社内のAI利用方針をClaudeで作成する手順

「AIツールを使い始めたが、社内のルールがない」という状態は、規程を1本作れば解決するようで、実際には何を書けばよいかで手が止まりがちです。Claudeの公式ユースケース「Generate an AI policy」は、この起草作業をリサーチ・文書化・実装ツールまで一貫してサポートする手順を示しています。もとはNPO(非営利団体)向けの事例ですが、扱っている論点はほとんどの企業にそのまま当てはまります。

AI利用方針を構成する5つの柱

方針の骨格は、ガバナンス構造、データプライバシーと保護、適切な利用範囲、職員ガイドライン、倫理的配慮という要素に分かれます。ガバナンス構造は誰がAIツールの採用を承認し、誰がリスクを評価するかを決める部分です。データプライバシーは、顧客情報や個人情報のうちAIツールに渡してよいものと渡してはいけないものの線引きにあたります。

適切な利用範囲は、管理業務や社内コミュニケーションのような承認された用途と、採用の合否判断のような自動化された人物評価を許さない用途を分ける項目です。グレーゾーンをあらかじめ列挙しておくことも欠かせません。職員ガイドラインは、誰がいつAIの出力を検証する責任を負い、どこで人間の判断にエスカレーションするかを定めます。倫理的配慮は、バイアスの検出、受益者や顧客への透明性、自社のミッションとの整合性を継続的に確認する仕組みです。

Claudeにリサーチさせてから書き始める

いきなり方針の文面を書かせるのではなく、最初にResearch機能で近い業界の事例を集めさせると、独りよがりでない基準に近づきます。次のような依頼が出発点になります。

私たちの組織向けにAI利用方針を作りたいです。中規模の組織で、
管理業務・顧客対応・一部の業務プロセスでAIツールの利用を始めています。
明確なガバナンスが必要です。
 
まずResearchを使って、他社のAI利用方針の事例を探してください。
とくに機密性の高い情報を扱う業種や、対人サービスを提供する組織の事例を
中心に、業界内でどのようなガバナンスの枠組みが広がっているか、
他社がどのような保護策を実装しているかを把握したいです。

このあとに、自社の既存の資料をアップロードして文脈を渡します。データプライバシーポリシー、倫理規程やバリューステートメント、従業員ハンドブックのテクノロジー利用に関する章、ベンダー管理・調達ポリシー。手元にあるものを渡すほど、方針の内容が実態からかけ離れずに済みます。既存資料が薄い組織でも、Web検索を有効にしておけば一般的なガバナンスのベストプラクティスを補えます。

生成される成果物とその使い分け

依頼の仕方によって、Claudeはドキュメント形式の成果物を複数出し分けます。方針そのものはWord文書として、エグゼクティブサマリー・詳細なポリシーセクション・職員ガイドライン・ガバナンス構造・実装タイムライン・付録テンプレートという構成でまとまります。ボードへの提示を想定した専門的なレイアウトを指定すれば、コンサルティング会社が納品するような体裁に近づきます。

実装を回すための道具は別に作らせるのが実務的です。用途の申請ワークフロー、スコアリング付きのリスク評価マトリクス、職員のトレーニング完了状況、ベンダー評価チェックリスト、コンプライアンスの四半期レビュー予定、ポリシー例外ログ。これらをタブ分けしたExcelワークブックにまとめさせます。文書のまま止めず、運用へつなげるための一手間です。

完成した方針は、Claude Projectsの知識ベースに保存しておくと版管理が楽になります。改訂のたびにチャットへ全文を貼り付け直す必要がなく、次の見直しでは「このプロジェクトの方針を、新しく決まった◯◯のルールを反映して改訂して」と依頼するだけで済みます。

「NPO向け」を自社の文脈に読み替える

公式のユースケースは、青少年のメンタルヘルス支援を行うNPOという具体的な設定で書かれています。未成年者の機微な健康情報を扱う組織が前提です。それでも骨格自体は一般企業にそのまま応用できます。脆弱な対象者を「顧客」や「個人情報を提供するユーザー」に、ドナーを「取引先」や「株主」に読み替えるだけで、同じ5つの柱がほぼそのまま使えます。

業種による違いが出るのは、規制対応の部分です。医療関連のデータを扱うならHIPAAに相当する日本の個人情報保護法・医療分野ガイドラインの確認が要りますし、金融であれば業法上の説明義務が加わります。Claudeが生成する方針テンプレートは一般的な配慮に対応していますが、業種固有の法令遵守までは代替しません。採用前に法務担当者やAI利用方針に詳しい弁護士のレビューを挟む前提で使うのが安全です。

方針を実際の管理機能に落とし込む

方針を文書として作るだけでは、誰がそれを守っているかを確認できません。Claudeの管理コンソールには、方針の項目をそのまま運用の設定に対応させられる機能がEnterpriseプラン向けに用意されています。承認者を絞るガバナンス構造はCustom rolesと管理者権限のエリア分けに、利用状況の継続的な監視は監査ログとCompliance APIに対応します。

監査ログはOwnerまたはPrimary Ownerが「Organization settings > Data and Privacy」からエクスポートできます。取得できるのは過去180日分のイベントです。ただしチャットやプロジェクトの本文そのものは含まれず、記録されるのは操作の種類やアクター情報が中心です。会話の内容確認まで含めた監査が必要な場合は、別のデータエクスポート機能と組み合わせる設計になります。権限設計の具体的な手順はClaude CoworkのRBAC運用にまとめているので、方針を承認したあとの実装はそちらを参照してください。

Coworkを業務で使う組織なら、データがどこに置かれ誰が触れるかという実態を先に押さえておくと、方針の「データプライバシー」の項目が具体的に書けます。処理方式やプラン別の扱いはCoworkセキュリティで整理しているので、方針の文面と実際の挙動がずれていないかを照らし合わせる材料になります。

方針を書いたあとにやること

方針は公開して終わりではなく、職員が実際に読んで動けるようにする工程が続きます。ハイライトと具体的なシナリオを盛り込んだトレーニング資料、経営層向けのボード提示資料、顧客やドナーへの説明文をそれぞれ別に生成させると、同じ方針を相手ごとに翻訳し直す手間が省けます。

見直しのタイミングもあらかじめ決めておくと形骸化を防げます。年次の定期レビューに加え、新しいAIツールを採用したとき、方針違反が起きたとき、関連法規が変わったときには随時レビューを挟む運用が実務的です。最初から制限事項を並べるより、承認された用途から説明を始めるほうが、社内の警戒感を招きにくいという指摘も公式ユースケースにあります。

よくあるつまずき

生成された方針は骨格として優れていても、自社の組織体制やすでにある規程と矛盾する記述が残ることがあります。既存のハンドブックや調達ポリシーをアップロードした状態で生成しても、法務担当者による最終確認を省略しない運用が安全です。

文書上は「臨床判断や人物評価にAIを使わない」と書きながら、実際のコネクタやモデルへのアクセス権限は誰でも触れる状態のままになっているケースもあります。方針を確定させたら、対応する管理機能の設定まで一緒に見直します。

正社員向けの職員ガイドラインだけを作って終わると、ボランティアや業務委託先によるAI利用が想定外になりがちです。対象者の範囲を最初に洗い出しておくと、あとから追記する手間が減ります。

まとめ

社内のAI利用方針は、ガバナンス構造・データプライバシー・適切な利用範囲・職員ガイドライン・倫理的配慮という骨格を先に固めます。そこにResearchで集めた他社事例と自社の既存資料を重ねて起草すると、実態から乖離しにくくなります。Word文書とExcelワークブックを使い分け、承認と運用を分離します。Enterpriseの管理機能で守れる部分と法務レビューが必要な部分を切り分けておくと、公開後の形骸化を防げます。新人オンボーディングガイドの作成のように、日常業務でAIに渡す個人情報の範囲を判断する場面は多く、方針を先に決めておくことがそうした個別の判断を速くします。

よくある質問

個人でClaudeを使う場合でもAI利用方針は必要ですか

方針が意味を持つのは複数人が関わる組織の場合です。個人事業主が自分だけでClaudeを使うなら、正式な規程よりも、顧客情報を渡す範囲についての自分なりの基準を持っておく程度で足ります。従業員やボランティアなど、自分以外の誰かがAIツールに触れる時点で、方針として文書化する価値が出てきます。

弁護士に依頼せず社内だけで完結させてよいですか

Claudeが生成する方針は法的助言ではなく、あくまで骨格の起草です。個人情報保護法や業種固有の規制が絡む部分は、社内だけで完結させず法務担当者や弁護士のレビューを経てから正式化するのが安全です。とくに医療・金融・教育のように既存の業法がある業種では、テンプレートの該当セクションを重点的に確認します。

方針とCoworkやClaude Codeの権限設定はどちらを先に決めるとよいですか

順序としては方針を先に固め、それに合わせて管理コンソールの設定を後から調整する形が扱いやすくなります。先に技術的な制限だけを作ってしまうと、なぜその制限があるのかを説明する文書があとから必要になり、二度手間になりがちです。