「Claude Code導入の稟議を書いたが、決裁者からの質問に答えられず差し戻された」という相談を、情シスやDX推進の担当者から受けることがある。テンプレートに沿って目的・効果・コストを埋めても、実際に決裁の場で聞かれるのは別の4点であることが多い。データはどう扱われるか、第三者の認証はあるか、社内で誰が何をできるよう制御できるか、コストの見積もりはどこから来ているか。この4つに一次情報で答えられれば、稟議はたいてい止まらない。
質問1：データは学習に使われないか、どこにどれだけ残るか
| 契約形態 | 学習への利用 | 保存期間 |
|---|---|---|
| 個人契約（Free/Pro/Max） | 設定をオンにすると学習に利用される | オンなら5年、オフなら30日 |
| 法人契約（Team/Enterprise/API/Claude Gov） | 既定では利用しない（組織側が明示的にオプトインした場合を除く） | 標準30日。条件を満たせばZero Data Retention（ZDR）も選べる |
公式ドキュメントは、法人契約について「顧客がモデル改善への提供を明示的に選ばない限り、Claude Codeに送られたコードやプロンプトでモデルを学習しない」と明記している。標準の保存期間は30日で、Zero Data Retention（ZDR）を使えばプロンプトと応答は返却後にAnthropic側で保存されない。
ここで気をつけたいのは、ZDRが「申請すれば全部消える」仕組みではない点だ。公式ドキュメントによると、ZDRはEnterpriseプランに標準で含まれておらず、Anthropicの営業チームが組織ごとに適格性を確認したうえで個別に有効化する。しかも対象はClaude Codeの推論呼び出しに限られる。claude.aiでのチャットやCoworkはそもそもZDRの対象外で、使えば標準の保存ポリシーのまま残る。一方、Claude Code on the Webや/feedback系コマンド・Remote Controlは、ZDRを有効にした組織では機能自体がバックエンド側で無効化され、使えなくなる（会話履歴の保存が前提の機能のため）。加えて、ポリシー違反として検知された内容は法令順守のため最大2年保持されるという例外も明記されている。稟議に「ZDRで完全にゼロにできる」と書くと、実態より踏み込みすぎることになる。
質問2：第三者の認証・監査はあるか
公式ドキュメントは、Claude Codeが「Anthropicの包括的なセキュリティプログラムに沿って開発されており、SOC 2 Type 2レポート・ISO 27001証明書などのリソースはAnthropic Trust Centerから入手できる」としている。稟議の添付資料としては、自社が必要とする証明書の種類をまず確認し、Trust Center経由で入手できるかを提出前に済ませておく形になる。詳細な監査報告書そのものの入手には、独立した複数の情報源によればNDA経由の請求が必要になるケースが多いとされており、稟議のスケジュールにはこのリードタイムも見込んでおく必要がある。
質問3：社内で誰が何をできるよう制御できるか
以前の記事で扱った権限設計がここに直結する。公式ドキュメントが挙げる統制手段は、サンドボックスによるファイルシステム/ネットワーク隔離、組織側が開発者に強制配布できる管理設定（managed settings）、/permissionsでの定期監査、ConfigChangeフックによる設定変更の検知、OpenTelemetryでの利用状況監視までが揃っている。「野放しで使わせるわけではない」と説明する材料はすでに用意されている、ということだ。
ただし管理コンソールからの一括配布はTeam/Enterpriseプランが前提で、それ以外の契約経路では端末ごとの設定ファイル配布や自前のゲートウェイを別途用意する必要がある。この契約形態ごとの違いはTeam/Enterpriseの選び方で整理した内容と重なるので、稟議の「統制」の項目と「契約形態」の項目は別々に書かず、セットで検討した方が手戻りが少ない。
質問4：コストの見積もり、効果はどう測るか
「導入すればいくらかかるか」という質問には契約形態ごとの課金構造がまず要るが、続けて「効果があったとどう示すのか」まで聞かれることが増えている。以前の記事で扱ったように、公式の分析ダッシュボードが示す数字は意図的に保守的な下限値であって、実態そのものではない。稟議の段階で「導入後にこの指標を、この頻度で見直す」という運用まで書いておくと、決裁後になって「効果が見えない」という話に振り出しに戻るリスクを減らせる。
詰まりやすい箇所
- 「法人契約だから学習に使われない」を無条件だと思い込む。 Development Partner Programへの組織側の明示的なオプトインがあれば話は別になるし、
/feedbackコマンドで送信した内容は別枠で5年保存されると公式ドキュメントに明記されている - ZDR＝完全にゼロだと誤解する。 claude.aiのチャットやCoworkは対象外のまま標準の保存ポリシーが適用され、逆にClaude Code on the WebやRemote Controlなどはそもそも利用自体ができなくなる。加えてポリシー違反時の最大2年保持という例外もある
- 認証取得の事実だけで安心する。 認証・証明書があることと、監査報告書の中身を自社が確認できることは別の話で、後者には申請の手間と時間がかかる
自社で判断する基準
稟議を通す作業は、テンプレートの空欄を埋める作業ではなく、決裁者が投げてくる質問に一次情報で答える準備をしておく作業だと考えると近道になる。データの扱い・第三者認証・社内統制・コストと効果測定の4点について、それぞれの一次情報の在り処を先に押さえておけば、その場で「持ち帰って確認します」を繰り返さずに済む。
自社の契約形態・要件に合わせてこの4点をどう稟議に落とし込むか整理したい場合は、パイロット・構築のフェーズで一緒に検討できる。まずは30分の無料診断から相談してほしい。