2026年11月6日時点のAnthropicのページによると、法人向けのClaude Enterpriseでは、管理者が会話の保持期間を設定でき、最短は30日です^[1]。個人向けのプランでは、学習への利用を許可すると、会話を個人を特定しない形で最長5年保持すると説明しています^[2]。会社が法人向けの条件を確かめて利用を許可しても、社員が個人のアカウントで同じClaudeに顧客の情報を入れれば、その情報には、会社が確かめていない個人向けの条件がかかることがあります。

一方、各社の規約に何が書いてあるかは、どの会社が調べても同じ答えになります。原文と照らし終えた事実は、どの情報をどのサービスに入れてよいかという各社の判断に、そのまま使えます。その事実を並べた生成AIサービス一覧は、どんな表で、自社はそれを見て何を決めればよいのでしょうか。

生成AIサービス一覧は、何を記録する表か

「生成AIサービス一覧」は、公的な文書で決まった名前ではありません。AI事業者ガイドライン第1.2版は、「AIサービス」を「AIシステムを用いた役務」と定義し、「生成AI」も用語として定義しています^[3]。この記事では、この2つの語をつなぎ、生成AIのサービスとプランごとに、規約に書いてあるデータの扱いを書き写した表を生成AIサービス一覧と呼びます。

近い文書は3つあります。どれも、この一覧そのものを定めてはいません。

• AI事業者ガイドラインは、AI利用者が「AI 提供者が定めたサービス規約を遵守する」ことと、機密情報などを不適切に入力しないよう注意を払うことを挙げています^[3]。
• デジタル庁の生成AIの調達・利活用に係るガイドライン（2.0版）は、規約への同意だけで使う生成AIを1つの類型に分けています。この類型では、調達チェックシートと契約チェックシートに書いた内容と矛盾する約款の項目がないかを確かめるよう求めています^[4]。
• AISI（日本のAIセーフティ・インスティテュート）事務局のマニュアル案は、調達チェックリストの項目に「訓練・テスト・ログデータの利用目的と保存期間」や越境移転の有無を挙げています^[5]。

3つの文書が挙げる確認項目を、規約から読み取れる形に分けると、記録する項目はたとえば次の8つになります。学習への利用、提供者の側での保持期間、データの消し方、監査ログ、データを保存する地域、外部のサービスへの送信、管理者が止められること、DPA（データの扱いを定めた契約）の結び方です。

生成AIサービス一覧の例

架空の「生成AIサービスA」について、法人プランと個人プランの2行を書くと、生成AIサービス一覧はたとえば次のようになります。表の内容は当社が作った例で、実在のサービスの条件ではありません。

この表には、読み方が3つあります。

• 行はプランごとに分けます。同じサービスAでも、法人プランと個人プランでは、保持期間もDPAも違います。「サービスA：確認済み」の1行にまとめると、社員が個人のアカウントで入れた情報まで、法人プランの条件で守られていると担当者が思い込みます。
• 原文で確かめられない値は「要確認」と書きます。個人プランの保存地域のように、提供者のページに書いていない項目は、もっともらしい値で埋めずに空けておきます。要確認のセルが多いプランほど、入れてよい情報を狭くする材料になります。
• 各セルに出典と確認した日を付けます。実際の一覧では、セルごとに根拠にした提供者のページのURLを残します。規約は変わるので、いつの時点の値かが分からないセルは、許可の根拠に使えません。

法人プランの保持期間のセルには、「設定しなければ無期限」と書いています。実在のClaude Enterpriseも、管理者が保持期間を設定しなければ、データを無期限に保持すると説明しています^[1]。一覧が示すのは「設定できる」という事実までで、自社の管理者が実際に何日に設定したかは、自社の管理画面を見ないと分かりません。

一覧の値を読み違えやすいところ

表の各セルは、規約の一文から書き写します。このとき、その一文が誰についての文かを読み違えると、値は誤ります。BoxのBox AIのよくある質問には、「Box’s model providers do not train on any data that they receive from Box.」とあります^[6]。これは、Box AIが使うAIモデルの提供者についての文です。

一方、Box MCPサーバーは、社外のAIの仕組みを自社のBoxの文書につなぐ機能です^[7]。Box AIの文を根拠に、Box MCPサーバーの行に「学習に使わない」と書くと誤ります。つないだ先の社外のAIが学習に使うかどうかは、そのAIの提供者の規約で確かめる項目です。

各社のページは、一覧を作ったあとにも変わります。Boxのサポートページは「(Oct 2026)」と題したお知らせで、Box MCPサーバーを通じて社外のAIが実行する書き込みの操作を、管理者が許可または拒否できる機能を案内しています。使えるのはEnterprise Advancedプランだけです^[8]。この機能が出る前に作った一覧では、「管理者が止められること」のセルが古いままになります。

一覧を見て、自社で決めること

生成AIサービス一覧を見ても、「顧客の情報を入れてよいか」の答えは書いてありません。一覧に並ぶのは各社の規約の事実で、どの情報をどのプランに入れてよいかは、業種や扱う情報で答えが変わるからです。この答えを並べた表を、この記事では許可表と呼びます。上のサービスAの一覧を見て作る許可表は、たとえば次のようになります。

この許可表も当社が作った例で、どの情報を「入れてよい」とするかは会社ごとに変わります。情報の重さは、情報資産のリスク分類の点数で測れます。自社が契約しているサービスの一覧は、AIサービス一覧の記事で書いたとおり、購買の記録から作れます。

「規約は公式ページに載っているのだから、生成AIサービス一覧も自社の担当者が作れば済む」と考える経営者もいるでしょう。担当者が作ること自体はできます。ただ、サービスAの法人プランの保持期間は、A社が調べてもB社が調べても同じ答えになります。各社が同じページを別々に読み、規約が変わるたびに別々に読み直すと、同じ作業に何度も人件費を払うことになります。

分け方をまとめると、生成AIサービス一覧（各社の規約の事実）は外に任せられ、許可表と、自社の管理画面の設定の確認は自社でしかできません。一覧を原文で照らしても、それだけで法令や契約に適合していることの確認にはなりません。社員が使っているClaudeが法人向けか個人向けかを、会社は把握しているでしょうか。

参考・一次ソース

■お問い合わせ

社内で使っている生成AIサービスについて、プランごとの生成AIサービス一覧を任せ、自社ではそれを見て許可表を決めることに時間を使いたいときは、アハクラフトにご相談ください。

お問い合わせ