Claude Code を会社で安全に使う：情報漏洩を防ぐ設定と社内ルール【2026年版】

Claude Code は、ターミナルやエディタの中で、コードを読み、書き、コマンドを実行してくれる AI です。エンジニアだけでなく、企画や業務改善の担当者が社内ツールを作る場面でも使われ始めています。

一方で、導入を考える会社からいちばん多く聞くのが「社内の情報が漏れないか」という不安です。この不安は、中身を分けて考えると、対策がはっきりします。

この記事の内容は、2026年10月時点の Anthropic の公式ドキュメントにもとづいています。Claude Code は更新が速いので、設定の名前や初期値は、導入前に公式ドキュメントでも確かめてください。

Claude Code から情報が漏れる3つの経路

「AI に入れた情報が漏れる」と一言で言っても、実際には次の3つの別々の話が混ざっています。対策もそれぞれ違います。

多くの記事は1つ目の「学習させない設定」だけを扱っています。しかし、学習に使われない設定にしても、2つ目の保存は起きますし、3つ目はプランとは関係なく起きます。会社で使うなら、3つすべてに手を打つ必要があります。

1. 学習に使われる

Claude Code に送った内容が学習に使われるかどうかは、使っているプランで決まります。個人向けのプラン（Free・Pro・Max）では、本人が「学習に使ってよい」を選んでいる場合、Claude Code での利用分も学習に使われます。会社向けのプラン（Team・Enterprise）や API では、学習に使われません（Anthropic 公式：Data usage）。

2. Anthropic に保存される

学習に使われない場合でも、入力やコードは一定期間、Anthropic のサーバーに保存されます。会社向けのプランと API の標準は30日です。個人向けのプランでは、学習を許可していれば5年、していなければ30日です。

見落としやすいのが、不具合を報告する /feedback（/bug も同じ）です。このコマンドで送った会話の記録は、コードを含めて5年保存されます（同上）。

3. 手元や外部から漏れる

3つ目は、Claude Code が動いているパソコンの中で起きます。

• .env のように、パスワードや API キーが入ったファイルを AI が読み、会話の中に出してしまう
• AI が実行したコマンドが、外部にデータを送ってしまう
• 外部のツールとつなぐ仕組み（MCP）や、他人が作ったリポジトリに仕込まれた設定に、AI が操られる

さらに、Claude Code はセッションを再開できるように、会話の記録をパソコンの中（~/.claude/projects/）に暗号化せずに30日間保存します。端末を共有したり、紛失したりしたときのことも考えておく必要があります。

「学習させない」設定：プラン別の答え

結論から言うと、業務で使うなら、会社向けのプラン（Team または Enterprise）か API で使うのが答えです。個人のアカウントで使っている社員がいる場合は、少なくとも学習の設定をオフにしてもらいます。

プラン別の比較

2026年10月時点の公式の情報です（料金、データの扱い）。どのプランにも Claude Code が含まれています。

ゼロデータ保持（サーバーにデータを残さない契約）は、Enterprise の標準には含まれず、条件を満たした組織ごとに個別に有効にする形です（Anthropic 公式：Zero data retention）。

クリーヴァの使い方

クリーヴァでは、Claude Code を Team プランで使っています。Team プランには、使える量の多い Premium と、標準の Standard の2種類の席があります。職種や担当者のスキルに合わせて、毎日コードを書く担当には Premium、使う場面が限られる担当には Standard を割り当てています。全員に Premium を配るより費用を抑えつつ、学習に使われない条件と管理機能を全員にそろえられます。

そのうえで、秘匿情報は絶対に AI に渡さないことを社内のルールにしています。学習に使われないプランでも、30日間は保存されるからです。お客さまの本番環境のパスワードや API キーは、AI が読める場所に置かず、会話にも貼りません。

個人のアカウントで使っている社員がいる場合

すぐに会社向けのプランに移れない場合は、次の2つを確かめてもらいます。

1. Claude の設定画面のプライバシーの項目で、会話をモデルの改善（学習）に使う設定をオフにする（設定画面）。
2. 業務のコードや社内の情報を、個人のアカウントで扱わない期限を決める。

オフにしても、すでに学習に使われたデータは取り消せません。また、オフにしても30日間は保存されます。個人のアカウントは「つなぎ」と考えてください。

なお、Cursor にも、学習に使わせない「プライバシーモード」があります。チームの管理者がまとめてオンにでき、新しく入ったメンバーにも引き継がれます（Cursor 公式：Data use）。

権限設定：Claude Code にさせてよいこと・いけないこと

学習と保存の問題はプランで片づきます。ここからは、プランでは防げない「手元から漏れる」経路の対策です。

初期の動き方（権限モード）が変わっている

Claude Code には、操作のたびに人の確認を求めるかどうかを決める「権限モード」があります。2026年10月時点の最新版（v2.1.283 以降）では、ターミナルと VS Code の**初期のモードが「auto」**になりました。auto モードでは、人の代わりに別の AI（分類器）が操作を審査します。

便利な一方で、公式も「確認の手間は減るが、安全を保証するものではない」と書いています（Anthropic 公式：Permission modes）。機密性の高い作業では、毎回人が確認する Manual モード（設定値は default）を使います。

もう1つ、すべての確認を飛ばす「bypassPermissions」（起動オプションの --dangerously-skip-permissions）は、公式がインターネットから切り離したコンテナや仮想マシンの中だけで使うよう求めているモードです。普段のパソコンでは使いません。会社としては、この後に紹介する管理設定で使えないようにできます。

.env や鍵を読ませない設定と、その限界

Claude Code の設定ファイル（settings.json）に「deny（禁止）」のルールを書くと、特定のファイルを読ませないようにできます。公式の例にならうと、次のようになります。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)"
    ]
  }
}

ルールは「禁止 → 確認 → 許可」の順に判定され、どこか1か所で禁止されていれば、ほかの設定で許可することはできません。

ただし、この禁止は万能ではありません。公式によると、禁止のルールが効くのは、Claude Code の読み込み機能と、cat や head のようにファイル名を指定して読むコマンドです。ファイル名を指定せずにまとめて検索するコマンドや、別のプログラムが読み込む場合には効きません（Anthropic 公式：Permissions）。.claudeignore というファイルを置いても、効果はありません。

つまり、「deny を書いたから安心」ではありません。本当に止めるには、次のサンドボックスと組み合わせ、そもそも秘密の情報を AI が触れる場所に置かないことが大切です。

サンドボックスで、読める場所と通信先を絞る

サンドボックスは、Claude Code が実行するコマンドを、OS のレベルで閉じ込める機能です。書き込める場所と、通信できる相手を限定できます。macOS、Linux、WSL2 で使えます（Windows そのものでは使えません）。初期状態ではオフなので、/sandbox コマンドか設定で有効にします（Anthropic 公式：Sandboxing）。

注意点が2つあります。

• サンドボックスでも、読み取りは初期状態でほぼどこでもできます。~/.ssh や ~/.aws のように鍵が置かれる場所は、読み取り禁止（denyRead）を設定します。
• 外部への通信は、許可したドメインだけになります。必要な通信先を、少しずつ許可していきます。

会社でまとめて設定を配る（管理設定）

ここまでの設定を、社員一人ひとりに任せるのは現実的ではありません。Claude Code には、**会社が配り、社員が上書きできない「管理設定（managed settings）」**があります。Team・Enterprise プランなら、Claude の管理画面から配れます。MDM（端末管理の仕組み）や設定ファイルで配ることもできます（Anthropic 公式：Settings）。

そのまま使える管理設定の例

次は、この記事の内容をまとめた例です。自社の環境に合わせて調整してください。

{
  "permissions": {
    "defaultMode": "default",
    "disableBypassPermissionsMode": "disable",
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)",
      "Read(./secrets/**)",
      "Bash(curl *)",
      "Bash(wget *)"
    ]
  },
  "sandbox": {
    "enabled": true,
    "filesystem": {
      "denyRead": ["~/.ssh", "~/.aws"]
    }
  },
  "env": {
    "CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC": "1",
    "DISABLE_FEEDBACK_COMMAND": "1"
  }
}

それぞれの意味は次のとおりです。

auto モードそのものを使えなくしたい場合は、permissions.disableAutoMode に "disable" を設定します。

効いているかを確かめる

配った設定が効いているかは、社員のパソコンで Claude Code の /status コマンドを実行すると確かめられます。また、設定の変更を記録する仕組み（ConfigChange フック）や、利用状況を自社の監視基盤に送る仕組み（OpenTelemetry）も用意されています（Anthropic 公式：Security）。

実際に起きた事故と、防げた設定

AI のコーディングツールをめぐる事故は、実際に起きています。共通しているのは、「確認を飛ばした」「信頼できないものを開いた」ときに起きていることです。

Nx の件では、一部の AI ツールが不正な実行を拒否したことも報告されています。ツールの安全機能は役に立ちますが、それに頼り切らず、確認を飛ばせる状態そのものを作らないことが大切です。

現場で見た「安全の手前」のつまずき

情報漏洩の対策をしていても、AI に任せた開発がうまくいかない会社があります。クリーヴァが伴走の現場で見てきたのは、主に次の2つのパターンです。

指示があいまいで、欲しいものと違うものができる

「在庫を管理できる画面を作って」のように指示があいまいなままだと、AI は空いている部分を自分で補って、それらしいものを作ります。動くので一見うまくいったように見えますが、よく見ると、現場の業務の流れや、必要な項目と合っていません。作り直しが続き、結局、時間がかかります。

ルールや上流の設計がないまま任せて、中身がぼろぼろになる

何を作るのか（要件）や、どんなルールで作るのか（設計・開発のルール）を決めずに AI に任せると、画面は動いていても、中身はつぎはぎになります。権限のチェックが抜けていたり、同じ処理があちこちに散らばったりして、あとから直すのが難しい状態です。

この2つは、安全とは別の話に見えますが、根は同じです。AI に何を任せ、何を人が決めるのかを先に決めていないことです。設定やルールで AI の動ける範囲を決めることと、要件や設計で AI に渡す指示をはっきりさせることは、どちらも「AI に任せる前の準備」です。

社内ルールのひな形

設定だけでは、人の使い方までは決められません。次の5つを1枚にまとめて、社内に配ることをおすすめします。

# AI コーディングツール（Claude Code 等）の利用ルール

## 1. 入力してよい情報
- 入力してよい：公開済みの情報、社内の一般的な業務情報、自社開発のソースコード
- 入力してはいけない：パスワード・API キー・秘密鍵、お客さまの個人情報、契約上の秘密情報、本番環境の接続情報

## 2. 使ってよいプランとアカウント
- 会社が契約した Team / Enterprise のアカウントだけを使う
- 個人のアカウントで業務の情報を扱わない

## 3. 禁止すること
- 確認を飛ばすモード（bypassPermissions / --dangerously-skip-permissions）を使わない
- 本番環境の鍵や接続情報を、AI が読める場所に置かない
- 会社が配った設定（管理設定）を変えない

## 4. 申請が必要なこと
- 新しい MCP サーバーや外部ツールとの連携を追加するとき
- 社外のリポジトリを開いて作業するとき

## 5. 事故が起きたとき
- 秘密の情報を入力した、または AI に読ませてしまったときは、すぐに担当者へ報告する
- 漏れた可能性のある鍵は、すぐに無効にして作り直す

ルールは、作って終わりにせず、半年に1回は見直してください。ツールの初期値や機能が、短い間隔で変わるためです。

導入前に確かめる10項目

最後に、この記事の内容をチェックリストにまとめます。

1. 業務で使うアカウントは、会社が契約した Team・Enterprise・API のどれかになっているか
2. 個人のアカウントで使っている社員がいれば、学習の設定をオフにしてもらったか
3. 「学習に使われない」と「保存されない」は別だと、関係者が理解しているか
4. 秘密の情報（パスワード、API キー、お客さまの個人情報）を AI に渡さないルールがあるか
5. 起動したときのモードを決め、確認を飛ばすモードを禁止しているか
6. .env などを読ませない設定と、サンドボックスを組み合わせているか
7. 設定を、社員が上書きできない管理設定として配っているか
8. MCP や外部ツールとの連携を、許可したものだけにしているか
9. AI が本番の環境に触れない構成になっていて、バックアップから戻せるか
10. AI に渡す要件や開発のルールを、人が先に決めているか

よくある質問

学習の設定をオフにすれば、データは保存されませんか？

保存はされます。個人向けのプランでも、会社向けのプランでも、標準では30日間 Anthropic のサーバーに保存されます。保存そのものを避けたい場合は、Enterprise のゼロデータ保持を相談するか、Amazon Bedrock や Google Cloud 経由での利用を検討します。

社員の個人アカウントで使わせてもいいですか？

おすすめしません。学習の設定が本人任せになり、会社として管理設定も配れないためです。少人数でも、Team プランなら2人から契約できます。

無料プランで業務に使ってもいいですか？

同じ理由でおすすめしません。無料プランも個人向けのプランなので、学習に使われるかどうかは本人の設定しだいです。

Claude Code のソースコードが流出したと聞きました。使って大丈夫ですか？

2026年3月に、配布されたパッケージの中に Claude Code のソースコードを読める状態のファイルが含まれていたことが報じられました。Anthropic は、リリース時の人為的なミスで、利用者のデータや認証情報の漏えいではないと説明しています（PCWorld）。利用者のデータが漏れた話ではありませんが、ツールそのものも更新を続け、最新版を使うことが大切です。

Cursor なら安全ですか？

Cursor にも、学習に使わせないプライバシーモードがあります。ただし、手元のファイルを読む、コマンドを実行する、外部とつなぐ、といった点は Claude Code と同じです。どのツールでも、この記事の「権限」「会社で配る設定」「社内ルール」の考え方はそのまま当てはまります。

まとめ

• Claude Code からの情報漏洩は、「学習」「保存」「手元と外部」の3つに分けて考える
• 学習は、Team・Enterprise・API を選べば防げる。保存は30日が標準
• 手元からの漏れは、権限の設定、サンドボックス、会社で配る管理設定で防ぐ。deny の設定だけでは止めきれない
• 確認を飛ばすモードは使わない。実際の事故は、確認を飛ばしたときに起きている
• 設定と同じくらい大切なのが、社内ルールと、AI に任せる前の要件や設計

AI に開発を任せる範囲が広がるほど、「何を任せ、何を人が決めるか」の線引きが大切になります。自社に合ったプラン、設定、ルールを決めきれないときは、専門家に一度相談してください。