はじめに
Claudeの新機能「Projects」を使い始めると、多くの人が最初に手を止めるポイントがある。それは「入力した社内情報やファイルは、どのように扱われるのか」という疑問だ。チャットに貼り付けるだけの単発の質問と違い、Projectsではプロジェクト専用の指示や参照資料をまとめてアップロードできる。その便利さゆえに、つい機密性の高い資料まで入れてしまわないか不安になるのは自然な反応だろう。
この記事では、Anthropicの公式ドキュメントや公開情報を中心に、Claude Projectsにおけるデータの取り扱いを整理する。実際の業務で使う前に、どの情報を入れても大丈夫で、どの情報は避けるべきなのか、判断の軸を持ち帰ってもらうのがゴールだ。
なお、本記事の内容は2026年7月時点の公式情報に基づく。利用規約やポリシーは予告なく変更されることがあるため、最終的な判断は必ず最新の公式ページを参照してほしい。また、社内の情報セキュリティポリシーや法務部門の確認が必要なケースでは、必ず専門家の助言を仰いでほしい。
Projectsで不安になりやすいデータの扱い
学習に使われるのかどうかの基本的な考え方
Claude Projectsに関する最大の懸念は「アップロードしたデータがモデルの学習に使われるのではないか」という点だ。結論から言えば、Anthropicは商用プラン（Team、Enterprise）およびAPI利用において、ユーザーの入力や出力をモデル学習に使用しないことを明言している。消費者向けプラン（Free、Pro、Max）でも、ユーザーが明示的に許可しない限り、学習には利用されない。
Projectsにアップロードしたファイルやプロジェクト固有の指示も、基本的にはこのポリシーの範囲内と考えられる。ただし、注意すべきは「フィードバック」の扱いだ。チャット画面にあるサムズアップやサムズダウンのボタンで送信した評価は、明示的な報告とみなされ、学習や改善に利用される可能性がある。機密情報を含む会話でうっかりフィードバックを送らないよう、運用上の注意が必要になる。
データ保持期間の違い
学習利用の可否と並んで重要なのが、データの保持期間だ。公式情報によると、消費者向けプランで学習利用を許可した場合、会話データは最大5年間保持される可能性がある。一方、学習利用を不許可にした場合は、30日間の保持にとどまるとされている。
商用プランやAPI利用では、データ保持期間が契約内容によって異なるため、一概には言えない。Enterpriseプランでは、より厳格なデータ保持ポリシーが適用される場合もある。自社の契約内容を確認し、必要に応じてAnthropicの営業担当やカスタマーサクセスに問い合わせるのが確実だ。
サーバーに送信されるデータの範囲
Claude Projectsにファイルをアップロードすると、当然ながらその内容はAnthropicのサーバーに送信される。ここで誤解しやすいのは「プロジェクトに追加したファイルだけが送信されるのか」という点だ。基本的には、ユーザーが明示的にアップロードしたファイルと、チャット上でClaudeが読み取った内容が送信対象になる。
ただし、Claude Codeのようにローカル環境で動作するツールと異なり、ProjectsのWebインターフェースでは、ユーザーが選択したファイル以外が自動的に送信されることはない。とはいえ、アップロードするファイルにリンク先の情報やメタデータが含まれていると、間接的に関連情報が送信される可能性はゼロではない。ファイルを用意する段階で、不要な情報は削除しておくのが無難だ。
入力前に分けたい情報の種類
入れてもリスクが低い情報
社内情報といっても、すべてが機密というわけではない。以下のような情報は、Projectsに入れても比較的リスクが低いと考えられる。
- 公開済みの製品マニュアルや仕様書
- 一般的な業界知識や用語集
- 個人を特定しない形での業務フローやテンプレート
- 社内で共有されているスタイルガイドやコーディング規約
ただし、これらも社内ルールによっては「持ち出し禁止」とされていることがある。まずは自社の情報セキュリティポリシーを確認し、許可されている範囲かどうかを判断する必要がある。
避けるべき情報の具体例
一方で、以下のような情報はProjectsに入れるべきではない。
- 顧客の個人情報（氏名、住所、電話番号、メールアドレスなど）
- 従業員の人事評価や給与情報
- 未公開の財務情報や決算データ
- 契約書や秘密保持契約の原文
- ソースコードのうち、ライセンス上外部送信が禁止されているもの
- 特許出願前の発明内容
特に個人情報保護法やGDPRの対象となるデータは、たとえ学習に使われないとしても、サーバーに送信すること自体が法的リスクになり得る。業務でProjectsを使う際は、必ず情報の種類を仕分けする習慣をつけたい。
グレーゾーンの情報をどう扱うか
実際の業務では、「これは入れても大丈夫だろうか」と迷うグレーゾーンの情報が多い。例えば、社内限定制の企画書や、取引先とのやり取りの要約などだ。こうした情報を扱う際の判断基準として、以下の3つを意識しておくとよい。
1. 情報の機密レベルを社内規定に照らして確認する
2. 情報が外部に流出した場合の影響を想定する
3. 必要最小限の情報だけを抽出し、具体性を落として入力する
特に3つ目の「具体性を落とす」は実用的なテクニックだ。例えば「A社との契約金額は1,000万円」と入れる代わりに、「大口案件の価格交渉事例」といった抽象度で指示を出す。これだけでもリスクを大幅に下げられる。
個人利用と業務利用で変わる設定
プランによるデータ取り扱いの違い
Claudeのデータ取り扱いは、利用プランによって大きく異なる。ここでは主要なプラン別に、学習利用とデータ保持の考え方を整理する。
| プラン | 学習利用のデフォルト | データ保持期間 | 備考 |
| — | — | — | — |
| Free / Pro / Max | ユーザーが許可した場合のみ | 許可時：最大5年、不許可時：30日 | 設定からいつでも変更可能 |
| Team / Enterprise | 学習に使用しない | 契約による（要確認） | 商用契約に基づく |
| API（直契約） | 学習に使用しない | 契約による（要確認） | Commercial Termsが適用 |
| API（Bedrock / Vertex AI経由） | 学習に使用しない | 各クラウド事業者のポリシーに準拠 | AWS / GCPの契約に依存 |
表のとおり、個人利用と業務利用ではデフォルトの設定が異なる。業務で使う場合は、必ずTeamプラン以上を選択するか、API経由での利用を検討したい。
学習利用の設定を確認・変更する手順
消費者向けプランで学習利用の設定を確認・変更する手順は以下のとおりだ。
1. ClaudeのWeb画面にログインする
2. 画面左下のユーザーアイコンをクリックし、「Settings」を開く
3. 「Privacy」セクションを探す
4. 「AI学習の改善のためにデータを使用する」のトグルをオン/オフで切り替える
この設定は即時に反映され、過去の会話にも遡及して適用される。一度許可したとしても、後からオフにすれば、その後の会話は学習に使われなくなる。ただし、既に学習に利用されたデータを取り消すことはできない点に注意が必要だ。
Claude Code利用時の注意点
Claude Codeは、ターミナル上で動作する開発者向けツールであり、Projectsとは少し事情が異なる。Claude Codeでは、ユーザーが明示的に読み込ませたファイルだけでなく、Claudeが自律的にファイルを探索した結果、意図せず.envファイルや秘密鍵が送信されるリスクが指摘されている。
公式情報によれば、Claude CodeがAnthropicに送信するのは「プロンプト＋Claudeが読んだファイル＋ツール出力＋テレメトリ」であり、触れていないファイルは送信されない。しかし、「データベース接続を修正して」といった指示を出すと、Claudeがgrepコマンドなどでファイルを探索し、結果的に機密ファイルを読み込んでしまう可能性がある。
Claude Codeを使う際は、以下の環境変数でテレメトリやエラーレポートを無効化できる。
“`
DISABLE_TELEMETRY=1
DISABLE_ERROR_REPORTING=1
“`
また、.gitignoreや.claudeignoreを活用し、Claudeに読み取らせたくないファイルを事前に除外しておくことが推奨されている。
社内ルールに落とし込む時の見方
情報セキュリティポリシーとの整合性
Claude Projectsを業務で使う場合、まず確認すべきは自社の情報セキュリティポリシーだ。多くの企業では「外部サービスへのデータ送信」に関する規定があり、承認プロセスが定められている。
ポリシーを確認する際のチェックポイントは以下のとおり。
- SaaS利用に関する事前承認の要否
- 送信可能なデータの分類基準（公開情報、社外秘、極秘など）
- データの暗号化要件（転送中、保存時）
- インシデント発生時の報告フロー
- 利用ログの取得と保管に関するルール
これらをクリアできない場合は、無理にProjectsを使わず、オンプレミス環境で動かせるLLMや、より厳格な契約が可能なEnterpriseプランを検討するのが現実的だ。
チーム内での運用ガイドライン作成
社内ルールを整備する際は、以下のような運用ガイドラインを定めておくと、現場の混乱を防げる。
- Projectsに入れてよい情報の具体例と禁止例のリスト
- プロジェクト作成時の命名規則（機密レベルがわかるようにする）
- アップロード前のデータチェック手順
- プロジェクトの削除やアーカイブのタイミング
- メンバー招待時の権限設定ルール
特に、プロジェクトのメンバー招待機能を使う場合は、誰がどの情報にアクセスできるのかを明確にしておかないと、意図しない情報共有が発生する。必要最小限のメンバーだけを招待し、定期的にメンバーリストを見直す運用が望ましい。
契約面での確認ポイント
法人でClaudeを利用する場合、Anthropicとの契約内容によってデータの取り扱いが変わる可能性がある。特に以下の点は、契約書や利用規約で確認しておきたい。
- データ処理契約（DPA）の有無
- データの保存場所（リージョン）の指定可否
- 監査権の有無
- サービス終了時のデータ返却・削除手順
- 第三者提供の有無
これらの項目は、Anthropicの営業担当や公式ドキュメントで確認できる。特にGDPR対応が必要な欧州の企業や、個人情報保護法の厳格な運用が求められる業界では、契約内容の確認が必須になる。
使わない方がよいケース
機密性の高い情報を扱う業務
以下のような業務では、Claude Projectsの利用を避けるか、少なくとも社内の承認を得てからにすべきだ。
- 医療記録や患者情報を扱う業務
- 金融取引の未公開情報を扱う業務
- 弁護士依頼者の秘匿特権が発生する情報
- 国家安全保障に関わる情報
- 他社との秘密保持契約（NDA）の対象となる共同研究
これらの情報を誤って送信した場合、法的責任や契約違反に発展するリスクがある。どうしてもAIを活用したい場合は、AnthropicのEnterpriseプランで専用環境を構築するか、オンプレミスで動作するLLMの導入を検討するのが安全だ。
社内ポリシーが整備されていない段階
情報セキュリティポリシーやAI利用ガイドラインが整備されていない企業では、先行して個人がProjectsを使い始めると、後々トラブルになることがある。
よくあるケースとしては、以下のようなものだ。
- 上司の承認なく機密情報をアップロードしてしまう
- 退職時にプロジェクトのデータを削除し忘れる
- 他のメンバーを招待した際に、権限設定を誤って全社に公開してしまう
こうしたトラブルを防ぐためにも、まずは社内のルール作りを優先したい。少なくとも、利用する前に上長や情報システム部門に相談し、許可を得てから使い始めるのが無難だ。
代替手段の検討
Claude Projectsを使わない方がよいケースでも、AIの活用を完全に諦める必要はない。以下のような代替手段を検討できる。
- 機密情報を含まない一般的な質問のみをProjectsで扱う
- 社内の機密情報はローカルのLLM（Llamaなど）で処理する
- API経由で利用し、データの送信内容を厳密に制御する
- AnthropicのEnterpriseプランで専用環境を契約する
特にAPI経由の利用は、送信するデータをプログラムで制御できるため、必要な情報だけを抽出して送るといった工夫がしやすい。コストはかかるが、セキュリティと利便性のバランスを取る手段として覚えておきたい。
実際の業務でよくある疑問と回答
Projectsのデータはどこに保存されるのか
Claude Projectsにアップロードしたデータは、Anthropicのサーバーに保存される。公式には、データの保存場所（リージョン）に関する詳細な情報は公開されていない。特定の地域にデータを留めたい場合は、Enterpriseプランで個別に契約する必要がある。
プロジェクトを削除したらデータは完全に消えるのか
プロジェクトを削除すると、ユーザーからはアクセスできなくなる。ただし、Anthropicのサーバーから完全に削除されるまでの期間や、バックアップの扱いについては、公式ドキュメントで明示されていない。完全な削除を保証する必要がある場合は、Anthropicに直接確認するか、契約で取り決めることを推奨する。
チームメンバーに招待した場合、データの扱いはどうなるのか
プロジェクトに招待されたメンバーは、プロジェクト内の会話やファイルにアクセスできる。招待する際は、そのメンバーが情報を見ても問題ないか、必ず事前に確認する必要がある。また、招待したメンバーがさらに別のメンバーを招待できるかどうかは、プロジェクトの設定に依存する。
無料プランでも業務利用して大丈夫か
無料プランは、データの学習利用設定をオフにしていても、サービス提供に必要な範囲でデータが参照される可能性がある。また、データ保持期間が30日と短いため、業務で継続的に使うには不向きだ。業務利用には、Teamプラン以上を選択するのが望ましい。
ファイルをアップロードする際の注意点は
アップロードするファイルは、事前に不要なメタデータや個人情報を削除しておく。例えば、Wordファイルの作成者名や、Excelファイルの非表示シートに機密データが残っていないか確認する。PDFの場合も、テキストコピーが可能な状態だと、意図せず情報が抽出されることがあるため、必要に応じて画像化するなどの対策を検討する。
まとめ
Claude Projectsは、プロジェクト単位で知識を蓄積し、チームで共有できる強力な機能だ。しかし、その便利さゆえに、データの取り扱いに関する不安を抱える人は少なくない。
本記事で整理したポイントを改めて振り返ると、以下の3つが重要になる。
1. 学習利用の設定を確認する：自分が使っているプランで、データが学習に使われるのかどうかを把握し、必要に応じて設定を変更する。
2. 情報の仕分けを徹底する：機密情報や個人情報は入力しない。グレーゾーンの情報は抽象度を上げて入力する。
3. 社内ルールを整備する：情報セキュリティポリシーに沿った運用ガイドラインを作り、チーム内で共有する。
最終的には、自社の情報セキュリティポリシーと、Anthropicの公式ドキュメントを照らし合わせ、リスクを許容できる範囲で利用することが大切だ。もし少しでも不安が残るなら、まずは機密性の低い情報から試し、徐々に利用範囲を広げていくのが現実的なアプローチだろう。
Claude Projectsを安全に使いこなすためには、ツールの仕様を理解するだけでなく、組織としてのデータガバナンスを整えることが欠かせない。この記事が、その第一歩として役立てば幸いだ。
コメント