Claude for Nonprofits：データの取り扱いとAI利用ポリシー

完了時に得られるもの

あなたの組織にはClaudeのシートがあります。導入を始めたばかりの場合も、展開の途中の場合もあるでしょう。使われていないシートがあるかもしれませんし、あなたからは見えない個人のAIアカウントをすでに使っているスタッフもいるかもしれません。トレーニングやユースケースも答えの一部ですが、最初のステップは、職場でAIを安全に使う方法とそのガードレールを文書にすることです。このチュートリアルでは、その基盤を3つのフェーズで作ります。

完了時には、次のことができています。

1. 「Claudeは私のデータをどのように使うのか」に書面で回答している。事務局長（ED）、理事会、法律顧問が自分で確認できる公開ページへのリンク付きです。
2. 1ページのAI利用ポリシーを作成している。経営陣が署名済みで、スタッフにAI利用に関する明確なガードレールを示すものです。
3. スタッフ全員を組織のClaudeアカウントに招待している。あわせて、ポリシーで認められていることと認められていないことをスタッフに伝えています。AIの利用は個人アカウントから、あなたが管理するアカウントへと移ります。

このチュートリアルは、製品トレーニングや設定の手順解説ではありません。それらについてはClaude AcademyとClaude Enterprise 管理者ガイドをご覧ください。まだアカウントをセットアップしていない場合は、非営利団体向けClaudeを始めるから始めてください。

このチュートリアルは、Enterprise PlanとTeam Planの両方を対象としています。本文はTeam向けに書かれています。Enterpriseで異なる点は、Enterpriseの場合の囲みで説明します。

始める前に

対象者。組織のClaudeの設定を担当する管理者であり、OwnerまたはPrimary Ownerのロール（ロールについては下記を参照）を持つあなたです。Organization settings > MembersであなたのロールがAdminと表示されている場合は、Ownerと組んで進めてください。このチュートリアルでは、「あなた」は管理者であるあなたを、「スタッフ」は組織内でClaudeを使うすべての人を指します。

必要な人。Teamの場合：ほぼあなた1人です。ただし、フェーズ2ではスタッフに3つの質問を送り、最後に組織の代表者が半ページのポリシーに署名します。

所要時間。Team：あなたの作業は約30分で、スタッフが3つの質問に回答するのに数日かかります。

フェーズ1 - Claudeがデータをどのように扱うかを理解する

非営利団体からは、データについて同じ6つの質問が寄せられます。以下では、それぞれにわかりやすい言葉で答え、根拠となる公開ページへのリンクを添えています。この内容はAnthropicの公開ドキュメントを要約したものであり、法的助言ではありません。ここに書かれている内容が、あなたの組織とAnthropicとの契約（ほとんどのTeam Planでは、登録時に同意した商用利用規約）と異なる場合は、契約が優先します。

フェーズ2で使うので、読み進めながら自分の組織の回答をメモしておいてください。

TeamとEnterpriseの比較

デフォルトのデータの取り扱いは、どちらのプランでも同じです。デフォルトではデータが訓練に使用されないこと、デフォルトのプライバシー、セキュリティ認証（SOC 2、ISO 27001、ISO 42001）はいずれも共通です。どちらのプランにも、シングルサインオン（SSO）、ドメイン認証、ジャストインタイム（JIT）プロビジョニング（初めてサインインしたときにアカウントが作成される仕組み）があります。

1. Claudeにはどのようなデータが入るのか？

すでにお持ちのデータです。Claudeはスタッフが与えたものを扱います。入力または貼り付けた内容、アップロードしたファイル（スプレッドシート、PDF、ドキュメント）、そしてコネクタを有効にした場合は、Google DriveやMicrosoft 365などのツールから読み取れる内容です。接続していないものにはアクセスできず、コネクタを有効にしている場合も、依頼された内容に関連するものだけを取り込みます。

実際には、たとえば資金調達担当ディレクターが昨年の寄付のスプレッドシートをアップロードし、寄付が途絶えた寄付者のうち誰に最初に電話すべきかを尋ねる、あるいはプログラム責任者がアンケートの回答を貼り付けてテーマを見つける、といった使い方です。まずはそこから始めましょう。スタッフが毎日すでに扱っているスプレッドシート、ドキュメント、メモです。

こうした情報のほとんどは、現在あるルールですでにカバーされています。

新しいのは会話履歴、つまりスタッフが何を尋ね、Claudeが何と答えたかです。次の5つの質問では、これがモデルの訓練に使われるかどうか、誰が見られるか、どのくらいの期間どこに保管されるか、他のツールを接続すると何が変わるかを取り上げます。

2. 私たちのデータはClaudeの訓練に使われるのか？

いいえ。デフォルトでは、AnthropicはTeamまたはEnterpriseアカウントの会話（入力と出力を含む）、ファイル、接続されたデータを自社モデルの訓練に使用しません。これはTeam PlanでもEnterprise Planでも同じです。詳しくは、プライバシーセンターと商用利用規約をご覧ください。

ただし、あなたが管理できる例外があります。スタッフが回答に高評価または低評価をクリックすると、その会話はフィードバックとしてAnthropicに送信され、Claudeの改善に使用される場合があります（ユーザーフィードバック設定を管理するを参照）。Ownerはこの機能をオンまたはオフにできるので、自分の組織での設定を確認してください。

3. 誰が私たちの会話を見られるのか？

• 同僚：他のスタッフが会話を見られるのは、その会話をした本人が共有した場合だけです。プロジェクトを共有すると（プロジェクトとは、独自の指示、ファイル、チャットを持つワークスペースです）、共有されるのはその指示とファイルで、プロジェクト内のチャットは共有されません。各自のチャットはデフォルトで非公開です。そもそもプロジェクトを共有または公開（組織内の全員に表示され、組織外には表示されない状態）できるかどうかは、Ownerが決めます。
• OwnerとAdminも、アプリ内で会話を閲覧することはできません。ただし、コンテンツに到達できる経路がいくつかあり、誰がそれを持つかはあなたが決めます。どちらのプランでも、Primary Ownerは、すべての会話を対象とした組織全体のデータエクスポートを実行できます。

• メモリは、有効にした場合、各個人に対して非公開ですが、組織のデータエクスポートには含まれます。Team PlanとEnterprise Planのメモリ管理をご覧ください。
• Anthropic社内：Anthropicは、安全性に関するレビュー、製品サポート、インシデント対応などの社内プロセスのためにデータを処理する場合があります。詳しくはデータ処理補遺をご確認ください。
• 組織外：組織外の人が見られるのはアーティファクト（インタラクティブなページやツールなど、Claudeがチャット内で作成したもの）だけで、それも設定で許可している場合に限られます。組織外への共有は、メール招待とリンクの両方について、Ownerが管理します。メール招待はTeamではデフォルトでオン、Enterpriseではデフォルトでオフです。メール招待とリンク共有は、どちらもフェーズ3で設定します。アーティファクトを共有するをご覧ください。

4. データはどのくらいの期間保持され、削除できるのか？

• 会話は、スタッフが削除するまで（Enterpriseの場合は、設定した保持期間によって削除されるまで）アカウントに残ります。削除された会話は、その人の履歴からは直ちに、Anthropicのバックエンドシステムからは30日以内に削除されます。ただし、法律によってより長い保持が求められる場合や、以下に説明する場合を除きます。
• Anthropicの利用ポリシー（Claudeを何に使ってよいかについてのAnthropic独自のルールで、あなたの組織のポリシーとは別のもの）に基づいて自動システムがフラグを立てたコンテンツは、最長2年間保持される場合があり、分類結果そのもの（あなたのコンテンツではなくスコア）は最長7年間保持される場合があります。これはフラグが立てられたコンテンツに適用されるもので、日常的な会話には適用されません。
• Teamでは自動削除はありません。会話はスタッフが削除するまで残ります。

Anthropicが組織のデータを保存する期間について詳しくご覧ください。

5. データはどこに保存され、ほかに誰が扱うのか？

• データは米国に保存されます。デフォルトでは、処理は米国、ヨーロッパ、アジア、オーストラリアのデータセンターを経由する場合があります（従量課金のEnterprise Planでは、推論を米国内に限定できます）。Anthropicのサーバーの所在地をご覧ください。
• Anthropicは、公開リストに掲載されたサブプロセッサーを利用しています。クラウドホスティング、サポート、請求などのベンダーです。Anthropicは変更をトラストセンターに掲載し、データ処理補遺に基づいて新しいサブプロセッサーを事前に通知します。トラストセンターのニュースフィードを購読することもできます。
• Anthropicは、SOC 2 Type II、ISO 27001:2022、ISO/IEC 42001:2023（AIマネジメント）の認証を取得しています。報告書と証明書はトラストセンターから入手でき、一部はリクエストに応じて提供されます。Anthropicが取得している認証をご覧ください。

セキュリティの詳細はAnthropicトラストセンターでご確認ください。

6. Claudeを他のシステムに接続したり、スキルを使ったりするとどうなるのか？

コネクタ（Google Drive、Gmail、Microsoft 365、Slack、カスタムコネクタ経由のCRMなど）を使うと、Claudeはスタッフの依頼内容に関係する場合にシステムから情報を読み取り、許可していればそのシステム内で操作を実行することもできます。

• 接続したシステムでは、Claudeはそのユーザーがアクセスできるものしか見られません。Google Driveを例にとると、スタッフがDrive上で開けないファイルは、Claudeもその人の代わりに開くことはできません。各自が自分のアカウントで接続先のツールにサインインします。意図的に設定した場合の例外が2つあります。1つの共有ログインを使うカスタムコネクタ（ITチームやベンダーが構築するもの）は、そのログインでアクセスできるものすべてに到達します。また、エンタープライズ管理の認可を使うと、ITが全員のためにコネクタを一度で認可します。コネクタを利用可能にしても、誰かのログイン情報がClaudeに渡されるわけではありません。
• Claudeは依頼の時点で関連するものを取得します。取得したものはその会話の一部となり、質問2〜5と同じルールに従います。つまり、デフォルトでは訓練に使用されず、他のスタッフには会話が共有された場合にのみ表示され、管理者には質問3で説明したとおりに表示され、保持期間も同じです。接続先のサービス自体は、引き続きそのサービス独自の規約に基づいてデータを取り扱います。Google Workspaceコネクタによるデータの取り扱いをご覧ください。
• どのコネクタをそもそも利用可能にするか、それぞれに何を許可するか（操作ごとに、常に許可・承認が必要・ブロック）、そしてEnterpriseではどのグループにどれを提供するかは、Ownerが決めます。Claude Desktopアプリのデスクトップ拡張機能は、許可リストを有効にするまではデフォルトで制限なく利用できます。これらはすべてフェーズ3で設定します。

Skillsは、「当団体の形式で助成金報告書の下書きを作成する」のような特定のタスクを組織がどのように行うかをClaudeに教える、指示と参照ファイルをパッケージにしたものです。スキルに入れたものは、Claudeに与える他のものと同じように扱われます。つまり、デフォルトでは訓練に使用されず、共有された範囲と、質問3で説明したとおり管理者にのみ表示されます。スキルを作成、共有、公開できる人はOwnerが決めます。組織のスキルをプロビジョニング・管理するをご覧ください。

寄付者、クライアント、健康に関するデータにとっての意味

• 寄付者とクライアントの情報：ほとんどは、ポリシーの範囲内で組織のClaudeアカウントに入力できます。
  • 氏名や寄付履歴などの寄付者データ：ポリシーの範囲内であれば入力できます。
  • 氏名やケースノートなど、クライアントを特定できる情報：これもポリシーの範囲内で入力できます。フェーズ2のテンプレートでは、事前相談が必要な項目としています。
  • 健康や障害に関する詳細：組織がHIPAA-ready版のClaude（Enterprise Planのみ）を利用していない限り、入力しないでください。保護対象保健情報（PHI）が、支援を受けたい業務の中心にある場合は、まず以下の「HIPAAの対象ですか？」をお読みください。
  • 在留資格などの移民としての法的地位：健康に関する詳細と同じように扱ってください。
• いずれの場合も、デフォルトではこれらが訓練に使用されることはなく、共有されたスタッフと、質問3で説明したとおり管理者にのみ表示されます。また、組織のデータに適用される法律を遵守する責任は、あなたの組織にあります（商用利用規約とデータ処理補遺を参照）。
• HIPAAの対象ですか？ あなたの組織がクリニックや医療保険者（ヘルスプラン）である場合、またはそれらのために健康記録を取り扱っている場合、保護対象保健情報（PHI）にはAnthropicとのビジネスアソシエイト契約（BAA）が必要です。BAAはEnterprise PlanのHIPAA-ready構成で利用でき、Teamでは利用できません。Teamの場合、PHIは一切Claudeに入力せず、それ以外のすべての業務（助成金申請書の作成、理事会への報告書、ポリシー、個人を特定できないようにしたプログラムの概要など）にClaudeを使ってください。PHIが支援を受けたい業務の中心にある場合は、Enterpriseについて営業チームにお問い合わせください。

• HIPAAが適用されるかどうかわかりませんか？ それは、提供するサービスと、そのサービスの提供先によって決まります。Anthropicがあなたに代わってその判断を行うことはできません。クライアントの健康に関する詳細を入力する前に、法律顧問またはコンプライアンス責任者に確認してください。
• 迷ったら、1つの質問をしてみてください：共有プロジェクトでこれを同僚に見られても問題ないか？ 問題があるなら、入力しないか、先に個人を特定できる詳細を削除してください。このテストは、法律の専門教育を受けていないスタッフでも使えます。

フェーズ2 - AI利用ポリシーを作成する

まだ文書化されたAIポリシーがなくても、それはよくあることです。まずは短いものを書き、生きたドキュメントとして扱いましょう。ゼロから始めるわけではありません。フェーズ1で述べたとおり、既存の守秘義務のルールは引き続き適用され、このポリシーは主に、それらをClaudeにどう当てはめるかを示すものです。

すべてのチームとすべてのシナリオを一度に網羅しようとしないでください。必要性が最も明確なところ（1つのプログラムチーム、1種類のデータ、1つのコネクタ）から始め、スタッフから新しいユースケースが寄せられたり、Claudeが変わったりするたびに追加していきましょう。包括的なポリシーが完成するまで待っていると組織は行き詰まりますし、どのみち次の製品アップデートで見直しが必要になります。

ステップ1では、草案を書く前にスタッフに質問します。そうすることで、ポリシーがスタッフの実際の疑問に、スタッフ自身の言葉で答えるものになります。

ステップ1. 3つの質問でスタッフにヒアリングする（回答期間は3〜4日）

何かを書く前に、現状を把握しましょう。経営陣とスタッフでは通常AI利用の捉え方が異なり、NTENとThe Bridgespan GroupのState of Nonprofit AI Adoption and Governance report (2026)にはそのギャップが記されています。短いヒアリングでそのギャップの大部分が埋まり、ポリシーの素材も得られます。

以下の質問を、匿名フォームとして全スタッフに（Team）、またはチームリーダー経由で（Enterprise）送ってください。

ステップ2. 6つの事項を決める

署名者と一緒に検討してください。それぞれの決定事項が、ポリシーの短いセクションになります。各項目の下には、架空の組織Riverbend Community Servicesの例文があり、調整して使えます。

1. 目的：AIを使う理由。AIによってスタッフに戻ってくる時間を中心に説明しましょう。

2. 推奨すること、事前の相談が必要なこと、禁止すること。スタッフへのヒアリングの回答はここに反映します（ステップ3を参照）。スタッフにClaudeを使ってほしいことを先に挙げ、禁止事項のリストは短くしましょう。制限の長いリストは警告のように読まれ、スタッフは事前相談のルートを使わなくなります。

3. Claudeによるデータの取り扱い。フェーズ1から抜き出した数行です。フィードバックがオンかオフかを明記してください。

4. 出力は人が確認する。どのバージョンのポリシーにも、この一文が必要です。適切に確認するには技能が必要です。非営利団体向けAI活用力コースでは、これを評価力として教えています。スタッフにこのコースを案内しましょう。

5. 使用するツール。組織のアカウントを使います。有効になっているコネクタとスキルを挙げ、スタッフにそれらを使うよう伝えましょう。時間の節約の大部分はそこから生まれます。メモリがオンかどうかも明記してください。

6. ポリシー責任者、Primary Owner、署名者、見直し日。ポリシー責任者と、ClaudeアカウントのPrimary Ownerを明記します。

ステップ3. スタッフの声をもとに、Claudeに決定事項2と5の草案を作成させる

ポリシーが自分たちの言葉で書かれていると、スタッフにとって理解しやすく、従いやすいものになります。あなたはOwnerであり、これはあなたが管理するアカウントなので、ポリシーへの署名前に使っても問題ありません。組織のClaudeアカウントを開き、スタッフへのヒアリングの回答を貼り付けて、次のプロンプトを実行してください。

返ってきた内容は、ポリシーに入れる前に署名者と一緒に確認してください。

ステップ4. 署名をもらう

ステップ3で作成したポリシーの草案と、その根拠となる事実をまとめたこのチュートリアルのフェーズ1を署名者に送り、期日を決めて承認またはコメントを依頼してください。法務担当者や理事会が根拠資料を求める場合は、フェーズ1の各記述からAnthropicの公開ページにリンクしています。

出発点として、ステップ2のAI利用ポリシーのテンプレートを使ってください。Claudeアカウントをまだお持ちでない場合は、代わりにGoogle Docs版をお使いください。より充実したポリシー文書が必要な場合は、NTENの非営利団体向けAIリソースハブに、ダウンロードできるポリシーテンプレートが2つ（NTENのものとANB Advisory Groupのもの）と、コミュニティの事例があります。非営利団体向けAI活用力の「統合」レッスンでは、ポリシーの草案作成を順を追って説明しています。スタッフ50人未満のほとんどの組織では、1ページを超えるものは必要ありません。それより大きな組織は、通常NTENのテンプレートのいずれかから始めます。

フェーズ3 - 展開し、最新の状態に保つ

署名済みのポリシーができました。次は、ポリシーを徹底するためのいくつかの設定を行い、スタッフに周知します。

ステップ1. ポリシーを徹底するためのいくつかの設定を行う

これらのほとんどはOrganization settingsにあります。

ポリシーそのもの。スタッフがポリシーについてClaudeに質問できるようにしましょう。非営利団体として認証済みの場合、Claude for Nonprofitsプラグインがデフォルトでインストールされており、AI利用ポリシーを参照するスキルが含まれています。そのため、スタッフはClaudeに「これにClaudeを使ってもいいですか？」と尋ね、組織のルールに基づいた回答を得られます。

• 署名済みのポリシーは、共有Driveフォルダやイントラネットなど、スタッフがすでにアクセスできる場所に保存します。
• 最初に誰かが質問したとき、Claudeはポリシーの保存場所を尋ねます。スタッフがコネクタ経由でその文書を指定するか、チャットにドロップすると、メモリがオンの場合、Claudeは次回のためにそれを記憶します。
• このプラグインを使うには、組織でSkillsとCowork（Claudeにタスク全体を任せ、ファイルや接続したツールをまたいで作業させるモード）を有効にする必要があります（組織のプラグインを管理するを参照）。
• スタッフのこの最初の手順を省くために、OwnerはOrganization settings > Organization and access > Organization instructionsに一文を追加できます。例：「当団体のAI利用ポリシーは、共有の『ポリシー』フォルダにある『AI利用ポリシー』という名前の文書です」。

両プラン共通、スタッフがClaude Codeを使う場合：開発者には組織のアカウントでClaude Codeにサインインしてもらい、チャットだけでなく開発者もポリシーの対象になるようにします。ITは、Claude Codeのマネージド設定でログインを自組織に限定できます。

ステップ2. スタッフに伝える

1. 希望した人だけでなく、シートの数だけ全員を招待します。ポリシーには「個人アカウントではなく組織のアカウントを使う」と書かれているので、全員に招待を送らなければ、その一文は意味をなしません。

• 招待は送信した時点で1シートを使用するため、まずOrganization settings > Organization and access（Total seats）でシート数を確認してください（TeamまたはEnterprise Planのシートの購入と管理を参照するか、Enterpriseの場合はAnthropicの担当者にお問い合わせください）。
• シートがスタッフ数より少ない場合は、段階的に招待しましょう。ヒアリングの回答で最も利用が多かったチームから始め、それ以外の人には順番が来たら知らせ、ポリシーは初日から組織全体に適用します。
• 体系的なパイロットを行う場合は、Enterprise管理者ガイドのローンチのセクションでチャンピオンと段階的な展開について説明しています。
• 招待と通知文は今日送ってください。以下のドメイン関連の作業は、ITの準備ができてから行っても構いません。
• 両プラン共通：メンバーを追加する方法は2つあり、シートが足りなくなったときの動作が異なります。
  • メール（Organization settings > Members）：保留中の招待はそれぞれ、購入済みのシートを1つ使用します。
  • 招待リンク（Organization settings > Organization and access。Teamではデフォルトでオン、Enterpriseではオフ、SSOでは利用不可）または組織ディスカバリー（自組織のドメインのスタッフが登録時に参加を促される仕組み）：購入済みのシートを使い切ると、新しく参加する人ごとに有料シートが自動的に追加される場合があります（TeamまたはEnterpriseの組織を見つけて参加するを参照）。
  • シート数の範囲内に収めるには、メールで招待してください。Team PlanとEnterprise Planのメンバーを管理するをご覧ください。
  • 別のドメインのメールアドレスを使っているスタッフの場合は、先にそのドメインを許可ドメイン（Organization settingsで設定する、参加を許可するメールドメイン）に追加する必要があります。
• 両プラン共通、自組織のドメインで新しい個人アカウントが作られないようにするには：メールドメインを認証し（ウェブサイトのドメインを管理している人がDNSレコードを1つ追加します。認証済みと表示されるまで最大2日かかることがあります）、Restrict organization creationをオンにします。それ以降は、誰も職場のアドレスで新しい個人のClaudeアカウントを作成できなくなり、代わりに招待、招待リンク、組織ディスカバリーのいずれかで組織のアカウントに参加します。

2. 一度だけでなく、繰り返し伝えます。以下の通知文を今日送り、次回の全体会議で改めて伝え、マネージャーにチームで話題にするよう依頼し、スタッフが普段見る場所にポリシーを固定表示してください。まずはRiverbendの文面をコピーし、角かっこ内を置き換えてください（組織でプラグインが有効になっていない場合は、Claudeに尋ねる一文を削除してください）。

ステップ3. 最新の状態に保つ

招待を送ってから1週間後に、Organization settings > Membersを開き、保留中のままの招待を再送してください。次に、ユーザーメニューからAnalyticsを開き、誰が使い始めたかを確認します。そのうえで、カレンダーに90日後のリマインダーを入れます。次の場合は、それより早く見直してください。

• Anthropicがデータの取り扱い方法を変更した場合。ヘルプセンターのリリースノートと製品内の通知を確認してください。元の文書については、トラストセンターでSubscribe to updatesをクリックし、プライバシーセンターと商用利用規約にも注意を払ってください。
• クライアントや寄付者のデータを保持するシステムを接続したい場合
• スタッフがポリシー責任者に同じ質問を繰り返しており、ポリシーがその答えになっていない場合

次のステップ

Enterpriseの管理者：詳しい設定については、引き続きClaude Enterprise 管理者ガイドをご覧ください。すべての方：上記の通知文とあわせて、スタッフ向けのClaude for NonprofitsセッションA Staff Guide to Making Claude Useful on Day Oneをスタッフに送ってください。読んだ後に質問がある場合：管理者向けセッションAn Admin's Guide to Data Handling and AI Use Policyでは、ライブQ&Aを交えてこのチュートリアルを順に説明しています。

さらに詳しく

• 非営利団体向けClaudeを始める：Claude Academyによる、非営利団体向けの料金、認証、非営利団体向けコネクタの解説です。
• 非営利団体向けAI活用力：AnthropicとGivingTuesdayによるコース全編です。その「統合」レッスンが、フェーズ2で紹介したポリシー作成の演習です。
• Claude 101：Claude Academyにある、自分のペースで進められる入門コースです。招待を受け取ったスタッフ向けです。
• 私のデータはモデルの訓練に使用されますか？と組織のデータはどのくらいの期間保存されますか？：署名者に転送すべき、プライバシーセンターの2つの記事です。
• Anthropicトラストセンターとデータ処理補遺：認証、サブプロセッサー、セキュリティ関連文書、およびデータに関する契約条件です。