シャドーAIのClaude対策｜個人アカウントの見分け方と会社用への切り替え

シャドーAI（野良AI）とは、会社が把握していないところで、社員が個人のアカウントの生成AIを仕事に使っている状態のことです。個人のClaudeかどうかは通信の記録だけでは分からないため、本人への聞き取りと経費精算、本人の画面のアカウントメニューの確認を組み合わせて見分けることになります。切り替え先は会社が契約するClaude TeamかEnterpriseの組織アカウントで、仕事用のメールアドレスで作った個人アカウントなら、多くの場合はこれまでの会話ごと組織へ移すことが出来ます。

シャドーAIの定義やリスクの全体像、会社の側から見える範囲はシャドーAI（野良AI）が会社にバレる範囲で整理しています。

シャドーAIのClaudeで会社が困ること

会社が困るのはClaudeという製品そのものではなく、入力した情報の学習・保持・退職時の扱いを、会社ではなく社員本人が決めている点になります。同じClaudeでも、会社が契約するTeamやEnterpriseはAnthropicの法人向けの規約の下にあり、個人のFree・Pro・Maxとは扱いが分かれます。2025年8月に同社が発表した個人向け規約の改定は、Free・Pro・Maxのアカウントで使うClaude Codeにも当てはまり、TeamやEnterpriseには当てはまらないと説明されています。

会社として何から始めるかは、シャドーAI対策は何から？最初の30日でやることにまとめています。

シャドーITとシャドーAIの関係

シャドーITは、会社が把握していない機器やクラウドサービスを、社員が仕事に使うことを指す言葉です。シャドーAIはその中の生成AI版にあたり、個人のClaudeはその分かりやすい例の一つとなります。ファイル共有のサービスと違って、生成AIは貼り付けた文章がそのまま相手のサーバーへ送られるため、1回の入力で情報が外に出てしまいます。

個人のClaudeから情報が外に出る経路

経路は大きく3つあり、どれも社員に悪気がないまま起こるものです。

• 顧客の名前や見積書の文面を、そのまま個人のチャットに貼り付けて要約や手直しを頼む
• 学習への利用をオンにしたまま使い続け、仕事の会話が長く保持される側に入る
• Claude in Chromeの拡張機能を入れたブラウザで、社内のシステムにログインしたまま作業を頼む

Claude in Chromeについて、公式の説明はブラウザのログイン状態を共有するため、すでにサインインしているサイトにはどこでもアクセスできると書いています。個人のPro・Maxの契約で、勤怠や顧客管理の画面を開いたまま使うと、その画面の中身まで個人契約のClaudeが読める状態になりかねません。実際に起きた漏洩の事例は冒頭のシャドーAIの記事で扱っているので、あわせて目を通してみてください。

シャドーAIのClaudeを入口別に見分ける

Claudeの主な入口は、ブラウザ・スマホアプリ・デスクトップアプリ・Claude Code・Claude in Chromeの5つになります。どの入口でも、個人のアカウントか会社の組織アカウントかは通信先だけでは区別できず、確かめるには本人に聞くか、本人の画面を見るしかありません。

現状把握は聞き取りと経費精算から始める

最初の一歩は、通信の記録を調べるより先に、誰がどの入口でClaudeを使っているかを本人に聞くことです。責めないことを先に伝えたうえで、5問ほどの短いアンケートで答えてもらうと、正直な答えが集まりやすくなります。あわせて、経費精算にClaudeの個人プランの請求が混じっていないかも確認してみてください。公式の料金ページでは、Proが年払いで月17ドル（前払い200ドル）、月払いで20ドル、Maxが月100ドルからと表示されており、いずれも税抜の金額です。自分のカードで払い、会社に精算を出していない方もいるため、精算の記録だけでは全員を拾えないでしょう。

入口ごとに、会社の側で確かめられることは次のとおりです。

• ブラウザでclaude.aiを開いている通信先はclaude.aiのほか、画面の表示に使うassets-proxy.anthropic.comや*.claudeusercontent.comです。claude.aiだけ許可してこれらを止めると、エラーではなく白い画面になると公式の説明にあります。
• デスクトップアプリを使っている通信先はブラウザ版と同じ系統です。会社のPCであれば、導入済みのソフトの一覧でアプリが入っているかを確かめられます。
• スマホアプリを使っている私物のスマホをモバイル回線で使っていると、会社のネットワークを通らないため、通信の記録には残りません。本人への聞き取りでしか分からない入口です。
• Claude Codeを使っている開発やデータ処理で使うコマンドラインの道具で、通信先はapi.anthropic.com、サインインに使うclaude.aiとclaude.com、platform.claude.comなどです。個人のPro・Maxでサインインしていれば、個人向けの規約の対象になります。
• Claude in Chromeを入れているChromeウェブストアから入れる拡張機能で、Pro・Max・Team・Enterpriseのいずれかの契約が必要です。拡張機能の通信先はbridge.claudeusercontent.comで、ブラウザの拡張機能の一覧からも確かめられます。

通信の記録で分かること・分からないこと

通信の記録で分かるのは、社内の端末が上の通信先につながったかどうかまでとなります。同じclaude.aiへの通信でも、個人か組織かは通信先からは見分けられません。会社のネットワークで個人アカウントを止めるテナント制限という機能はあるものの、プロキシで通信に目印を付けて組織を区別する仕組みで、使えるのはEnterpriseプランとConsoleの組織に限られます。Teamの管理画面に社員の個人アカウントの利用を見つける機能があるとは公式の説明に書かれておらず、Teamを入れた後も、見分け方は聞き取りと本人の画面が中心です。通信先をすべて止める手もありますが、社員が私物のスマホへ移るだけになりやすいので、止める前に会社のClaudeを用意しておきましょう。

本人の画面で確かめる3つの場所

聞き取りで使っていると分かった方には、本人の画面を一緒に見て、次の3つの場所を確かめてもらうと確実になります。

1. 画面左下の名前（イニシャル）を押して開くアカウントメニューに、会社の組織が出ているか。組織アカウントを持っていれば、ここで個人と組織を切り替えられます
2. Settings、Privacyの順に開いた画面の「Help Improve our AI models」がオンかオフか（個人アカウントの設定です）
3. 使っている入口と、これまでに仕事で入力した情報の種類（顧客情報・社内資料・認証情報など）

組織に切り替えたつもりで個人のまま使っている場合もあるので、どちらで開いているかは毎回メニューで見るよう伝えておくと安心です。

個人プランの学習設定と保持期間を確かめる

個人のFree・Pro・Maxは学習に使うかどうかを本人が選ぶ方式で、TeamとEnterpriseは既定で学習に使わない扱いになります。公式の料金ページの比較表でも、個人の4つの列はすべてOpt-out、TeamとEnterpriseはNone by defaultと書き分けられています。新しく登録する方は登録の途中で学習に使うかどうかを選ぶ形のため、既定の値を前提にせず、一人ずつ画面で確かめるしかありません。2025年10月8日以降は、この選択をしないとClaudeを使い続けられない形になったと同社は案内しています。

学習の設定を切り替える画面操作

パソコンでは、設定メニューの自分の名前からSettingsを開き、Privacyを選ぶと、Help Improve our AI modelsという項目が出てきます。ここのスイッチでオンとオフを切り替えることが出来ます。スマホのアプリも、Settings、Privacy、同じ項目の順にたどれば、同じように切り替わります。オフにすると、それ以降の新しいチャットとコーディングの作業は今後の学習に使われなくなりますが、すでに始まっている学習や学習済みのモデルに入ったデータは取り消せないと説明されています。

オンとオフで変わる保持期間

保持期間は、学習を許可した場合は最長5年、許可しない場合は従来どおり30日というのが公式の説明です。学習をオンにしたまま仕事の会話を入れると、その内容は最長5年残る側に入ってしまいます。学習に使うデータは、個人を特定しない形にしたうえで学習用の仕組みの中に保持されると説明されています。チャットを削除した場合は履歴からすぐに消え、裏側の保存先からも30日以内に削除される扱いとなります。一方で、回答の評価ボタンやバグ報告を送った会話は学習の設定と関係なく5年保持されるため、仕事の会話で評価ボタンを押さないよう伝えておきたいところです。

※学習と保持期間は、2026年10月時点でAnthropicのプライバシーセンターとヘルプ記事に書かれている内容（同社の説明）です。利用規約に違反すると判定された会話は、別の保持期間が定められています。

ただ、この設定はあくまで社員一人ひとりのアカウントの中にあり、会社の側から一括でオフにしたり、オフのままかを確かめ続けたりすることは出来ません。人数が増えるほど確かめる手間が膨らみ、退職や異動のたびに抜けが出やすくなってしまいます。

シャドーAIのClaudeを会社の組織アカウントへ切り替える

切り替えの基本は、会社がClaude TeamかEnterpriseを契約して社員を招待し、個人アカウントの中身を本人の操作で組織へ移してもらう流れになります。

禁止ではなく、会社の環境を用意して管理下に置く

Claudeを禁止するだけでは、使っていた方が私物のスマホやモバイル回線に移り、会社からさらに見えなくなってしまいます。社員が個人で契約してまで使っているのは、仕事に役立っている証拠でもあります。同じ使い方が出来る会社の環境を先に用意し、そちらへ移ってもらう順番で進めましょう。

法人プラン（TeamかEnterprise）へそろえる

社員150名までの会社であれば、2名から150名まで使えるTeamプランが入口になります。公式の料金ページの表示では、Teamの標準シートは年払いで1シート月20ドル、月払いで25ドルで、いずれも税抜です。20シートを年払いにすると月400ドル、年4,800ドルとなり、1ドル＝150円で計算した場合は年72万円（税抜）の出費になります。151名以上の会社や、監査ログ・SCIMが必要な場合はEnterpriseの検討になり、こちらは年払いのみで、オンラインの申し込みなら最低20席から契約できます。席の種類や月払いとの差はClaude Teamの料金で詳しく比べていますので、そちらを参考にしてください。

※料金は2026年10月時点でAnthropicの公式料金ページに表示されている米国向けの金額（税抜）です。地域によって通貨や税の扱いが変わります。

個人アカウントを組織へ移す画面操作

公式の説明で移行の対象になっているのは、仕事用のメールアドレスに紐づいた個人アカウント（Free・Pro・Max）です。Teamでは移行を始めるのは社員本人で、管理者が個人アカウントを取り込むことは出来ません。Teamの場合の流れは次のとおりで、Enterpriseでは招待時の画面は出ず、手順4の操作から始めることになります。

1. 管理者がOrganization settingsのMembersで「Add member」を押し、社員の仕事用のメールアドレスと席の種類、ロールを入れて招待する（招待は21日で期限が切れる）
2. 社員が招待を受けると、個人アカウントの扱いを選ぶ画面が出る。「Keep both accounts」は個人アカウントを残してメニューで切り替える形、「Use your organization account only」は組織アカウントだけにして移行の方法を選ぶ形
3. その場で選ばなかった場合は、約7日のあいだ画面に案内のバナーが出る
4. 後から移すときは、個人ではなく組織アカウントの側で、Settings、Account、Close your personal accountの順に開いて始める

移行は一方向で、組織へ移した内容を個人アカウントへ戻すことは出来ないと説明されています。移るのはチャットとその中のアーティファクト、プロジェクトの指示やファイル、アップロードしたファイル、メモリなどになります。自分で作ったスキルには移行の方法がなく、連携していたアプリやサービスのサインインもすべて取り消されるため、残したいスキルは移す前に書き出しておいてください。Apple App StoreでPro・Maxを契約している方は、先にApple ID側で解約しない限り、Keep both accountsしか選べません。個人アカウントの書き出しを別の個人アカウントに読み込むことは出来ず、TeamやEnterpriseへ参加する場合は書き出しをしなくても仕事を持ち込めると公式の説明にあります。

Teamで出来る止め方、Enterpriseだけの止め方

Teamで会社として出来るのは、新しい個人アカウントを会社のドメインで作らせないところまでとなります。手順は、DNSで会社のドメインを確認したうえで、Organization settingsのOrganization and accessにあるSecurityの欄で、Restrict organization creationをオンにする形です。これで、ClaudeやConsoleの組織と個人アカウントを、社員が新しく作ることを止められます。すでにある個人アカウントを管理者が取り込むドメイン請求は、Enterpriseだけの機能になります。Enterpriseでは、ドメインの確認・組織作成の制限・SSOの強制・JITかSCIMを済ませたうえで請求をかけると、社員にメールと画面のバナーで知らせが届き、30日の移行期間が始まります。社員はその間に今の会話を持ち込むか新しく始めるかを選び、期限を過ぎた個人アカウントは使えなくなって、Pro・Maxの契約も自動で解約されます。

社員へ送る切り替え通知文のひな形

通知は責める文面にせず、期日・移し方・入れてはいけない情報の3つを1通にまとめて送ります。申告した方を罰しないと先に書いておけば、使っていたことを隠す理由がなくなります。そのまま使える形のひな形を置いておくので、◯の部分を自社に合わせて書き換えてみてください。

期日は、招待の期限が21日であることも考えて、通知から3〜4週間後に置くと無理がありません。送った招待は受け取られる前から席を使い、受け取られないまま期限が切れることもあるため、期日の1週間前に未対応の方へ声をかけてみてください。

社内AIガイドラインに足しておく3つの決まり

通知と同じ時期に、社内のAIガイドラインにも次の3つを書き足しておきましょう。

• 業務で使ってよいのは会社が契約したアカウントだけで、個人アカウントには業務の情報を入れない
• 入力してよい情報といけない情報を、公開・社内限り・機密の3段階で分けておく
• 新しいAIや拡張機能を使いたい時は、情報システム担当に申請して承認を受けてから使う

ガイドライン全体の作り方は生成AIの社内ガイドラインの作り方にまとめています。

申告した方を責めない窓口をつくる

申告の窓口は、情報システム担当か総務の1か所に決めて、メールでも社内チャットでも受け付ける形がよいでしょう。申告した方を叱ると、次からは誰も申告しなくなり、シャドーAIが見えないところへ戻ってしまいます。申告してくれた方には、まずお礼を伝えるところから始めましょう。どんな情報を入れたかを落ち着いて聞き取れれば、取引先への連絡が必要かどうかも早めに判断できます。

退職・異動のときに確かめること

退職や異動の手続きには、Claudeのアカウントの確認を1行足すだけで抜けが出にくくなります。

個人アカウントは退職時に会社が止められない

個人アカウントは本人の契約のため、会社が退職の日に止めたり、中身を確かめたりすることは出来ません。業務の会話が個人アカウントに残っている場合は、在職中に本人に組織へ移してもらうのが確実な方法です。個人アカウントの書き出しが出来るのは本人だけで、左下のイニシャルからSettings、Privacy、Export dataの順に進むと、ダウンロードのリンクがメールで届きます。リンクは届いてから24時間で切れるため、退職日の前に本人と一緒に操作してみてください。引き継ぎが済んだら、業務の会話を個人アカウントから削除してもらうよう頼んでおきましょう。削除した会話は履歴からすぐ消え、裏側の保存先からも30日以内に消されると説明されています。

組織アカウントで退職者を外す操作

組織アカウントに移っていれば、退職の日に管理者がOrganization settingsのMembersで、その方の右のメニューからRemove from teamを選ぶだけで済みます。外した方はすぐに組織へ入れなくなる一方、席の数は自動では減らないので、契約の席数は別に見直しが必要です。外した方の会話も、Primary Ownerが行う組織のデータの書き出しには含まれます。書き出しが出来るのはPrimary Ownerだけで、Organization settingsのData and privacyからExport Dataを選ぶと、24時間で切れるリンクがメールで届く仕組みとなります。

退職・異動のときの確認は、次の6つを手続きの書類に入れておけば漏れを防げます。

• 業務で使っていたClaudeのアカウントを本人に聞いたか組織アカウントだけか、個人アカウントもあるか、両方を使っていたかを確かめます。
• 個人アカウントに残る業務の会話を引き継いだか在職中なら組織へ移してもらうのが確実です。移せない場合は、必要な内容を組織アカウントで作り直します。
• 個人アカウントから業務の会話を削除してもらったか本人にしか操作できないため、退職日の前に依頼します。
• 組織のメンバーから外したかMembersのメニューからRemove from teamを選びます。
• 席の数と請求を見直したかメンバーを外しても席の数は自動では減りません。
• 経費精算で払っていた個人プランを止めたか会社が個人プランの代金を負担していた場合は、解約を確かめて精算の対象から外します。

委託先・外注先のClaude利用は契約で決める

委託先や外注先のフリーランスが個人のClaudeで作業していても、会社の側からは見えません。業務委託の契約書や発注書に、使ってよいAIとアカウントの種類、学習の設定、作業が終わった後の会話の削除を書き込んでおきましょう。作業を会社の組織アカウントで頼みたい場合は、Teamの席を割り当てて、契約が終わる日にメンバーから外す運用でも足ります。

切り替えた後の社員教育とログの見方

切り替えた後は、月に1回の利用状況の確認と、半年に1回の短い社内説明を続けるくらいがちょうどよいでしょう。Teamの利用状況は、OwnerとPrimary Ownerが左下のイニシャルからAnalyticsを開くと、週ごとの利用者数や、チャットの多いメンバーの一覧などで確かめることが出来ます。支出のレポートはユーザーごと・モデルごとのCSVで書き出せて、日ごとに更新され、最大で90日前までさかのぼれます。公式の説明にはアナリティクスで会話の本文を表示する項目はなく、見えるのは件数や利用者、支出の集計になります。メンバーの一覧もCSVで書き出せるため、月に1回、人事の在籍名簿と見比べて、退職者が残っていないかを確かめてみてください。管理画面の詳しい使い方はClaude Teamの管理画面で画面ごとに説明しています。

社員教育で毎回伝える3つのこと

説明の時間は15分ほどで足り、伝えることは毎回同じでも構いません。

• 会社のアカウントで開いているかを、画面左下のアカウントメニューで確かめてから使う
• 入力してはいけない情報を、公開・社内限り・機密の3段階で思い出せるようにする
• 新しい拡張機能やアプリは、申請して承認を受けてから入れる

同じ社内で、Claudeのほかに個人のChatGPTやCopilotを使っている方がいる場合は、ChatGPTのシャドーAI対応やCopilotのシャドーAI対策も同じ流れで進められます。

会社で安全に使う形をそろえる

会社で安全に使う条件は、学習に使わせない設定、誰がいつ使ったかのログ、全員への配布、用途に合わせたAIの使い分けの4つがそろうことです。社員が個人のAIに流れるのは、会社の環境が足りないときか、使い慣れたAIが会社にないときが多いでしょう。Claudeだけでなく、ChatGPTやGemini、Perplexityも使い分けたい方が多い会社なら、複数のAIを1つの環境でまとめて用意する方法もあります。社員が使いたいAIを会社の環境で先に用意すれば、個人のアカウントに流れる理由がなくなります。複数のAIをまとめて使う方法の違いはマルチAIとはで比べています。

よくある質問

まとめ

シャドーAIとしての個人のClaudeは、通信先だけでは個人か組織かを見分けられないため、聞き取りと経費精算、本人の画面の確認で見つけることになります。切り替え先はClaude TeamかEnterpriseの組織アカウントで、仕事用のメールアドレスの個人アカウントなら、Teamでは招待を受けた時に本人が会話ごと移すことが出来ます。Teamで会社が出来るのは新しい個人アカウントを作らせないところまでで、既存のアカウントを取り込めるのはEnterpriseのドメイン請求だけです。通知は責めずに期日と移し方、入れてはいけない情報を1通で伝え、退職の手続きにはアカウントの確認を1行足しておきましょう。

会社が把握していないIT全般をどう見つけて減らすかは、シャドーITとは？シャドーAIとの違いと会社での見つけ方で整理しています。会社でClaudeを使う場合の契約の選び方は、Claudeの法人契約にまとめています。

法人のAI活用に関するほかの記事はAI活用コラム一覧にまとめています。