にすると、禁止事項が増え続け、最終的に「使わない」という結論に着地しがちです。それでは何も進みません。

今の目標は、何かあったときに早く気づけて、範囲を特定できて、止められる状態を保つことです。この考え方に切り替えてから、社内の議論が前に進むようになりました。Claude 法人導入は、ツールを入れる話であると同時に、会社としての情報の扱い方を決め直す機会でもあります。

まず何から始めればよいか迷ったら

ここまで読んで「うちの会社だと、どこから手をつければいいのか」と感じた方も多いと思います。会社の規模や扱う情報によって、優先順位は変わります。当社では初回のご相談を無料・オンライン・所要60分で承っており、全国どこからでもご参加いただけます。

現状の体制をお聞きしたうえで、確認すべき順番と、最初の一枚に何を書くべきかを一緒に整理します。無料相談のお申し込みはこちらからどうぞ。法人向け導入支援サービスのページもあわせてご覧ください。