はじめに
ClaudeのProjects機能を使い始めると、「入力した文章やファイルは学習に使われるのか」「社内情報をどこまで入れていいのか」という不安がつきまとう。特に業務で使う場合、データの扱いを誤ると情報漏洩やコンプライアンス違反につながりかねない。
本記事では、公式ドキュメントや信頼できる情報源をもとに、Claude Projectsにおけるデータの学習利用・保存・送信の実態を整理する。個人利用と業務利用の違い、プランごとの設定、リスクを減らす具体的な手順までを網羅し、読者が自分の使い方に合った判断を下せるようにする。
Claude Projectsで不安になりやすいデータの扱い
Claude Projectsに情報を入力する際、多くの人が気にするのは「学習利用の有無」だ。しかし、実際には「学習」「保存」「送信」の3つを区別して理解する必要がある。
「学習」と「保存」と「送信」は別物
公式情報によると、Anthropicはユーザーの入力や出力をモデル学習に使うかどうかを、プランごとに明確に定めている。一方で、安全対策や不具合解析のために一定期間データを保持する場合があり、これは学習利用とは異なる。
また、Claude Codeなどでは、ローカルで動作しているように見えても、プロンプトやファイルの内容がAnthropicのサーバーに送信される。学習に使われないとしても、データが外部に送られること自体がリスクになるケースもある。
誤解されやすいポイント
よくある誤解として、「個人プランでは常に学習に使われる」「商用プランなら絶対に安全」という極端な思い込みがある。実際には、個人プランでも設定変更で学習をオフにできる場合があり、商用プランでもフィードバック機能を使うとデータが学習に回る可能性がある。
入力前に分けたい情報の種類
Claude Projectsに入力する情報は、機密性や影響度に応じて分類し、取り扱いルールを決めておくと迷いが減る。
機密情報とそうでない情報の線引き
社内の経営戦略、顧客リスト、未公開の製品仕様などは明らかに機密情報だ。一方、一般的な業界知識や公開済みの資料はリスクが低い。ただ、グレーゾーンとして「社内用語を含む議事録」「個人情報は含まないが社外秘のプロジェクトコード」などがあり、これらをどう扱うかが悩みの種になる。
業務利用で特に注意すべきデータ例
以下のようなデータは、入力前に慎重な判断が必要だ。
- 個人情報（顧客名、住所、電話番号など）
- 認証情報（パスワード、APIキー、秘密鍵）
- 企業秘密（特許出願前の発明、M&A情報）
- 法的に保護される情報（弁護士依頼文書、医療記録）
これらを入力する場合は、所属組織の情報セキュリティポリシーや契約条件を必ず確認し、必要に応じて上長や法務部門に相談する。
個人利用と業務利用で変わる設定
Claudeのデータポリシーは、個人プラン（Free、Pro、Max）と業務プラン（Team、Enterprise、API）で大きく異なる。ここを理解せずに使うと、意図せずデータが学習に使われたり、逆に過剰に心配して生産性を落としたりする。
個人プラン（Free／Pro／Max）の既定動作
公式ドキュメントによると、個人プランではデフォルトで会話データがモデル学習に使用される設定になっている。ただし、設定画面からオプトアウトすることで学習利用を停止できる。
オプトアウトすると、データ保持期間が大幅に短縮される（例えば、5年から30日へ）。業務で個人プランを使う場合は、この設定を必ず確認し、必要に応じてオプトアウトすることが推奨される。
業務プラン（Team／Enterprise／API）の既定動作
商用利用規約（Commercial Terms of Service）に基づき、業務プランでは原則として会話データがモデル学習に使用されない。API経由の利用も同様だ。
ただし、Enterpriseプランには「Zero Data Retention（ZDR）」という追加オプションがあり、Anthropic側でのデータ保持を最小限にできる。ZDRを利用するには、Anthropicのアカウントチームへの申請が必要になる。
Claude Code利用時の追加設定
Claude Codeでは、運用テレメトリやエラーレポートが別途送信されることがある。これらは環境変数で無効化できる。
“`
DISABLE_TELEMETRY=1 DISABLE_ERROR_REPORTING=1 claude
“`
恒久的に設定する場合は、シェルの設定ファイルに追記する。
社内ルールに落とし込む時の見方
Claude Projectsを組織で導入する際は、個人の判断に任せるのではなく、明確なガイドラインを設けることが重要だ。
利用ガイドライン作成のポイント
以下の項目を盛り込んだガイドラインを作成すると、現場の混乱を防げる。
- 許可されるデータの種類と禁止されるデータの種類
- プランごとの設定手順（特に個人プランのオプトアウト方法）
- フィードバック機能（サムズアップ／ダウン、/feedbackコマンド）の利用ルール
- データ保持期間と削除ポリシーの確認方法
- インシデント発生時の報告フロー
管理者が確認すべき設定項目
TeamプランやEnterpriseプランでは、管理者が組織全体のデータ設定を一括管理できる場合がある。以下の点をチェックしておく。
- 学習利用のオプトイン／オプトアウト状態
- データ保持期間の設定
- フィードバック機能の制限
- ZDRの適用有無（Enterpriseのみ）
使わない方がよいケース
Claude Projectsは便利だが、どうしてもリスクが許容できない場面では使用を控えたほうが賢明だ。
絶対に漏洩できない情報を扱う場合
例えば、軍事機密、金融機関の顧客資産データ、医療情報など、漏洩した場合の被害が甚大な情報は、そもそも外部のAIサービスに入力すべきではない。
個人利用と業務利用が混在する環境
個人アカウントで業務情報を扱うと、設定不備による学習利用や、アカウント乗っ取り時の情報流出リスクが高まる。業務で使うなら、必ず業務用アカウントを取得し、組織の管理下に置くことが望ましい。
フィードバック機能を安易に使う場合
サムズアップや/feedbackコマンドでフィードバックを送ると、会話全体が学習や改善に利用される可能性がある。特に個人プランでは、フィードバックが学習データとして扱われるリスクがあるため、業務情報を含む会話ではフィードバックを送らないルールを徹底したい。
データの保持期間と削除・エクスポート
学習に使われないとしても、データがAnthropicのサーバーにいつまで保存されるのかは気になる点だ。
プラン別の保持期間
個人プランで学習をオプトアウトした場合、保持期間は約30日とされている。一方、デフォルトでは最大5年保持される。業務プランでは、商用契約に基づき保持期間が異なる場合があるため、契約書や公式ドキュメントで確認する必要がある。
データ削除とエクスポートの方法
Claudeの設定画面から、会話履歴の削除やデータのエクスポートが可能だ。ただし、削除リクエストが実際にサーバーから完全に消去されるまでのタイムラグや、バックアップからの復元可能性については、公式の明言がない部分もある。機密性の高い情報を入力した後は、速やかに削除する習慣をつけるとよい。
他のAIサービスとの比較
Claudeのデータポリシーを評価する際、ChatGPTやGeminiなど他の生成AIと比較すると、相対的な安全性が見えやすい。
ChatGPTとの比較
ChatGPT（OpenAI）も、APIやChatGPT Team/Enterpriseでは学習利用をオプトアウトできる。ただし、無料版ではデフォルトで学習に使われる設定になっている点はClaudeと共通する。細かい設定手順や保持期間は異なるため、導入前に各社の最新ポリシーを比較する必要がある。
Geminiとの比較
GoogleのGeminiも、Google Workspaceの利用規約に基づき、業務データの取り扱いが定められている。一般に、エンタープライズ向けの契約ではデータが学習に使われないことが保証されるが、無料版では注意が必要だ。
実務で迷ったときのチェックリスト
最後に、Claude Projectsに情報を入力する前に確認すべき項目をリスト化する。
入力前のセルフチェック
1. 入力する情報は機密情報か？
2. 利用しているプランは個人か業務か？
3. 学習利用の設定はオフになっているか？
4. フィードバックを送らない設定になっているか？
5. 組織のセキュリティポリシーに違反していないか？
組織導入時のチェックポイント
1. 全ユーザーが業務用アカウントを使用しているか？
2. 管理者がデータ設定を一括管理しているか？
3. ZDRやデータ保持期間の契約が結ばれているか？
4. インシデント対応フローが整備されているか？
FAQ
個人プランで学習をオフにすれば、業務情報を入れても大丈夫？
学習利用は防げますが、データはサーバーに送信され、一定期間保存されます。そのため、機密性の高い情報は入力しないか、業務プランへの切り替えを検討してください。
サムズアップを押すと、必ず学習に使われるの？
個人プランでは、サムズアップによる評価がフィードバックとして扱われ、会話全体が学習に利用される可能性があります。業務プランでは商用契約が優先されるため、学習利用のリスクは低いとされていますが、念のため組織のルールを確認してください。
Claude Codeで.envファイルが送信されることはある？
Claude Codeは、Claudeが読み取ったファイルの内容をサーバーに送信します。そのため、AIが自律的にファイルを探索した結果、.envファイルを読み込んでしまう可能性があります。permissions設定でファイルアクセスを制限するなどの対策が必要です。
データ保持期間は正確に何日か？
個人プランでオプトアウトした場合、約30日とされています。ただし、公式ドキュメントに明記された日数は確認時点のものであり、変更される可能性があるため、最新情報を公式ページで確認してください。
EnterpriseプランのZDRとは何か？
Zero Data Retentionの略で、Anthropic側でのデータ保持を最小限にするオプションです。Claude Codeの推論処理に限って適用され、別途申請が必要です。詳細はAnthropicのアカウントチームに問い合わせてください。
まとめ
Claude Projectsに社内情報を入れるかどうかは、データの学習利用・保存・送信の3側面を理解し、自分のプランと利用状況に照らして判断する必要がある。
個人プランでは設定変更で学習をオフにできるが、データ保持や送信のリスクは残る。業務プランでは学習利用が原則禁止され、より安全だが、フィードバック機能やClaude Codeのテレメトリには注意がいる。
最終的には、組織のセキュリティポリシーと照らし合わせ、必要に応じて専門家の助言を得ながら、安全な利用範囲を定めることが重要だ。本記事が、その判断材料の一助となれば幸いだ。
コメント