社内のAI利用方針をClaudeで作成する手順

「AIツールを使い始めたが、社内のルールがない」という状態は、規程を1本作れば解決するようで、実際には何を書けばよいかで手が止まりがちです。Claudeのユースケース「Generate an AI policy」は、起草をリサーチ、文書化、実装用ツールの作成まで一続きで進める手順を示しています。もとはNPO(非営利団体)向けの事例ですが、論点の大半は一般の企業にも当てはまります。

この記事の独自の軸は、書き上げた方針を管理画面の設定に1項目ずつ対応づけるところにあります。文面で縛れる項目と、設定で止められる項目は別物で、その線引きを先に知っておくと起草の段階で書き分けられます。

方針の骨格は5つの要素でできている

ユースケースの依頼文は、方針に次の5つの要素を含めるよう求めています。

• ガバナンス構造: 誰がAIツールの採用を承認するか、リスク評価の枠組み、監督の責任者。ISO 42001とAI事業者ガイドラインの対応関係が参考になります
• データプライバシーと保護: AIツールに渡してよい情報と渡してはいけない情報、保管と削除の手順
• 適切な利用範囲: 承認する用途、禁止する用途(臨床判断や、受益者を自動で評価する用途)、個別に審査するグレーゾーン
• 職員ガイドライン: 研修要件、出力を検証する責任、人間の判断へ引き上げる基準、記録の残し方
• 倫理的配慮: バイアスの検出と軽減、透明性、ミッションとの整合性、地域社会への影響の評価

グレーゾーンを禁止と承認の間に独立した区分として置くのが、この骨格の特徴です。管理画面ではコネクタの「Needs approval」(毎回の確認が必要)が、この中間に近い位置づけです。

依頼から運用までの流れ

最初の依頼文は、たとえば次のように書き出します。

私たちの組織向けにAI利用方針を作りたいです。中規模の組織で、
管理業務・顧客対応・一部の業務プロセスでAIツールの利用を始めています。
明確なガバナンスが必要です。
 
まずResearchを使って、他社のAI利用方針の事例を探してください。
とくに機密性の高い情報を扱う業種や、対人サービスを提供する組織の事例を
中心に、業界内でどのようなガバナンスの枠組みが広がっているか、
他社がどのような保護策を実装しているかを把握したいです。

Wordは承認用、Excelは運用用に分ける

例では、Word文書にエグゼクティブサマリー、詳細なポリシー、職員ガイドライン、ガバナンス構造、実装タイムライン、付録のテンプレートが入ります。Excelワークブックには、用途の申請と承認、スコアリング付きのリスク評価マトリクス、研修の完了管理、ベンダー評価、四半期ごとのコンプライアンス確認、例外ログが並びます。説明には、ドロップダウン、条件付き書式、スコア計算式、ヘッダー固定、状況を要約するダッシュボードまで含まれます。

読み手によって必要な形が違うので、成果物は次のように使い分けます。

完成した方針はClaude Projectsの知識ベースに保存しておくと、改訂のたびに全文を貼り直さずに済みます。次の見直しでは「このプロジェクトの方針を、新しく決まった◯◯のルールを反映して改訂して」と頼むだけです。

NPOの事例を自社向けに読み替える

事例の設定は、12〜18歳の青少年にメンタルヘルス支援を行うNPOです。脆弱な対象者は「顧客」や「個人情報を提供するユーザー」に、ドナーは「取引先」や「株主」に置き換えれば、5つの要素はそのまま使えます。

置き換えで手が入るのは規制の部分です。テンプレートは健康情報についてHIPAA(米国の医療情報保護法)を例に挙げており、日本の組織は自分の業種に当てはまる法令を調べ直す必要があります。居住地域に固有の規制をClaudeに調べさせたうえで、取締役会で採択する前に弁護士のレビューを受けるのが手順に含まれています。

方針の項目は管理画面のどこに対応するか

方針が文面だけだと、守られているかを確かめる手段がありません。Enterpriseプランには、方針の項目と対応づけられる設定が用意されています。

Custom rolesは「Organization settings > Roles」で作ります。OwnerとPrimary Owner、およびIdentity & Accessが「Can manage」のロールを持つメンバーが操作できます。ロールの変更が反映されるまでには最大15分かかり、メンバーはブラウザの再読み込みが必要な場合があります。

禁止したい機能の設計は「付けない」が基本になる

機能にアクセスできるかは、4段階の優先順位で決まります。

注意したいのは3段目の性質です。複数のグループに属するメンバーの権限は加算され、あるロールが付与した権限を別のロールで取り消すことはできません。たとえば「Standard Access」(Web検索とメモリー)と「Developer」(CoworkとClaude Code)の両方に入っていれば、4つすべてを使えます。禁止したい機能は、全員に付く基本ロールに入れず、必要な部署のロールだけに載せる設計になります。実際にどう効いているかは、メンバーまたはグループの行の「⋮」から開く「View effective role」で、付与元のロールごとに確認できます。

Custom rolesは、Owner、Admin、Userのロールを持つメンバーには効きません。ロールが「Custom」のメンバーだけが対象です。また、SCIMのディレクトリ同期とグループマッピングを有効にした組織では、各メンバーのロールは同期側が管理します。マッピングより前に「Custom」にしていたメンバーは、対応するIdPグループが無ければ次の全体同期でマッピング先のロールへ戻ります。

監査ログで「誰がいつ変えたか」を残す

方針の「データプライバシー」を守れているかは、監査ログで追えます。エクスポートできるのはOwnerとPrimary Ownerで、「Organization settings > Data and Privacy」の「Export logs」から行います。過去180日分のログがまとめられ、依頼したOwnerへ届くメールのダウンロードリンクは24時間で失効します。集計に時間がかかるため、メールはすぐには届きません。

記録される列には、日時、操作した主体、イベントの種類、対象、IPアドレス、デバイスID、ユーザーエージェントがあります。方針に結びつけやすいのは、プロジェクトの公開範囲の変更(project_visibility_changed)や、プロジェクトの知識ベースへの文書の追加と削除(project_document_created・project_document_deleted)です。公開範囲を変えた際は、新しい設定がupdated_privacyとして残ります。

ログに入らないものもあります。チャットとプロジェクトのタイトルや本文は含まれず、一意の識別子だけが出力されます。会話の入出力そのものは、Primary Ownerがデータエクスポートで取得する別経路です。顧客管理の暗号化キーを使うEnterprise組織では「Export logs」ボタンが使えず、同じイベントをCompliance APIで取得します。

権限設計の具体的な手順はClaude CoworkのRBAC運用にあります。Coworkを業務で使う組織なら、データがどこに置かれ誰が触れるかをCoworkセキュリティで先に確かめておくと、方針のデータプライバシーの項が実態とずれません。

方針を書いたあとの見直し

見直しの時期は、あらかじめ方針に書き込んでおきます。年次の定期レビューに加えて、新しいAIツールの採用時、方針違反の発生後、規制の変更時に臨時の更新を挟みます。「Policy Amendment Process(方針改定の手続き)」という節をClaudeに追加させると、この手順を方針そのものに書き込めます。

職務別の要約も生成できます。公式の例は、プログラム担当者向けに受益者データの保護へ絞った1枚の要約と、開発部門向けに寄付者への連絡を扱うガイドラインです。職員への提示は、最初に制限を並べず、できることから説明を始めます。

生成物を鵜呑みにしたときのつまずき

• 既存規程との矛盾: 骨格として整っていても、自社の体制や既存規程と食い違う記述が残ります。不足箇所を名指しで補強させます(「ボランティアによるAI利用の詳細を足して」など)
• 文面と設定のずれ: 「人物評価にAIを使わない」と書いたまま、コネクタやモデルの権限が全員に開いているケースです。方針の確定後に、「方針の項目は管理画面のどこに対応するか」の対応づけで設定を見直します
• 対象者の取りこぼし: 正社員向けだけで作ると、ボランティアや業務委託先のAI利用が想定外になります。対象者の範囲は起草の前に洗い出します

個人情報の扱いで迷う場面は日常業務に多く、たとえば新人オンボーディングガイドの作成でも、AIに渡してよい情報の範囲が問われます。

まとめ

最初に確かめたいのは、自社がEnterpriseかどうかです。Enterpriseなら設定で担保できる項目が増え、それ以外のプランでは研修と例外ログの運用が遵守の支えになります。その切り分けしだいで、方針の各条文を「設定で止める」と「運用で守らせる」のどちらで書くかが決まります。

よくある質問

個人でClaudeを使う場合でもAI利用方針は必要ですか

方針が意味を持つのは複数人が関わる組織です。個人事業主が自分だけで使うなら、顧客情報を渡す範囲についての自分なりの基準で足ります。従業員や外部の協力者がAIツールに触れた時点で、文書化する価値が出てきます。