AI導入後の管理者設定：ログ・保持期間・SSO・退職者対応を見直す手順

先に押さえる公式情報(2026年10月28日に確認した範囲)

画面名や機能は、プランや時期で変わります。ここで確認できたのは、次の公式ヘルプの記述です。実際に管理画面を操作して確かめたものではないので、自社のプランの画面で必ず照合してください。

ChatGPT Enterprise/Edu:OpenAIのCompliance Platformの説明によると、監査ログ、認証ログ、アプリログなどのログとメタデータを取得できます。取得にはワークスペース単位のAdminキーを使い、オーナーまたは管理者が必要な権限を付与します。広範なコンプライアンスデータや会話メッセージへのアクセス権限を付与できるのはオーナーだけです。同ページにログの保持期間は記載されていないため、長期保管の要否や方法は自社の契約・設定を確認してください。

Claude Enterprise:AnthropicのEnterpriseプランの説明に、SSO、SCIM、監査ログ、カスタムのデータ保持、Compliance APIが挙がっています。同ページには監査ログの保持期間の記載がありません。必要なら提供元に確認する前提で運用します。カスタム保持の設定は、PrimaryOwnerかOwnerが行い、最短は30日です。期間を短縮すると、保存した時点から範囲外のデータが削除予定になり、復元できません。保持の変更や削除イベントは監査ログに記録されます。

退職者:Claudeのユーザー削除に関するページでは、組織から外してもアカウントとデータは自動では削除されません。SCIMを使っている場合は、IdP側でユーザーを削除しないと再プロビジョニングされる可能性がある、とされています。

日本の個人情報保護委員会の通則編ガイドラインには、個人データを扱う情報システムの技術的安全管理措置が定められています。取扱状況に応じた措置を求める考え方です。自社の個人データの扱いに当てはまるかは、社内の法務・個人情報担当と確認してください。

管理画面で確認する項目リスト

以下は編集上の提案です。製品ごとに画面の呼び名が違うため、「見るもの」を基準に探してください。

• ログ、見るもの：監査ログ・認証ログの取得方法と、自社保管の有無、要対応の目安：製品側の保持期間(OpenAIは30日)より長い保管ルールがあるのに、取得が手作業のまま
• ログ、見るもの：ログ取得用キーの発行者と有効範囲、要対応の目安：退職した人や不明な人の発行キーが残っている
• 保持期間、見るもの：チャット・プロジェクト等の保持設定と、最後に変更した日と担当、要対応の目安：社内の文書保存ルールと食い違う。変更記録が追えない
• SSO、見るもの：SSO必須か、パスワード等の別ログイン経路が残っていないか、要対応の目安：SSO対象外の個人ログインで業務利用できる
• SCIM、見るもの：IdPのグループと、AI側のメンバー一覧の差、要対応の目安：IdPに存在しない人がAI側にいる
• 権限、見るもの：Owner/管理者の人数と名前、要対応の目安：異動・退職した人が残る。少人数に絞れていない
• 退職者、見るもの：退職者リストとAI側アカウントの突合結果、要対応の目安：退職日を過ぎて有効なアカウントがある
• 共有物、見るもの：共有プロジェクト、公開リンクの所有者、要対応の目安：退職者が所有者のまま、公開リンクが残っている

公開リンクは要注意です。Claudeの保持設定の説明では、公開リンク付きで公開した成果物(アーティファクト)は、保持期間による削除の対象外です。保持期間を設定済みでも、公開物は別に点検する必要があります。

四半期の点検シート(説明用の例)

下の記入例は説明用に作った架空のもので、実際の点検結果ではありません。

• 1、点検項目：ログを自社側に保管している、確認方法：保管先に直近90日分のファイルがあるか、結果：○、対応期限：-、担当：情報システム
• 2、点検項目：ログ取得用キーの発行者が在籍中、確認方法：キー一覧と人事名簿を照合、結果：×(1件)、対応期限：11/15、担当：情報システム
• 3、点検項目：保持期間が社内ルールと一致、確認方法：設定値とルールの条文を並べる、結果：○、対応期限：-、担当：管理者+総務
• 4、点検項目：SSO以外のログイン経路がない、確認方法：認証方式の設定を確認、結果：△(要調査)、対応期限：11/30、担当：情報システム
• 5、点検項目：管理者権限者が最新、確認方法：Owner/管理者一覧を確認、結果：○、対応期限：-、担当：管理者
• 6、点検項目：退職者のアカウントが無効、確認方法：IdPとAI側を人事の退職者リストと突合、結果：○、対応期限：-、担当：情報システム
• 7、点検項目：公開リンクの棚卸し、確認方法：公開物の一覧を確認、結果：×(2件)、対応期限：11/15、担当：各部門

運用のコツは、「×」と「△」に必ず期限と担当者を付けることです。記録は次回の四半期点検と、設定変更の履歴照合に使います。

退職者対応の手順

1. 人事の退職予定リストを受け取る:退職日の前に、氏名ではなく社員番号など社内IDで受け取ると扱いやすくなります。
2. 共有物の引き継ぎ:退職者が所有する共有プロジェクトや公開物を、後任に移すか削除するか決めます。Claudeでは、非公開プロジェクトは外れた時点で他のメンバーがアクセスできなくなります。引き継ぎは外す前に済ませます。
3. IdP側でアカウントを無効化・削除:SCIM連携ありの場合はここが起点です。AI側だけ外すと再プロビジョニングの可能性があります。
4. AI側で残存を確認:メンバー一覧に退職者が残っていないか見ます。
5. データの扱いを決める:Claudeの外されたユーザーのデータは自動削除されず、完全削除はPrimaryOwnerがサポートに依頼します。また、削除は取り消せません。エクスポートや保持設定の対象に残る点も、同ページに書かれています。保存ルールと照らし、法務や情報担当と合意してから実施します。
6. 点検シートに記録:日付・担当・結果を残します。

保持期間を変える前の判断表

• 保持期間を短くしたい、判断：範囲外のデータが戻せず削除される前提で、必要なデータの退避先を先に決める
• 保持期間を長くしたい、判断：社内の保存ルール、個人情報の取扱方針と整合させてから変える
• 設定を誰が変えたか不明、判断：監査ログで変更履歴を確認し、変更権限を持つ人を見直す

AIに任せる範囲と、渡す情報

点検結果の整理や、通知文の下書きはAIに任せられます。一方、権限の判断、削除の実行、保持期間の決定は人が行います。AIに渡すのは、メールアドレスを「U001」のように置き換えた一覧と、点検シートの結果だけにします。会話内容や顧客情報は渡しません。

説明用の依頼文の例です(未実行で、出力の保証はありません)。

以下は社内AIの四半期点検の記録です(個人は匿名ID)。
1. ×と△の項目を、優先度(高・中・低)と理由つきで並べてください。
2. 各項目について、担当者に送る依頼文を3行以内で作ってください。
3. 記録から判断できないことは「要確認」と書いてください。推測で埋めないでください。

【記録】
- 項目2:ログ取得用キーの発行者U014が退職済み(退職日 9/30)
- 項目4:SSO以外のログイン経路の有無が不明
- 項目7:公開リンク2件、所有者U003とU021

出力は、元の記録と見比べて確認します。

点検を始める順番

初回は全項目を完璧にしようとせず、ログの自社保管、退職者の突合、管理者一覧の3つから始めるのが現実的です。この3つは、設定を変えずに「見るだけ」でできます。保持期間の変更のように戻せない操作は、シート運用が安定してから行ってください。