現場でClaude Codeを使い始めると、必ず出てくるのが「このコードやデータはどこかに送られていないか」「社内の機密情報を入力して大丈夫か」という不安です。

結論から言うと、契約するプランと使い方を正しく選べば、業務でClaude Codeを使うことはできます。ただし、そのためには入力データの扱い、機密情報の前提、生成コードの品質担保、権限設定の4点を導入前に確認しておく必要があります。

この記事では、情報システム部門への説明や稟議にそのまま使える形で、確認すべき項目を整理します。当社（AIエンジニアアカデミー）は法人向けの研修でセキュリティ運用も扱っており、そこで受講者から実際に受ける質問をもとにまとめました。

企業でClaude Codeを使うときのセキュリティは4つの論点に整理できる

Claude Codeはターミナル上で動くAIコーディングエージェントです。プロンプトを受け取ってコードを生成し、ファイルの読み書きやコマンドの実行、Git操作までを行います。

この動き方から、企業が確認すべきセキュリティの論点は次の4つに絞られます。

  • 入力したコードやプロンプトが、AIモデルの学習に使われるかどうか
  • 社内の機密コードや設計資料を、どこまで入力してよいか
  • 生成されたコードの品質と安全性を、どう担保するか
  • Claude Codeに「できること」を、権限でどこまで絞れるか

順に見ていきます。

入力したコードやデータは学習に使われるのか

まず前提として、入力データがモデルの学習に使われるかどうかは、契約するプランによって変わります。ここを混同したまま議論すると話がかみ合いません。

法人向け・商用の契約形態は、Team、Enterprise、API です。API には Amazon Bedrock や Google Cloud Vertex AI 経由の利用も含みます。

これらの契約では、顧客のプロンプトや生成物をモデルの学習に使わないことが、商用利用規約で定められています。Claude Code をこれらのアカウントで使う場合も同じ扱いです。

一方、個人向けの Free、Pro、Max プランは扱いが異なります。学習に関する設定が有効なとき、やり取りが学習の対象になります。Claude Code の利用も対象に含まれます。この設定は利用者が変更できます。

企業で使う場合は、次のいずれかを選ぶことになります。

  • Team、Enterprise、API のいずれかを契約し、学習に使われないことを商用利用規約で確認する
  • 個人向けプランを使う場合は、学習の設定を組織のルールとして統一し、周知する

さらに厳しい要件がある場合は、入力データを保持しない運用（ゼロデータ保持、ZDR）も選択できます。ZDR は商用の API キーを使う場合や、Enterprise で ZDR を有効にした場合に適用されます。

データの保持期間や削除のポリシー、学習設定の手順は改定されることがあります。稟議に添付する際は、Anthropic の公式ページの最新版を必ず確認してください（参考文献にURLを記載しています）。

社内の機密コードや設計資料を扱うときの前提

「機密情報を扱うならオンプレミスでないと無理」と考える方もいますが、実際には扱う情報の種類によって前提が変わります。

一般公開されているライブラリの使い方を調べる、サンプルコードを書かせる、といった用途であれば、上で確認した契約形態を選べば大きな問題にはなりません。

一方で、自社の設計資料、顧客データ、まだ公開していないプロダクトのコードのように、社外に出せない情報を扱う場合は、次の点を整理しておく必要があります。

  • どのディレクトリ・どのファイルをClaude Codeに読ませてよいか、範囲をあらかじめ決める
  • 誰がどの環境で使うか、利用者と端末を管理する
  • 何を入力し、何を生成したか、記録が残る運用にする

当社の研修では、この「入れてよい情報とそうでない情報の線引き」を最初に受講者と決めます。ここが曖昧なまま使い始めると、悪気なく機密情報を入力してしまう事故につながるためです。関連する失敗のパターンは非エンジニアがClaude Codeでつまずく5つの失敗でも整理しています。

生成されたコードの品質をどう担保するか

セキュリティの議論では入力側に注目が集まりがちですが、出力されたコードをそのまま使ってよいかも同じくらい重要です。

AIが生成したコードは、動くように見えても次のような問題を含むことがあります。

  • 入力値の検証が不十分で、想定外のデータを受け付けてしまう
  • 認証や権限のチェックが抜けている
  • 古い書き方や、非推奨のライブラリを使っている
  • エラー処理が省略されていて、障害時の挙動が読めない

これらは「動くかどうか」だけを見ていると気づけません。生成コードを本番に入れる前に、人がレビューする観点と、自動で検査する仕組みの両方を用意しておく必要があります。

具体的には、静的解析ツールや依存パッケージの脆弱性チェックをCIに組み込み、そのうえで開発者がレビューする体制が現実的です。レビューの観点を標準化する考え方はAIレビューの限界とは 249項目チェックリストの企業活用術で扱っています。

当社で約320名の育成に関わってきた経験では、「なんとなく動いた」で止めず、生成コードを自分の言葉で説明できる状態にすることが、品質を保つうえで一番効きます。

権限とルールで「できること」を絞る

Claude Codeには、実行できる操作を制御する仕組みが標準で用意されています。手動モードでは読み取り専用の状態から始まり、ファイルの編集やコマンドの実行が必要になるたびに、利用者に確認を求めます。

書き込みができる範囲は、Claude Codeを起動したフォルダとその配下に限られます。親ディレクトリのファイルは、明示的に許可しない限り変更できません。外部と通信するコマンド（curl や wget など）も、既定では自動承認されません。

企業で使う場合は、この権限設定を個人任せにせず、組織のルールとして決めておくことをおすすめします。たとえば次のような方針です。

  • よく使う安全なコマンドだけを、利用者・リポジトリ・組織の単位で許可リストに登録する
  • 実行を禁止したいコマンドを、明示的に拒否リストへ入れる
  • プロジェクトごとに、守るべきルールを設定ファイルに明記して共有する

組織向けの管理設定を使えば、これらの方針を全社の標準として適用できます。設定はバージョン管理で共有し、/permissions で定期的に見直すのが実務的です。

生成AIを業務に組み込むときの権限設計の考え方は生成AI自動化の権限設計とは 企業に必要な考え方でも整理しています。

導入前チェックリスト

情報システム部門への説明や稟議に、そのまま転記できる形でまとめます。

  • 契約するプランで、入力データが学習に使われないことを規約で確認したか
  • データの保持期間と削除のポリシーを、公式ページの最新版で確認したか
  • Claude Codeに読ませてよい情報と、そうでない情報の線引きを決めたか
  • 利用者と利用端末を管理する運用にしたか
  • 何を入力し何を生成したか、記録が残る運用にしたか
  • 生成コードをレビューする観点を標準化したか
  • 静的解析と依存パッケージの脆弱性チェックをCIに組み込んだか
  • ファイルの書き込みやコマンド実行の権限を、組織のルールとして決めたか
  • プロジェクトごとの規約・禁止事項を設定ファイルで共有したか
  • 上記のルールを、使い始める前に利用者へ周知したか

このチェックリストを満たしたうえで小さく試し、問題がなければ範囲を広げていくのが安全です。

よくある質問

Q. Claude Codeに入力した社内コードは、他社に見られることはありますか

A. 法人向けの契約形態を選べば、入力データがモデルの学習に使われることはなく、他の顧客に共有されることもありません。ただし規約は改定されることがあるため、契約前に公式の最新版を確認してください。

Q. オンプレミス環境でないと業務では使えませんか

A. そのようなことはありません。扱う情報の種類に応じて、契約形態の選択、読ませる範囲の限定、記録が残る運用、の3点を整えれば、多くの業務で利用できます。特に厳しい要件がある場合のみ、入力データを保持しない運用の可否を提供元へ確認します。

Q. 生成されたコードをそのまま本番に入れても大丈夫ですか

A. 推奨しません。動くように見えても、入力値の検証漏れや権限チェックの欠落を含むことがあります。人によるレビューと、CIでの自動検査を通したうえで反映してください。

Q. 社員が勝手に使い始めるのを、どう防げばよいですか

A. 禁止するよりも、使ってよい範囲とルールを先に決めて周知するほうが現実的です。利用ルールとレビュー体制、権限設定をセットで整えることで、安全に使える状態をつくれます。

まとめ

Claude Codeを企業で安全に使うために確認すべきことは、次の4点に整理できます。

  • 入力データが学習に使われないプランと契約形態を選ぶ
  • 機密情報の線引きを決め、記録が残る運用にする
  • 生成コードは人のレビューと自動検査を通す
  • 権限とルールを組織で決めて共有する

これらは一度整えれば運用に乗る内容です。当社の法人向け研修では、この4点を含めた「Claude Codeを現場で安全に使いこなす」型を、演習と実践課題を通じて身につけます。カリキュラムや導入の流れをまとめた資料は、下のリンクから無料でダウンロードいただけます。

参考文献

（規約の具体的な数値・手順は改定されることがあります。稟議に添付する前に、各URLの最新版を確認してください。URLが変わっている場合はこちらで差し替えます。）