社内でClaude Codeを使い始めて2週間ほど経ったころ、メンバーの1人から連絡が来ました。

「顧客の連絡先が入ったスプレッドシート、Claude Codeに読ませちゃったんですけど、まずかったですか」

ルールを決めないまま、「便利だから使ってみて」と配ったのが原因でした。結果として大きな問題にはなりませんでしたが、その日のうちに、契約の条件、データの保存期間、本人のパソコンに残る記録を全部調べ直すことになりました。

この記事は、そのときに作り、その後の研修先でも配っている「Claude Codeの業務利用ルール」の作り方です。2026年10月15日時点の公式ドキュメントで確かめた内容をもとにしています。

なぜ業務利用にはルールが要るのか

Claude Codeは、パソコンの中のファイルを読み、書き換え、コマンド(パソコンへの命令)を実行して、ファイルの移動や削除までできる道具です。チャットのAIと違って、手が届く範囲が広い。だからこそ、どこまで触らせるかを先に決めておく必要があります。

もう1つの理由は、契約によってデータの扱いが変わることです。公式ドキュメントでは、TeamやEnterprise、APIなどの商用の契約では、送った内容を原則として学習に使わないとされています。一方、個人向けのProやMaxでは本人の設定しだいです。誰がどの契約で使っているかがばらばらだと、会社として説明ができません。

Data usage(Claude Code公式・英語)

code.claude.com

業務で使うときのセキュリティ全般の注意点は、別の記事にまとめています。

Claude Codeを業務で使う時の注意点

claudecodelab.jp

最初に決めるのは、扱ってよいデータの線引き

Claude Codeの業務利用ルールの中心は、データの線引きです。私は3段階に分けています。

扱ってよいのは、社外秘ではない資料や、自分たちで作ったダミーデータ、公開済みの情報です。条件付きで扱ってよいのは、社内の業務データのうち個人情報を含まないもの。商用の契約で使っていることが条件です。扱わないのは、顧客や社員の個人情報、取引先から預かった秘密情報、パスワードやAPIキー(サービスにログインするための秘密の文字列)などです。

冒頭のスプレッドシートは、3段目に当たります。この線を1枚の紙に書いて、使う人全員に見せておけば、同じことはかなり防げます。

設定で「読めない」ようにしておく

ルールを読んでもらうだけでは、うっかりは防げません。設定で物理的に止めておきます。

Claude Codeには、触ってよいもの、聞いてから触るもの、触らせないものを決める許可の設定があります。たとえば、パスワードなどが入った .env というファイルや、秘密の書類を置くフォルダを読ませないようにするには、作業フォルダの中の .claude/settings.json という設定ファイルにこう書きます。secrets/** は「secretsフォルダの中身すべて」という意味です。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./secrets/**)"
    ]
  }
}

許可の設定の細かい書き方は、こちらで解説しています。

Claude Codeの権限設定

claudecodelab.jp

管理者が設定を配る

人数が増えたら、この設定を各自に任せず、管理者が配る形に切り替えます。公式にはmanaged settings(管理者が配る設定)という仕組みがあり、ここに書いた内容は、本人やプロジェクトの設定では上書きできません。

配り方は、各パソコンの決まった場所にファイルを置く方法のほか、MDM(会社のパソコンを一括管理する仕組み)や、TeamやEnterpriseの管理者がブラウザで開くClaudeの管理画面から配る方法が案内されています。ファイルを置く場所は、OSごとに決まっています。

macOS     /Library/Application Support/ClaudeCode/managed-settings.json
Windows   C:\Program Files\ClaudeCode\managed-settings.json
Linux     /etc/claude-code/managed-settings.json

Deploy managed settings(Claude Code公式・英語)

code.claude.com

公式の例では、先ほどの読み取り禁止に加えて、すべての確認を飛ばして動かすモード(bypass permissions)を使えなくする設定も一緒に配っています。書き方は上のリンク先の例にあります。業務利用なら、この2つはセットで入れておくのがよいと思います。

手元に残る記録の扱い

見落としやすいのが、社員のパソコンに残る記録です。

Claude Codeは、会話を後から再開できるように、やり取りの記録を手元の ~/.claude/projects/ というフォルダ(~ は自分のホームフォルダのこと)に、暗号化せずに30日間保存します。期間は、先ほどと同じ settings.json の cleanupPeriodDays という項目に日数を書けば変えられます。サーバー側だけでなく、手元にも記録が残ることを、社内の情報管理の担当者と共有しておいてください。パソコンを返却するときの消去の手順に、このフォルダを入れておくと安心です。

そのまま使える社内ルールのひな形

最後に、私が研修先に配っているひな形を載せます。社名や部署名を入れ替えて使ってください。

  • 業務でClaude Codeを使うときは、会社が契約したTeamなどの商用アカウントを使う。個人で契約したアカウントは使わない
  • 顧客や社員の個人情報、取引先の秘密情報、パスワードやAPIキーを含むファイルは読ませない
  • 作業は専用のフォルダで行い、関係のないフォルダでは起動しない
  • 確認画面で内容がわからないときは許可せず、何をしようとしているか説明を求める
  • すべての確認を飛ばして動かすモードは使わない
  • 作ったプログラムを社外に公開する、または他部署に配るときは、事前に担当者の確認を受ける
  • 判断に迷ったら、使う前に担当者に相談する

7項目で、A4の半分ほどに収まります。長いルールは読まれません。

ルールは、使いながら育てる

Claude Codeの業務利用ルールは、最初から完璧に作る必要はありません。冒頭の件のあと、私のチームではルールを3回書き直しました。新しい使い方が出るたびに、1行ずつ足していけば十分です。

契約の形そのものをどう選ぶかは、こちらの記事でチェックリストにしています。

Claude Codeを法人契約する前の確認リスト

claudecodelab.jp