受託開発の現場でClaude Codeの導入を検討すると、遅かれ早かれ顧客から「うちのコードをAIに読ませるのか」と聞かれる。この問いに「大丈夫です」と即答できる担当者は少ない。答えが契約プランと設定の組み合わせで変わるうえ、Anthropic公式ドキュメントを読んでも「学習に使われない」「保持されない」という言葉の範囲がプランごとに微妙に違うからだ。ここでは、何を選べば何が守られるのかを公式ドキュメントに沿って整理する。

選択肢を並べる：3つの実行構成

標準設定（Team・Enterpriseの通常契約）。 公式ドキュメントは、Team・Enterprise・API・Claude Govを含む「商用ユーザー」について、「Development Partner Programのように顧客自身が明示的に提供を選ばない限り、商用契約でClaude Codeに送られたコードやプロンプトを使ってモデルを学習することはない」と明記している。一方で保持期間は「標準30日」で、ゼロではない。ローカル側にも~/.claude/projects/配下にセッションのやり取りが平文で30日分キャッシュされる(cleanupPeriodDaysで調整可能)。

Zero Data Retention（ZDR）。 公式ドキュメントによれば、ZDRは「Claude for Enterpriseの適格なアカウントに限定」して提供される機能で、標準のEnterpriseプランには含まれず、管理コンソールから自分で有効化することもできない。Anthropicの営業・アカウントチームに個別に申請し、審査を経て組織単位で有効化してもらう必要がある。有効化されれば、Claude Codeの推論呼び出しで送受信されるプロンプト・応答はリアルタイム処理後に保持されない(法令順守・不正利用対応を除く)。

自社インフラでの実行(Self-hosted environments)。 以前の記事で扱った、クラウドセッションの実行場所を自社が管理する基盤に移す機能。リポジトリのチェックアウトやビルド成果物、シークレットは自社側に残るが、モデル推論自体は引き続きAnthropicのAPIに送られる点は変わらない。「自社インフラで動く」と「顧客コードが外に一切出ない」はイコールではない。

判断を左右する軸

3つの構成を並べると、効いてくる軸は次の4つになる。

軸標準設定ZDR自社インフラ実行
モデル学習への利用商用契約では使われない使われない(標準と同じ)使われない(標準と同じ)
保持期間標準30日実質即時破棄(法令・不正対応の場合を除く)推論部分はAnthropic側の標準/ZDRポリシーに従う
利用開始のハードル契約するだけEnterprise限定・個別審査・申請が必要Enterprise相当の運用体制と自社インフラの構築・保守が必要
監査ログ・統制機能プランによるEnterprise標準機能に加え監査ログも利用可自社インフラの管理次第(Anthropic側の統制はEnterprise相当)

ここで見落としやすいのが、ZDRを有効にしてもカバーされない範囲があることだ。同じ公式ドキュメントは、ZDR適用外の項目としてclaude.aiでのチャット・Cowork・Artifacts・/feedback等のフィードバック送信・Remote Controlを挙げている。とりわけ実務で見落としやすいのが「MCPサーバーなどサードパーティ統合が処理するデータは、ZDRの対象外であり各サービスのデータ取り扱いを個別に確認する必要がある」という一文だ。ZDRを契約したから顧客コードの扱いがすべて解決した、とは言えない。MCPサーバーを追加する際の確認事項は以前の記事にまとめてある。

詰まりやすい箇所

「Enterpriseを契約すればZDRも付いてくる」と思い込む。 ZDRは標準のEnterpriseプランに含まれておらず、契約後に別途申請・審査というワンクッションがある。顧客との商談で「ゼロ保持です」と先に約束してしまうと、実際に使えるようになるまでのタイムラグで信用を落としかねない。

社内実行(ローカル)ならすべて自社に閉じると考える。 ローカルで動かしていても、Claude Codeはモデル推論のために毎回プロンプトと応答をAnthropicへ送信する。これは標準設定でもZDRでも自社インフラ実行でも変わらない前提で、「ネットワークの外に一切出したくない」という要求には、そもそもクラウドLLMを使うコーディングエージェント全般が答えられない。

技術設定の話で完結させる。 ここまでの3択はすべて「Anthropicがコードをどう扱うか」の話であって、「受託先として顧客にどう説明し、合意を取るか」は別の作業として残る。契約書やNDAにAIツールの利用を明記しているか、どのプラン・設定を使っているかを顧客に開示できる状態にあるかは、技術選定とは独立して整理しておく必要がある。

自社で判断する基準

顧客のコードを扱う受託開発企業がまず決めるべきは、「学習に使われないこと」で足りるのか、それとも「保持もされないこと」まで顧客から求められるのかという水準だ。前者なら商用契約(Team/Enterprise)の標準設定で足り、後者ならEnterpriseへの移行とZDRの個別申請が要る。どちらを選ぶにせよ、MCPサーバーなど周辺の統合はZDRの対象外だという点は別途確認し、顧客への説明では「このプラン・この設定で扱っている」と具体的に言える状態を作っておくのが実務上いちばん効く。

自社の顧客案件の構成でどの設定が要るか、契約上の説明の仕方まで含めて整理したい場合は、パイロット・構築のフェーズで一緒に検討できる。まずは30分の無料診断から相談してほしい。