仕事関係 — コンセプト記事
— 契約・置き場所・機械の守り・任せ方 —
AI エージェント（指示を受けると、自分でファイルを探し、コマンドを動かして仕事を進める AI）は、便利なぶん、見せたくないものまで自分で見に行けます。 答えを先に言うと、法人向けの契約で土台を作り、機密を AI の手の届かない場所へ移し、人の注意ではなく機械で止める守りを重ねる。そのうえで、人が疲れない任せ方を決めるのが導入の準備です。
この記事を読むとできること
想定している使い方
部署やチームで Claude Code（Anthropic 社の AI エージェント）のような道具を使い始める前に、情報システムの担当者や法務・事務局が、準備の抜けを点検するたたき台にすることを想定しています。説明は Mac を前提にしています。 設定の名前は、記事を書いた時点の公式の説明に合わせています。製品名は種類の例で、特定の製品を勧めるものではありません。プランの条件や料金は変わることがあるので、契約の前に公式の案内で確かめてください。
読む目安：約13分 ・ 仕事関係のコンセプト記事 ・ 図8枚
チャットの AI は、人が貼り付けたものしか見ません。AI エージェントは違います。頼まれた仕事を進めるために、作業のフォルダの中を自分で探して読みます。同じフォルダに顧客の一覧や契約書があれば、悪気なく開いてしまうことがあります。
「このフォルダは読まないで」と書いておくだけでは止まりません。AI が探す途中でうっかり読むこともあれば、Web のページや資料に隠された命令（プロンプトインジェクション。AI をだまして別の行動をさせる仕掛け）で、決まりが破られることもあるからです。守りは、お願いではなく、置き場所と機械の仕組みで作ります。
図の見方：上の段は、個人の契約のまま、機密と同じフォルダで AI を動かし、「読まないで」と書いて頼むだけの場合です。AI が探す途中で読んでしまい、外へ出るおそれがあります。下の段は、法人の契約で土台を作り、機密を別の場所に移したうえで、機械の守りを重ねる場合です。どれか1枚がすり抜けられても、次の守りで止まります。
上から順に整えます。前半の3つが情報を守る土台で、後半の3つが人の負担を減らす使い方の設計です。
part 1 — 目安 契約を決めるとき
まず、個人向けのプランではなく、Team や Enterprise のような法人向けの契約を選びます。法人向けには商用の規約が当てはまり、送ったコードや指示は、会社が自分から提供を選ばない限り、AI の学習に使われません。データ処理の取り決め（DPA。預けた個人データの扱いを定めた契約）を結べるかも、このとき確かめます。
図1 個人向けと法人向けの違い
図の見方：上の段の個人向けのプランでは、学習に使うかどうかが一人ひとりの設定に任され、会社からは使い方が見えません。中の段の法人向けのプランでは、商用の規約が当てはまり、管理画面で使う人と使用量をまとめて見られます。申し込みには会社の独自ドメインのメールが要り、Gmail のような誰でも作れるアドレスは使えません。下の段のとおり、個人のアカウントから移っても会話の履歴は引き継がれないので、CLAUDE.md（AI に毎回読ませる決まりを書いたファイル）や大事なやり取りは、先に Markdown（見出しや箇条書きを記号で書く、ふつうの文字のファイル）で書き出しておきます。
使用量の上限も、この段階で決めます。使用量はトークン（AI が読み書きする文字の量の単位）で数えられ、会話が長いほど、同時に動かす AI が多いほど増えます。サブエージェント（親の AI から仕事の一部を任される子の AI）は親とは別に使用量を使うので、その定義で軽いモデル（Haiku など）を指定し、同時に動ける数の上限も下げておきます。claude -p（画面を開かずに、1回だけ頼んで結果を受け取る使い方）は仕組みに組み込みやすい反面、自動で何度も呼ぶと使用量が気づかないうちに積み上がります。まず少人数で試し、管理画面で使用量のふだんの水準を測ってから広げます。
✓ ここまでの確認：法人向けの契約と独自ドメインのアカウントがそろい、使用量の上限とサブエージェントのモデルが決まっている
part 2 — 目安 使い始める前
次に、AI が作業するフォルダの中身を見直します。個人情報、顧客の一覧の CSV（表のデータを文字で並べたファイル）、社外秘の契約書は、作業のフォルダに置かず、AI が届かない別の場所へ移します。置かなければ、読まれることもありません。
図2 AI の手が届く場所と届かない場所
図の見方：上の段の作業フォルダには、AI に見られてよいものだけを置きます。下の段の別の場所に、機密を移します。気をつけたいのは中の段です。Google ドライブや部門のサーバーに置くこと自体は、作業フォルダから離す方法として役に立ちます。ところが、デスクトップ版の同期フォルダやネットワークドライブとして Mac につながっていると、AI からはふつうのフォルダに見え、そこから探せてしまいます。
そこで、AI を動かす Mac では、同期フォルダやネットワークドライブが自動でつながる設定を外します。AI の道具の側のコネクター（Google ドライブや Slack などの外部サービスとつなぐ機能）も、仕事に要るものだけを有効にします。
✓ ここまでの確認：作業フォルダの中に機密が無く、作業用の Mac に同期フォルダや不要なコネクターがつながっていない
part 3 — 目安 使い始める前
どの守りにも穴はあります。そこで、穴の位置が違う守りを何枚も重ね、1枚をすり抜けても次で止まるようにします。穴のあいたチーズの薄切りを重ねると向こうが見えなくなる様子にたとえて、スイスチーズモデルと呼びます。
図3 重ねる5枚の守り
図の見方：上から順に、置き場所を分ける、許可の設定、サンドボックス、フック、運用と匿名化の5枚を重ねます。点線の丸が、それぞれの守りの穴です。赤い矢印は、置き場所の分け忘れと許可の設定の穴が重なってすり抜けた読み出しが、色の濃いサンドボックスで止まる様子を示しています。
許可の設定では、Claude Code の設定ファイル（.claude/settings.json など）の permissions.deny に、Read（読む）や Edit（書き換える）を拒否する場所を書きます。機密のフォルダや CSV の拡張子を指定できます。ただし、この決まりが効くのは AI の道具と、cat のようなよく知られたコマンドまでです。AI が書いた Python のスクリプトが自分でファイルを開く場合には効きません。
その穴を、サンドボックス（OS の機能で、決めた範囲の外へ手を出させない柵）が塞ぎます。設定で sandbox.enabled を true にすると、AI が動かすコマンドと、そこから起動したスクリプトも柵の中に入ります。書き込みは作業フォルダの中に限られ、通信は許可したあて先だけになります。読み取りは既定では広く許されているので、機密の場所は読み取り禁止にも足します。逆に、サンドボックスは AI の道具そのものには掛からないので、許可の設定と両方が要ります。
フック（決まった場面で自動で動く小さなプログラム）は、UserPromptSubmit（人が指示を送った直後）と PreToolUse（AI が道具を使う直前）に割り込めます。人がうっかり金額や個人情報を打ち込んで送ろうとしたとき、AI に届く手前で差し止められます。ただし、フックは書いたとおりの形しか見つけられないので、保険として考えます。最後に、外へ出せない個人情報は、Ollama のように Mac の中だけで動くローカル LLM（外部と通信せずに動く AI）で先に名前や番号を伏せてから、外の AI に渡す運用で補います。
✓ ここまでの確認：許可の設定とサンドボックスの両方が有効で、送信前と道具の使用前に検査が入っている
part 4 — 目安 使い始める前
AI エージェントは、コマンドを動かす前に「許可しますか」と人に尋ねます。ところが確認が何十回も続くと、人は疲れて、中身を読まずに「一度だけ許可」を押すようになります。確認の画面があるだけでは、守りになりません。
図4 人の確認に頼る形と、機械で止める形
図の見方：上の段は、すべてを人の確認に任せる場合です。確認が増えるほど、読まずに押すようになります。下の段は、拒否すると決めた場所や操作を、許可の設定・サンドボックス・フックが人に尋ねる前に止める場合です。人の前に出る確認が減るので、残った確認を落ち着いて読めます。
✓ ここまでの確認：機密の場所と危ない操作は、人の画面を経ずに拒否される
part 5 — 目安 業務に広げるとき
業務の自動化を広げると、AI の数が増えます。人が何体もの AI と別々に話すと、頭がいっぱいになります。そこで、人と話す窓口の AI を1体だけ立て、その下に専門の役割を持つサブエージェントを置きます。
図5 司令塔と専門の AI の分担
図の見方：いちばん上の人は、色の濃い司令塔の AI とだけやり取りします。司令塔の下の点線の枠の中で、案を量産する役、ツッコミを入れて確かめる役、過去の成果物と照らし合わせる役が議論し、まとまった結果だけが司令塔から人へ上がります。
任せる仕事は、作業メモにしてから渡します。作業メモは、ゴール・合格条件・停止条件・制約条件・手順の5つの欄を持つ型にして、AI と壁打ちしながら中身を埋めます。できあがったら Claude Code の /goal（終わりの条件を渡すと、満たすまで AI が作業を続ける機能）に渡します。
図6 作業メモの5つの欄
図の見方：枠の中の5つの欄を、上から順に埋めます。いちばん下の色の濃い箱は、/goal に渡したあと、合格条件を満たすまで AI が直してはやり直す流れです。/goal では、AI が1回の作業を終えるたびに、作業した AI とは別の小さなモデルが条件を満たしたかを判定します。判定役はファイルを開かず、会話に出た結果だけを見ます。そのため合格条件は「テストが通った」のように結果が会話に出る形で書き、停止条件には「20回で止める」のような回数を入れておきます。
最後に、報告の形を決めます。長い文章で返させると、読むだけで疲れます。HTML のダッシュボード（要点を1枚の画面にまとめた表示）や、星の数・推奨度を付けた選択肢の形で出させると、人は一目で要点をつかめます。細かな判断の8割は AI に預け、人は本当に大事な2割の判断に時間を使う、という考え方です。
✓ ここまでの確認：人の窓口が司令塔の1体だけで、作業メモに合格条件と停止条件が書いてある
part 6 — 目安 定期の仕事を任せるとき
毎朝の調べものや週ごとの点検のように決まった時刻に動かす仕事は、定期実行の機能に任せます（以前は Routines という名前でした）。動かす場所は Mac の上とクラウドの2つがあり、仕事の性質で選びます。
図7 Mac で動かすか、クラウドで動かすか
図の見方：上の段の Mac の上で動かす形は、Obsidian（メモを Markdown のファイルで残すアプリ）のノートのような Mac のファイルを直接読み書きでき、途中で人が確かめながら進めたい仕事に向きます。ただし、アプリが開いていて Mac が起きている間しか動かず、スリープ中の回は飛ばされます。下の段のクラウドで動かす形は、Mac を閉じていても動き、GitHub やWeb の情報を扱う定期の調べものに向きます。Mac のファイルには届きません。
クラウドで動かした結果はクラウドのセッションに残るので、Mac を開かずにブラウザやスマホから確かめられます。Slack などへ知らせたいときは、その仕事にコネクターを設定します。クラウドで動かすものは素材もクラウドに置かれるので、part 2 で移した機密は、クラウドの仕事に渡しません。
✓ ここまでの確認：定期の仕事ごとに、Mac とクラウドのどちらで動かすかが決まっている
「読まないで」と CLAUDE.md に書いたのに、読まれていた
決まりのファイルはお願いで、止める力はありません。機密を作業フォルダの外へ移し、許可の設定で読み取りを拒否します。
読み取りを拒否したのに、スクリプト経由で中身が出てきた
許可の設定は、スクリプトが自分で開くファイルまでは見ません。サンドボックスを有効にし、その場所を読み取り禁止に足します。
毎朝の定期実行が、ときどき動いていない
Mac の上で動かす形は、スリープ中の回が飛ばされます。Mac のファイルが要らない仕事なら、クラウドで動かす形に移します。
使用量が急に増えた
サブエージェントの数や長く続いた会話が原因のことが多いです。サブエージェントを軽いモデルにし、関係のない仕事に移るときは会話を新しく始めます。