Claude導入稟議は情シス・法務でどう役割分担するか

Claude導入稟議で役割分担が曖昧になりやすい理由

Claudeの組織導入を稟議にかけるとき、確認すべき事項は情シス・法務・現場部門のどこに割り振ればよいかがはっきりしないまま進みがちです。契約書の精査は法務、セキュリティ設定は情シスと大枠は分かっていても、「機密情報を入力しないルールの周知」や「AIの出力結果を業務判断に使う際の説明責任」のように、どちらの部門が主担当なのか宙に浮く項目が残ります。

総務省・経済産業省が公表する「AI事業者ガイドライン(第1.1版)」は、AI利用者が果たすべき事項を7項目(U-2〜U-7)に整理しています。この項目をそのまま部門に割り当てると、稟議書の確認欄が具体的になります。導入プロセス全体の意思決定順序はClaude Code組織導入の意思決定マップで扱っており、本稿はその中でも「誰が何を確認するか」という役割分担に絞ります。

情シスが確認する事項

情シスの主担当は、AI事業者ガイドラインのU-5「セキュリティ対策の実施」です。ガイドラインは「AI提供者によるセキュリティ上の留意点を遵守する」「AIシステム・サービスに機密情報等を不適切に入力することがないよう注意を払う」ことを利用者に求めています。Claudeの場合、この項目は技術的な設定に落とし込めます。

• SSO・SCIMによるアカウント管理と権限設計
• データレジデンシーや保存期間の設定
• 監査ログの取得範囲の確認
• 外部SaaSとの連携(Connectors・MCP)を許可する範囲の設計。対応表はClaude SaaS連携ガイドにあります

Anthropicとの契約(DPA)は、Anthropicが外部監査機関による年次監査を受けていること、Customerが書面で要求すればSOC 2報告書などの監査証跡を確認できることを定めています。現在の認証状況はAnthropic Trust Center(trust.anthropic.com)に掲載されており、情シスが導入前にセキュリティ要件を満たすかどうかを確認する一次情報になります。監査証跡の請求自体は法務経由になることが多いため、情シスは「何を確認したいか」を先に洗い出しておくと稟議の往復が減ります。

法務が確認する事項

法務の主担当は契約文書の精査と、AI事業者ガイドラインU-7ii「提供された文書の活用及び規約の遵守」です。Anthropicとの契約関係は主に3つの文書で構成されます。

DPAは、Anthropicが新しいサブプロセッサー(委託先)を追加する際に事前通知を行い、Customerが15日以内に書面で異議を申し立てられる仕組みを定めています。この通知を受け取る窓口をどの部門にするかは契約段階で決めておくべき事項で、多くの場合は法務が窓口になります。委託先の確認方法自体はAnthropicのサブプロセッサー一覧を確認する方法で扱っています。

法務はまた、Usage Policyが定める利用制限(高リスク用途の追加要件など)を現場部門向けに翻訳し、社内ルールに落とし込む役割も担います。契約文言をそのまま現場に渡しても実務には使えないため、この翻訳作業が法務の実質的な付加価値になります。

現場部門が確認する事項

現場部門(実際にClaudeを使う事業部)の主担当は、AI事業者ガイドラインのU-2〜U-4、U-6、U-7iです。

• U-2安全を考慮した適正利用: AI提供者が想定した範囲内でサービスを使い、出力の精度とリスクを理解したうえで利用する
• U-3入力データ・プロンプトのバイアスへの配慮: 公平性が担保されたデータを入力し、出力結果の事業利用判断に責任を持つ
• U-4個人情報の不適切入力・プライバシー侵害への対策: 個人情報を不適切に入力しないよう注意を払う
• U-6/U-7i関連するステークホルダーへの情報提供・説明: 出力結果を事業判断に使った場合、関連するステークホルダーへ合理的な範囲で情報提供する

これらは情シスや法務が代わりに担保できない項目です。実際に業務データを入力し、出力を判断に使うのは現場部門であるため、ガイドラインの利用者向け事項の大半は現場部門が実務レベルで運用することになります。稟議書に「セキュリティは情シスが確認済み」とだけ書いて現場の運用ルールが空欄のままだと、この部分の担保が抜け落ちます。

役割分担の全体像

AI事業者ガイドラインのU-2〜U-7を主担当ごとに並べると、稟議書の確認欄にそのまま転記できる形になります。

この表を見ると、7項目のうち5項目が現場部門の担当範囲に入ります。情シスと法務がそれぞれ担う項目は1〜2個ずつですが、いずれも技術的・契約的な専門知識が要る項目のため、現場部門が代行できるものではありません。稟議書を作るときは、項目数の均等さではなく、専門性の所在で担当を割り振る考え方が実務に合っています。

Commercial Termsの契約主体にも注意する

Commercial Terms of Serviceは、Customerの所在地によって契約相手となるAnthropicの法人格が変わると定めています。欧州経済領域(EEA)・スイス・英国に所在するCustomerとの契約主体はAnthropic Ireland, Limitedで、それ以外の地域(日本を含む)ではAnthropic, PBCが契約主体になります。どちらの法人と契約するかによって準拠法・紛争解決地の扱いが変わり得るため、契約書のこの箇所は法務が最初に確認すべき項目のひとつです。

Usage Policyも同様に階層構造を持っています。すべての利用者に適用される「Universal Usage Standards」、消費者向けの高リスクな用途に適用される「High-Risk Use Case Requirements」、エージェント的な使い方やMCPサーバーなど特定の用途に適用される「Additional Use Case Guidelines」の3層です。自社の利用形態がどの層に該当するかを判定するのは法務の役割ですが、判定結果を現場部門が理解できる運用ルールに落とし込む作業までが法務の仕事に含まれます。

「高度なAIシステム」を扱う場合に追加される項目

AI事業者ガイドラインは、高度なAIシステムを扱うAI利用者に対して、第2部Dの指針(I〜XII)への対応も求めています。I〜XIは「適切な範囲で遵守すべき」という努力目標寄りの表現ですが、XII(高度なAIシステムの信頼でき責任ある利用の促進)だけは「遵守すべきである」と明記され、扱いが一段重くなっています。XIIの内容は、AIが生む新たなリスクについて社内の関係者やステークホルダーのリテラシー向上の機会を提供することです。

この項目は、情シス・法務のどちらか一方に押し付けられる性質のものではありません。リスクの内容整理は法務、社内教育の設計・実施は現場部門の管理職、教育コンテンツに含める技術的な注意点は情シス、という3部門の共同作業になりやすい項目です。稟議書の役割分担表に「教育・周知」という行を独立して設けておくと、この項目が抜け落ちにくくなります。

3部門の役割分担が交差する場面

3部門の担当は独立しているわけではなく、交差する場面があります。代表的なのがサブプロセッサー追加時の対応です。法務が通知を受け取り、情シスが追加された委託先の役務内容を技術的に評価し、必要であれば現場部門の利用範囲に影響がないかを確認する、という3段階の流れになります。個別の担当を決めるだけでなく、この受け渡しの順序を稟議書に明記しておくと、実際に通知が来たときに動きが止まりません。

もう一つの交差点は、Usage Policyが定める高リスク用途の該当判定です。用途がどの区分に当たるかの一次判断は現場が行いますが、契約上の解釈が必要な境界事例は法務に、技術的な制御(特定機能の無効化など)が必要な場合は情シスに戻ってくる構造になっています。役割分担表を作るときは、この往復が発生する前提で「主担当」と「相談先」を分けて書いておくのが実務的です。

稟議書に反映するときの粒度

役割分担を稟議書に書くときは、部門名だけを並べるのではなく「確認する文書名」「確認する頻度」「次に渡す相手」までを1行にまとめると、承認者が読んだときに実際の運用が想像できます。「情シス:セキュリティ確認」とだけ書かれた行と、「情シス:DPA・trust.anthropic.comの認証状況を導入時に確認し、結果を法務へ共有」と書かれた行では、承認者が判断できる材料の量が変わります。担当部門の名前を埋めることが目的化すると、実際に運用が始まったときに誰も具体的な確認作業を思い出せない稟議書になりかねません。

まとめ

Claude導入稟議の役割分担は、AI事業者ガイドライン(利用者編)のU-2〜U-7を軸に、セキュリティと監査証跡の確認は情シス、契約文書の精査とサブプロセッサー通知の窓口は法務、適正利用・バイアス配慮・個人情報保護・説明責任は現場部門、という3分割で整理できます。3部門の担当が交差するサブプロセッサー追加時や高リスク用途の判定については、主担当と相談先を分けて稟議書に明記しておくと、実際の運用フェーズで確認作業が滞りません。役割分担表は一度作って終わりにせず、契約更新やガイドラインの改訂に合わせて見直す前提で運用すると、組織側の実態と乖離しにくくなります。