Claude導入稟議は情シス・法務でどう役割分担するか

Claude導入稟議で役割分担が曖昧になりやすい理由

Claudeの組織導入を稟議にかけるとき、確認すべき事項は情シス・法務・現場部門のどこに割り振ればよいかがはっきりしないまま進みがちです。契約書の精査は法務、セキュリティ設定は情シスと、大枠は分かっていても迷う項目があります。「機密情報を入力しないルールの周知」や「AIの出力結果を業務判断に使う際の説明責任」のように、どちらの部門が主担当なのか宙に浮く項目が残ります。

総務省・経済産業省の「AI事業者ガイドライン」は、第5部でAI利用者が押さえる事項をU-2〜U-7の7項目に挙げています。以下の引用は2024年4月19日公表の第1.0版の本文によります。この項目をそのまま部門に割り当てると、稟議書の確認欄が具体的になります。導入プロセス全体の意思決定順序はClaude Code組織導入の意思決定マップで扱っています。本稿はその中でも「誰が何を確認するか」という役割分担に絞ります。

情シスが確認する事項

情シスの主担当は、AI事業者ガイドラインのU-5「セキュリティ対策の実施」です。ガイドラインは「AI提供者によるセキュリティ上の留意点を遵守する」「AIシステム・サービスに機密情報等を不適切に入力することがないよう注意を払う」ことを利用者に求めています。Claudeの場合、この項目は技術的な設定に落とし込めます。

• SSO・SCIMによるアカウント管理と権限設計
• データレジデンシーや保存期間の設定
• 監査ログの取得範囲の確認
• 外部SaaSとの連携(Connectors・MCP)を許可する範囲の設計。対応表はClaude SaaS連携ガイドにあります

Anthropicとの契約(DPA)は、Anthropicが外部監査機関による年次監査を受けていること、Customerが書面で要求すればSOC 2報告書などの監査証跡を確認できることを定めています。現在の認証状況はAnthropic Trust Center(trust.anthropic.com)に掲載されており、情シスが導入前にセキュリティ要件を満たすかどうかを確認する一次情報になります。報告書の提供は「書面での要求」が条件なので、請求の窓口を情シスと法務のどちらに置くかを稟議の段階で決めておきます。

DPAには、情シスの初動に直結する条項がほかに2つあります。1つは顧客の個人データに関わるセキュリティ侵害で、Anthropicは把握から遅くとも48時間以内に書面で通知します。もう1つは顧客自身による監査です。顧客か顧客が指定する第三者の監査人が実施でき、費用は顧客負担で、範囲と日程は双方の合意で決めます。直近12か月以内に同様の監査が済んでいる場合は、規制当局の要求や違反の兆候がなければ行えません。

法務が確認する事項

法務の主担当は契約文書の精査と、AI事業者ガイドラインU-7ii「提供された文書の活用及び規約の遵守」です。Anthropicとの契約関係は主に3つの文書で構成されます。

DPAは、Anthropicが新しいサブプロセッサー(委託先)を追加する際に事前通知を行い、Customerが15日以内に書面で異議を申し立てられる仕組みを定めています。期限内に異議がなければ、新しい委託先に同意したものとみなされます。通知の受け取り窓口は契約段階で部門を決めておく事項です。委託先の確認方法自体はAnthropicのサブプロセッサー一覧を確認する方法で扱っています。

契約終了後の扱いも法務の確認項目です。DPAは、契約の終了または満了から30日以内に、顧客の求めに応じてデータの写しを返却し、Anthropicと委託先が持つデータを削除すると定めています。法令上の保存義務や紛争解決上の必要がある場合は例外になります。

法務はまた、Usage Policyの利用制限を現場部門向けに翻訳し、社内ルールに落とし込む役割も担います。契約文言をそのまま現場に渡しても実務には使えないため、この翻訳作業が法務の実質的な付加価値になります。

現場部門が確認する事項

現場部門(実際にClaudeを使う事業部)の主担当は、AI事業者ガイドラインのU-2〜U-4、U-6、U-7iです。

• U-2安全を考慮した適正利用: AI提供者が想定した範囲内でサービスを使い、出力の精度とリスクを理解したうえで利用する
• U-3入力データ・プロンプトのバイアスへの配慮: 公平性が担保されたデータを入力し、出力結果の事業利用判断に責任を持つ
• U-4個人情報の不適切入力・プライバシー侵害への対策: 個人情報を不適切に入力しないよう注意を払う
• U-6/U-7i関連するステークホルダーへの情報提供・説明: 出力結果を事業判断に使った場合、関連するステークホルダーへ合理的な範囲で情報提供する

U-7iには、現場だけが判断できる条件がもう1つあります。AIの出力を特定の個人や集団の評価の参考にするときは、AIを利用している旨を評価対象の個人・集団に通知し、求めに応じて人間の合理的な判断のもとで説明責任を果たすことが挙げられています。

これらは情シスや法務が代わりに担保できない項目です。実際に業務データを入力し、出力を判断に使うのは現場部門であるため、ガイドラインの利用者向け事項の大半は現場部門が実務レベルで運用することになります。稟議書に「セキュリティは情シスが確認済み」とだけ書いて現場の運用ルールが空欄のままだと、この部分の担保が抜け落ちます。

役割分担の全体像

AI事業者ガイドラインのU-2〜U-7を主担当ごとに並べると、稟議書の確認欄にそのまま転記できる形になります。

この表を見ると、7項目のうち5項目が現場部門の担当範囲に入ります。情シスと法務がそれぞれ主担当となる項目は1項目ずつですが、いずれも技術的・契約的な専門知識が要る項目のため、現場部門が代行できるものではありません。稟議書を作るときは、項目数の均等さではなく、専門性の所在で担当を割り振る考え方が実務に合っています。

Commercial Termsの契約主体で何が変わるか

Commercial Terms of Serviceは、Customerの所在地で契約相手のAnthropic法人を分けています。日本の事業者は「それ以外の地域」に当たり、契約の中身が次のように変わります。

くらべる

Customerの所在地による契約条件の違い

Anthropic Ireland, Limited

EEA・スイス・英国

準拠法はアイルランド法です。紛争はダブリンで、UNCITRAL仲裁規則に基づく単独仲裁人が判断します。仲裁によらない訴訟はアイルランドの裁判所が専属管轄です。

Anthropic, PBC

日本を含むそれ以外

準拠法はカリフォルニア州法です。紛争はサンフランシスコで、JAMSの包括的仲裁規則に基づく単独仲裁人が判断します。仲裁によらない訴訟はカリフォルニアの連邦または州の裁判所が専属管轄です。

仲裁は英語で行われると定められているため、紛争時の費用と体制は法務が稟議の段階で見積もっておく項目です。補償条項も法務の確認点になります。AnthropicはCustomerの有料利用やその出力が第三者の知的財産権を侵害するという請求から顧客を防御し、補償します。逆にCustomerは、自社の入力データや、Usage Policyなどに違反した利用に関する第三者請求について、Anthropicを防御し補償する側に立ちます。後者は、現場部門が何を入力するかに契約上の責任が結び付く条項です。

Customer Contentの入力と出力の権利はCustomer側にあります。AnthropicがServicesのCustomer Contentでモデルを学習することは認められていません。

Usage Policyは3層で、自社の利用形態がどこに当たるかで求められる措置が変わります。

階層

Usage Policyの3層

• Universal Usage Standards

  すべての利用者とすべての用途に適用されます。社内利用のみの導入でも対象です。

• High-Risk Use Case Requirements

  消費者向けで被害の恐れが高い特定の用途に適用されます。対象は法務・医療・保険・金融・雇用と住居・入学選考や語学・資格試験の運営と教育機関の認証・メディアなどで、専門家による確認と、AI利用の開示が追加の措置です。

• Additional Use Case Guidelines

  消費者向けチャットボット、未成年向け製品、エージェント的な使い方、MCPサーバーなど、ほかの特定用途に適用されます。高リスク用途かどうかは問われません。

どの層に当たるかの判定は法務の役割で、判定結果を現場部門が読める運用ルールに落とす作業までを含みます。

「高度なAIシステム」を扱う場合に追加される項目

AI事業者ガイドラインは、高度なAIシステムを扱うAI利用者に対して、第2部Dの指針(I〜XII)への対応も求めています。I〜XIは「適切な範囲で遵守すべき」という努力目標寄りの表現ですが、XII(高度なAIシステムの信頼でき責任ある利用の促進)だけは「遵守すべきである」と明記され、扱いが一段重くなっています。XIIの内容は、AIが生む新たなリスクについて社内の関係者やステークホルダーのリテラシー向上の機会を提供することです。

この項目は、情シス・法務のどちらか一方に押し付けられる性質のものではありません。リスクの内容整理は法務、社内教育の設計・実施は現場部門の管理職、教育コンテンツに含める技術的な注意点は情シス、という3部門の共同作業になりやすい項目です。稟議書の役割分担表に「教育・周知」という行を独立して設けておくと、この項目が抜け落ちにくくなります。

3部門の役割分担が交差する場面

3部門の担当は独立しているわけではなく、交差する場面があります。代表的なのがサブプロセッサー追加の通知です。

手順

サブプロセッサー追加の通知が届いたときの流れ

1. 1

   法務が通知を受け、15日の期限を管理する

   異議は通知の日から15日以内に書面で出します。期限内に異議がなければ同意とみなされるため、期限の起算日を最初に控えます。

2. 2

   情シスが委託先の役務内容を技術的に評価する

   どの個人データが渡るか、データ保護やセキュリティ上の懸念が実際にあるかを見ます。異議はこの種の懸念を根拠に出せます。

3. 3

   現場部門が利用範囲への影響を確かめる

   新しい委託先が絡む機能を現場が使っているかを確かめ、結果を法務に戻して異議の要否を決めます。

この受け渡しの順序を稟議書に書いておくと、通知が来たときに動きが止まりません。

もう一つの交差点は、Usage Policyが定める高リスク用途の該当判定です。用途がどの区分に当たるかの一次判断は現場が行います。契約上の解釈が必要な境界事例は法務に、技術的な制御が必要な場合は情シスに戻ります。役割分担表には、この往復を前提に「主担当」と「相談先」を分けて書いておきます。

稟議書に反映するときの粒度

役割分担を稟議書に書くときは、部門名だけを並べるのではなく「確認する文書名」「確認する頻度」「次に渡す相手」までを1行にまとめると、承認者が読んだときに実際の運用が想像できます。「情シス:セキュリティ確認」とだけ書かれた行では、承認者は判断できません。「情シス:DPA・trust.anthropic.comの認証状況を導入時に確認し、結果を法務へ共有」と書かれていれば、材料の量が変わります。参照したガイドラインの版と公表日も欄に残しておきます。ガイドラインは更新を前提とした文書で、改定後に見直す起点になります。担当部門の名前を埋めることが目的化すると、実際に運用が始まったときに誰も具体的な確認作業を思い出せない稟議書になりかねません。

まとめ

専門性が要る確認(セキュリティと監査証跡は情シス、契約文書は法務)と、業務データを入力して出力を判断に使う運用(現場部門)は、代わりが利きません。稟議書は、3部門それぞれの確認欄に文書名と受け渡し先まで書いたものが、承認者にとって判断材料になります。