業務リポジトリでClaude Codeを使う前に：送ってよい情報と避ける情報の仕分け

何がモデル側に渡り得るのか

公式のデータ利用ページによると、Claude Codeは自分のマシン上で動きますが、LLMとやり取りするため、すべてのユーザープロンプトとモデルの出力をネットワーク経由で送ります（TLS 1.2以上で暗号化）。ここから、実務では次のように考えるのが安全です。Claudeがファイルを読んで会話に取り込んだ内容は、プロンプトと同じく送信され得ます。これは公式の記述からの私の読み取りです。

主な経路を整理します。

• 通常のやり取り、渡る・残るもの：プロンプト、モデル出力、会話に入ったファイル内容、抑える手段（公式記載）：使う以上は止められない。入れる情報を選ぶ
• ローカル記録、渡る・残るもの：会話記録が~/.claude/projects/に平文で、既定30日。Claude DesktopやCoworkで開始・直近に継続した会話は既定ではこの期限の対象外、抑える手段（公式記載）：cleanupPeriodDaysで期間を調整。Desktop等の例外は別途確認
• 利用メトリクス、渡る・残るもの：遅延・信頼性・利用傾向。コード、プロンプト、パスは含まない、抑える手段（公式記載）：DISABLE_TELEMETRY=1
• エラーレポート、渡る・残るもの：内部のエラー情報。既知の秘密情報パターンなどはマスク、抑える手段（公式記載）：DISABLE_ERROR_REPORTING=1
• /feedback（/bug、/shareも同経路）、渡る・残るもの：コードを含む会話履歴。Anthropicへ送信した記録は5年保持。第三者基盤経由などでは送信せずローカルに保存する場合がある、抑える手段（公式記載）：DISABLE_FEEDBACK_COMMAND=1
• 品質アンケートの追加質問、渡る・残るもの：「はい」で会話・サブエージェントの記録と生のセッションログを送信（最大6か月保持）。Bedrock等では送信せずローカルに保存、抑える手段（公式記載）：CLAUDE_CODE_DISABLE_FEEDBACK_SURVEY=1
• WebFetch、渡る・残るもの：取得前にホスト名だけを安全確認のためapi.anthropic.comへ送る、抑える手段（公式記載）：skipWebFetchPreflight: true。安全確認も省略されるため、接続先の制限を併用
• クラウドセッション、渡る・残るもの：Anthropicホストの場合、リポジトリがAnthropic管理のVMにクローンされ、会話記録も保存される。組織の自前環境へルーティングする構成もある、抑える手段（公式記載）：実行先を含め、利用可否を組織で決める

エラーレポートは、Pro/Maxでのサインイン、v2.1.198以降、Claude APIへの直接接続などの条件がそろった場合にだけ有効です。メトリクスやエラーレポートを止めても、プロンプトがモデルに送られる点は変わりません。なお、DISABLE_TELEMETRY=1は機能フラグの評価も止めるため、Remote Controlなどが利用できなくなる場合があります。ここを取り違えないでください。

MCPサーバーを足すと、接続先にも情報が渡り得ます。公式は、自作か信頼できる提供元のものを使うよう勧めており、Anthropicは個々のMCPサーバーのセキュリティ監査はしないとしています（セキュリティ）。

「学習されない」と「秘密が守られる」は別の話

プラン別の扱いは次のとおりです（同じデータ利用ページ）。

• Free/Pro/Max：設定がオンなら、Claude Codeの利用データも新モデルの学習に使われ得ます。保持は、オンなら5年、オフなら30日です。
• Team/Enterprise/API、サードパーティ基盤：商用条件のもとで送られたコードやプロンプトでAnthropicが生成モデルを学習することはない、とされています。ただし顧客がDevelopment Partner Programなどで提供を選んだ場合は別です。Team/Enterprise/APIの標準の保持は30日で、ゼロデータ保持は適格なEnterpriseに対して組織単位で有効化されます。サードパーティ基盤の保持条件は、接続先の契約・設定も確認します。

学習利用の有無は、情報を外部に出してよいかどうかの一要素にすぎません。学習されなくても送信はされ、保持の有無・期間は契約や設定によります。社内規程が「外部サービスへの送信そのものを禁じる」なら、プランの違いは関係しません。契約上の秘密保持義務を負う第三者の情報も、契約の条項で判断します。Anthropicの商用規約には顧客コンテンツの秘密保持条項がありますが、それだけで取引先の秘密情報を送信できるとは限りません。

個人情報を扱う場合、日本では個人情報保護委員会が2023年6月2日に生成AIサービスの利用に関する注意喚起を公表しています。事業者が個人情報を入力する際には、特定した利用目的を達成するために必要な範囲内かを確認するよう求めています。また、本人の同意なく個人データを入力し、応答の出力以外の目的で扱われる場合は法違反となる可能性があるため、機械学習に利用されないこと等を十分に確認するよう求めています。個別のケースが適法かどうかは、法務や個人情報の担当者に判断してもらってください。

リポジトリ内の情報の仕分け表

以下は編集上の提案で、公式が定めた分類ではありません。「初期判定」は、会社の許可と契約が未確認の段階での置き方です。

• 公開済みのコード・文書、具体例（説明用）：OSSの依存コード、公開README、初期判定：可、条件・人が確認すること：ライセンスの扱いは別途確認
• 社内の一般的なソース、具体例（説明用）：画面部品、ユーティリティ、テストコード、初期判定：条件付き、条件・人が確認すること：会社が利用を許可した契約・プランであること
• 顧客や事業の固有ロジック、具体例（説明用）：料金計算、審査ルール、未公開機能、初期判定：条件付き、条件・人が確認すること：情報区分の責任者の承認。範囲をディレクトリ単位で限定
• 説明用ダミーデータ、具体例（説明用）：架空の氏名・金額のサンプル、初期判定：可、条件・人が確認すること：実データが紛れていないか、人が目視
• 本番データ・ログ・ダンプ、具体例（説明用）：DBダンプ、アクセスログ、CSV、初期判定：不可、条件・人が確認すること：個人データの有無を確認。必要なら匿名化したものに置換
• 認証情報、具体例（説明用）：.env、秘密鍵、APIトークン、初期判定：不可、条件・人が確認すること：読み取り拒否を設定。混入に気づいたら失効・再発行を検討
• 内部構成情報、具体例（説明用）：内部ホスト名、ネットワーク図、IaC、初期判定：条件付き、条件・人が確認すること：セキュリティ担当の確認
• 第三者の秘密情報、具体例（説明用）：NDA対象のソース、取引先仕様書、初期判定：不可、条件・人が確認すること：契約上の第三者提供・委託の可否を確認
• 未出願の発明・ノウハウ、具体例（説明用）：特許出願前のアルゴリズム説明、初期判定：不可、条件・人が確認すること：知財担当に公開前の扱いを確認

迷った項目は「不可」側に倒し、上長の回答が出てから条件付きに移します。後から緩めるほうが、一度送った情報を取り戻すより簡単です。

棚卸しは、まずAIを使わずに行う

Claude Codeを起動してリポジトリを読ませる行為自体が送信になり得ます。ファイル名も機密になり得るので、最初の棚卸しはローカルで行います。次のコマンドは説明用の例で、実行確認はしていません。

# 秘密情報・データ類の疑いがあるファイルを一覧（内容は開かない）
git ls-files | grep -Ei '(^|/)\.env|\.(pem|key|p12|sql|dump|csv|sqlite)$|secret|credential'

出てきた一覧を、上の仕分け表に当てはめます。

設定で線を引く：読み取り拒否とテレメトリ

仕分け結果は、運用だけでなく設定にも落とせます。公式の設定ページには、.envを読ませないpermissions.denyの例があります。これをもとにした例です（動作は私は検証していません）。

{
  "permissions": {
    "deny": [
      "Read(./.env)",
      "Read(./.env.*)"
    ]
  },
  "env": {
    "DISABLE_TELEMETRY": "1",
    "DISABLE_ERROR_REPORTING": "1",
    "DISABLE_FEEDBACK_COMMAND": "1",
    "CLAUDE_CODE_DISABLE_FEEDBACK_SURVEY": "1"
  }
}

保存先は、個人用なら~/.claude/settings.json、チームで共有するなら.claude/settings.jsonです。設定ファイルが読み込まれたかは/statusで確認します。ただし、各キーの有効値や拒否ルールの動作まで確認できるわけではありません。組織が管理設定を配っている場合、その設定が最優先で、自分のファイルでは上書きできません。

注意点が二つあります。

• 読み取り拒否ルールは、ファイル用ツールやBash内の認識可能なファイル操作にも適用されますが、任意のスクリプトによる間接的な読み取りまでは防げません（権限設定）。OSレベルで制限するにはサンドボックスを有効にします。Read拒否ルールもサンドボックス設定に統合され、sandbox.filesystem.denyReadでも対象パスを指定できます。サンドボックス外で実行するコマンドには、この隔離は及びません。
• 拒否ルールは「入れない」ための補助です。すでに秘密情報が会話に入ってしまった場合は取り消せません。

上長確認用の質問リスト

そのまま貼って使える形にしました。回答は記録に残しておくと、後で運用を見直すときに役立ちます。

A. 利用の可否

1. 業務リポジトリでClaude Codeを使ってよいか。使ってよい場合、どのプラン・アカウントか（個人契約か、会社契約か）
2. 個人のFree/Pro/Maxアカウントでの業務利用は認められるか。学習利用の設定はどうするか
3. Bedrockなど外部クラウド基盤経由での利用は想定されているか

B. 対象範囲

1. 送信してよい情報区分はどれか。上の仕分け表のうち、変更が必要な行はあるか
2. 利用してよいリポジトリ・ディレクトリは限定されるか
3. 顧客や取引先との契約で、第三者への提供や海外事業者への委託を制限していないか

C. 個人情報・知財

1. 個人データを含むログやテストデータを使ってよいか。使う場合の匿名化ルールは
2. 出願前の技術情報を含むコードの扱いは、知財担当の確認が必要か

D. 運用

1. 会話記録がローカルに平文で残る前提で、端末管理上の問題はないか
2. /feedback、テレメトリ、MCP、クラウドセッションのうち、禁止するものはどれか。管理設定で組織として固定できるか
3. 秘密情報を誤って入力した場合の報告先と手順は
4. 回答の有効期間と見直しのタイミングは

最初の1週間の進め方

1. 上の棚卸しコマンドでリポジトリ内の該当ファイルを洗い出す
2. 仕分け表を自分のリポジトリ用に書き換える
3. 質問リストの1〜6を優先して上長に送る
4. 回答が出るまでは、公開コードか説明用ダミーデータを使ったリポジトリで操作に慣れる
5. 許可が出たら、読み取り拒否とテレメトリの設定を入れ、/statusで設定ファイルの読み込みを確かめる

許可の範囲を決める役割は人間にあります。Claude Codeには、決まった範囲の中で作業を任せます。