A2：クラウド型生成AIの考え方
考え方の出発点は、クラウド型生成AIを「特殊な何か」として扱わないことです。見るべき評価軸は契約形態・責任分界・データ分類・保持・監査であり、これはSaaSセキュリティの判断と同じです。
| AI固有の追加論点 | 中身 |
|---|---|
| ① 学習≠保存 | 個人アカウント（Consumer製品）は入力データがモデル改善に使われる設定があり得る一方、Team / Enterprise / API 契約では主要各社がデフォルトで学習に不使用。ただし学習不使用でも、不正検知・障害対応目的の一時保持や保持期間、管理者アクセスの範囲は別問題 |
| ② 実行できる | Claude Code はファイル読み書き・コマンド実行・MCP経由の外部連携まで可能。「何を入力してよいか」に加えて「何を実行させてよいか」の統制が必要 |
| 確認すること | 契約プランごとに「学習利用・保持期間・監査ログ・SSO/SCIM対応」を確認 |
- 既にメール・ストレージ・コード管理などのSaaSに機密を載せて仕事をしている現実
- AIだけを取り出して禁止するなら「なぜ他のSaaSは良いのか」の説明が必要
AI固有は「学習利用の実態」と「実行できること」の2点。残りはSaaSセキュリティと同じ評価軸