EU 域内で Claude Code を活用する際、GDPR（一般データ保護規則）への対応は避けて通れない経営課題です。私は株式会社デジライズで法人向け AI 導入支援を手がける中で、「Claude を使いたいが GDPR 対応が不安」「既に導入済みだが Article 30 の処理記録をどう整備すればよいか分からない」といった相談を数多く受けてきました。特に法務・コンプライアンス部門の担当者にとって、AI サービスがどのように個人データを処理しているのか、域外移転の法的根拠は何か、データ主体からのアクセス要求にどう対応すべきかといった論点は極めて実務的であり、曖昧な理解のまま進めるわけにはいきません。
本記事では、Claude Code を EU 域内で展開する際に押さえるべき GDPR 対応の実務を、Article 30 準拠の処理記録作成、DPIA（データ保護影響評価）の実施手順、データ主体アクセス要求への対応フロー、域外移転時の SCC（標準契約条項）締結という 4 つの観点から整理します。なお本記事はあくまで一般的なガイダンスであり、個別の法的判断は必ず弁護士等の専門家に相談することを前提としています。
本記事の結論: Claude Code の GDPR 対応は、①処理記録の文書化、②DPIA による高リスク活動の評価、③データ主体権利への応答体制、④域外移転の法的根拠整備の 4 本柱で構成される
Claude Code における個人データの範囲と GDPR 適用の前提
まず GDPR が適用される「個人データ」の範囲を明確にする必要があります。Claude Code の利用において個人データに該当し得るのは、プロンプト入力に含まれる従業員名・メールアドレス・顧客情報・コード内のコメントやログに記載された識別情報などです。GDPR Article 4(1) の定義では、「識別された又は識別され得る自然人に関する情報」が個人データとされるため、直接的な氏名だけでなく、間接的に個人を特定可能な情報も対象となります。
Claude Code の利用形態によって管理者（Controller）か処理者（Processor）かの立場が変わる点にも注意が必要です。自社がプロンプトを作成し処理目的を決定する場合は管理者、Anthropic 社はその処理を代行する処理者という関係になります。この関係性を前提に、Article 28 に基づく処理者契約（DPA: Data Processing Agreement）を Anthropic 社と締結することが GDPR 上の義務となります。Anthropic の公式サポートや契約窓口を通じて DPA の締結を確認し、契約書に Article 28 要件（処理の範囲・目的・データ種別・保持期間・サブプロセッサーの扱いなど）が明記されているかを法務部門でレビューすることが実務の第一歩です。
実務チェックポイント: Anthropic との契約書に「Article 28 準拠の DPA 条項」が含まれているか、サブプロセッサー（AWS 等のインフラ提供者）のリストと通知手続きが明記されているかを確認する
Article 30 準拠の処理活動記録（RoPA）作成
GDPR Article 30 は、管理者および処理者に対して処理活動の記録（Records of Processing Activities: RoPA）の作成・維持を義務付けています。Claude Code の利用に関しても、以下の項目を含む文書を整備する必要があります。
1. 処理の名称と目的 — 例:「Claude Code を用いた社内開発業務支援」。処理目的は「従業員の開発効率向上・コードレビュー補助」など具体的に記載する
2. 処理するデータのカテゴリー — 従業員の氏名・メールアドレス・プロンプト履歴・生成されたコード断片など。特別カテゴリーデータ（人種・健康情報等）を扱う場合は Article 9 の例外根拠も併記
3. データ主体のカテゴリー — 「自社従業員」「業務委託先の開発者」など。顧客データを扱う場合は「顧客」も追加
4. 受領者（データ共有先） — Anthropic 社および同社が利用するサブプロセッサー（AWS 等）を明記
5. 第三国移転 — Anthropic のサーバーが EU 域外（米国等）に所在する場合、SCC 締結や adequacy decision（十分性認定）の有無を記載。詳細は後述
6. 保持期間と削除方針 — 「プロンプト履歴は業務完了後 90 日で削除」など。Anthropic の API 仕様やデータ保持ポリシーを参照し、自社の削除手順と連携させる
7. 技術的・組織的措置（TOMs） — アクセス制御（SSO・MFA）、暗号化（TLS 1.3）、監査ログ、インシデント対応手順など。Claude Code の API セキュリティ設計と併せて記載
この RoPA は Excel や専用ツール（OneTrust / TrustArc 等）で管理し、監督当局からの要請に応じて提出できる状態を維持します。年に一度以上のレビュー・更新サイクルを設け、新しい処理活動の追加や契約変更を反映させることが推奨されます。
データ保護影響評価（DPIA）の実施手順
GDPR Article 35 は、処理が「データ主体の権利と自由に対して高いリスクをもたらす可能性が高い」場合に DPIA の実施を義務付けています。Claude Code の利用が DPIA 対象となるかは、以下の判断基準に照らして検討します。
| 判断要素 | Claude Code 利用での該当可能性 |
|---|---|
| 大規模な自動化された個人評価 | プロンプトに業績データを含め従業員評価を補助する場合は該当し得る |
| 特別カテゴリーデータの処理 | 健康情報や人種情報を扱う場合は該当 |
| 公共空間の大規模監視 | 通常の開発業務では非該当 |
| 新技術の利用 | 生成 AI は「新技術」に該当し得るため、保守的に DPIA を実施する企業も存在 |
EU のデータ保護監督機関（DPA）の多くは、生成 AI 利用に対して DPIA の実施を推奨しています。実務上は以下の手順で進めます。
1. 処理の体系的記述 — Claude Code の利用フロー（どの部署が、どのような目的で、どのデータを、どの頻度で処理するか）を図解化する
2. 必要性と比例性の評価 — 処理目的（開発効率向上）に対して個人データの利用が必要最小限か、匿名化・仮名化の可能性はないかを検討
3. リスクの特定と評価 — データ漏洩（プロンプト内の機密情報が第三者に渡る）、不正アクセス、意図しない出力による差別的結果など、発生確率と影響度を 3×3 マトリクス等で評価
4. 軽減措置の設計 — TLS 暗号化、アクセスログの定期監査、プロンプトのサニタイズルール（個人データ除去）、出力結果の人間レビューなど具体策を列挙
5. DPO（データ保護責任者）への諮問 — GDPR Article 35(2) により、DPO が選任されている場合は DPIA プロセスに助言を求める必要がある
6. 残存リスクの判定と監督当局への事前協議 — 軽減措置を講じても高リスクが残る場合、Article 36 に基づき監督当局への事前協議が必要となる場合がある（実務上は稀）
DPIA 文書はテンプレート（各国 DPA が公開）を活用しつつ、年次でレビューし、利用範囲の拡大や新機能の追加時には再評価を行います。
注意点: DPIA は一度作成して終わりではなく、処理活動の変更や新しいリスクの発見時には更新が必要。監督当局への提出義務はないが、調査時の提出要請に備えて常に最新版を維持する
データ主体アクセス要求（DSAR）への対応フロー
GDPR Article 15〜22 はデータ主体（個人）に対して複数の権利を付与しています。Claude Code 利用において特に対応が必要なのは以下の権利です。
- アクセス権（Article 15）: 自分のデータが処理されているか、どのような目的・範囲で処理されているかを知る権利
- 訂正権（Article 16）: 不正確なデータの修正を求める権利
- 削除権（Article 17, 忘れられる権利）: 特定条件下でデータの削除を求める権利
- 処理制限権（Article 18）: 処理の一時停止を求める権利
- データポータビリティ権（Article 20）: 構造化された形式でデータを受け取る権利
従業員が「Claude Code で自分の名前やメールアドレスがどう使われているか開示してほしい」と要求してきた場合、原則として 1 か月以内に対応する必要があります（Article 12(3)）。実務フローは以下の通りです。
1. 要求の受付と本人確認 — 要求者が真にデータ主体本人であることを確認（社員番号・メール認証等）。なりすまし防止のため適切な本人確認手続きを定める
2. 対象データの特定 — 社内システムで保持しているプロンプト履歴、ログ、出力結果等を検索。Anthropic 側で保持しているデータがある場合は Anthropic に対してサブプロセッサーとしての協力を要請（DPA 契約で協力義務を明記しておく）
3. 開示可否の判定 — 他人の個人データが含まれる場合（例: プロンプトに複数人の名前が記載）、マスキング等の措置を検討。企業秘密や第三者の権利を侵害しない範囲で開示
4. 開示形式の決定 — PDF・CSV 等の構造化形式で提供。Article 20 のポータビリティ権を行使された場合は機械可読形式（JSON 等）での提供が望ましい
5. 削除・訂正要求への対応 — 削除権の行使が正当な場合（処理目的が終了、同意撤回等）、自社システムからデータを削除し、Anthropic にも削除依頼を通知。訂正権の場合はデータの修正を行い、修正内容を通知
6. 記録と報告 — 対応履歴をログに残し、法務部門・DPO に報告。監督当局からの問い合わせに備える
実務上は、プロンプト履歴の検索性を高めるためタグ付けやメタデータ管理を行い、DSAR 対応時の工数を削減する工夫が有効です。また Anthropic との DPA 契約において「データ主体権利行使への協力義務」「協力にかかる応答期限」を明記しておくことで、迅速な対応が可能になります。
実務ヒント: DSAR 対応の平均工数を記録し、頻出するケースにはテンプレート化した回答を用意することで、1 か月の期限遵守を確実にする。年間 5 件以上の要求があれば専用ツール（OneTrust Subject Rights Automation 等）の導入も検討
域外移転と SCC（標準契約条項）の締結実務
Anthropic のサーバーが EU 域外（主に米国）に所在する場合、GDPR Chapter V（第三国への移転）の規定に従った法的根拠が必要です。2024 年 1 月時点で利用可能な主な移転メカニズムは以下の通りです。
| メカニズム | 概要 | Claude Code 利用での適用可能性 |
|---|---|---|
| 十分性認定（Adequacy Decision） | EU 委員会が第三国の保護水準を「十分」と認定 | 米国は EU-US Data Privacy Framework（DPF）の枠組みで十分性認定を取得（2023年7月）。Anthropic が DPF 参加企業であれば追加措置不要の可能性 |
| 標準契約条項（SCC） | EU 委員会が承認した契約条項を締結 | Anthropic との DPA に SCC を組み込む。最も一般的な手法 |
| 拘束的企業準則（BCR） | 企業グループ内での移転ルール | 通常は適用外（Anthropic と自社はグループ外） |
| 特定の例外（Article 49） | 同意取得、契約履行等の限定的状況 | 大規模・反復的処理には不適 |
実務上は SCC の締結 が最も現実的です。EU 委員会が 2021 年 6 月に改訂した新 SCC（Module 2: Controller to Processor）を Anthropic との DPA に組み込み、以下の追加措置を実施します。
1. 移転影響評価（TIA: Transfer Impact Assessment）の実施 — Schrems II 判決（2020年7月）を受け、移転先国の法制度（政府によるデータアクセス可能性等）を評価。米国 CLOUD Act や FISA 702 条による政府アクセスのリスクを検討し、追加的保護措置（暗号化・データ最小化）の必要性を判定
2. SCC 契約の締結 — Anthropic との契約書に SCC 全文（または参照条項）を組み込む。契約言語は英語が一般的だが、重要条項の翻訳を法務部門で確認
3. 技術的・組織的措置（TOMs）の文書化 — SCC Annex II に記載する TOMs（暗号化プロトコル、アクセス制御、インシデント対応手順）を具体的に記述。規制対応の全体像で述べた監査ログ設計等と整合させる
4. サブプロセッサーリストの確認 — Anthropic が利用する下請け業者（AWS、GCP 等）のリストを入手し、各サブプロセッサーも SCC に準拠しているか確認。サブプロセッサー変更時の通知義務を契約に明記
5. 定期レビューと再評価 — 年次で TIA を見直し、移転先国の法改正や裁判所判決（Schrems 判決の続編等）を監視。リスクが高まった場合は追加措置を講じるか、移転を停止する判断も視野に入れる
米国の DPF（Data Privacy Framework）に Anthropic が参加している場合、SCC の代わりに DPF を根拠とすることも可能ですが、DPF 自体が将来的に法的安定性を保つかは予断を許さないため、SCC との併用が保守的な選択肢となります。
法的リスク: Schrems 判決以降、国境を越えたデータ移転は欧州データ保護監督機関の監視対象となっている。TIA を形式的に済ませず、実質的なリスク評価と軽減措置の実施が求められる
インシデント発生時の通知義務と対応手順
GDPR Article 33 は、個人データ侵害（breach）を認識してから 72 時間以内に監督当局への通知を義務付けています（例外あり）。Claude Code 利用において想定される侵害シナリオは以下の通りです。
- プロンプトに含まれた従業員の個人データが不正アクセスにより漏洩
- API キーの誤管理により、第三者が Claude Code 経由で機密情報にアクセス
- 出力結果に意図しない個人データが含まれ、誤って外部共有
インシデント対応フローを事前に整備しておく必要があります。
1. 検知と初動 — 監査ログや異常アクセス検知システムで侵害を早期発見。担当者は直ちに CISO・法務部門・DPO に報告
2. 影響範囲の特定 — 漏洩したデータの種類・件数・データ主体の範囲を調査。Anthropic にもインシデント通知を行い、協力を要請（DPA 契約で通知義務を規定）
3. リスク評価 — データ主体の権利と自由に対するリスクが高い場合は Article 34 に基づくデータ主体への通知も必要。リスクが低い場合は監督当局への通知のみ
4. 監督当局への通知 — 侵害認識後 72 時間以内に、監督当局の指定フォーム（各国 DPA の Web サイトで公開）に必要事項を記入して提出。遅延する場合は理由を説明
5. データ主体への通知 — 高リスクの場合、平易な言葉で侵害内容・想定される影響・自社の対応措置・問い合わせ窓口をメール等で通知
6. 再発防止と文書化 — 侵害原因の根本分析（Root Cause Analysis）を実施し、技術的・組織的措置を強化。インシデント対応記録を保存（Article 33(5)）
実務上は、インシデント対応計画書（Incident Response Plan）を作成し、年次で訓練（Table-Top Exercise）を実施することで、72 時間という短い期限内に確実に対応できる体制を整えます。
ベストプラクティス: インシデント対応チームに外部法律事務所の連絡先を含め、重大侵害時には即座に法的助言を得られる体制を構築。多国籍展開の場合、各国の監督当局への通知フローも整理しておく
クロスボーダー展開における他地域規制との整合
EU 以外の地域でも Claude Code を展開する場合、GDPR と他の規制（米国の州法・中国の個人情報保護法・日本の個人情報保護法等）との整合を図る必要があります。クロスボーダーコンプライアンスで詳述していますが、主なポイントは以下の通りです。
- 米国（CCPA / CPRA）: カリフォルニア州の消費者に対する開示・削除権への対応。GDPR の DSAR フローを CCPA 要件に拡張
- 中国（PIPL）: 国境を越えたデータ移転に対する安全評価・標準契約の締結。中国国内の顧客データを扱う場合は現地法務と連携
- 日本（個人情報保護法）: GDPR ほど厳格ではないが、外国にある第三者への提供時の同意取得・情報提供義務を遵守
実務上は、各地域の規制要件を一覧表で整理し、GDPR 対応を基礎として他地域の追加要件を上乗せする形で管理することで、重複作業を削減できます。グローバル展開を見据える企業は、GDPR を「最高水準」と位置づけ、GDPR 準拠体制を構築すれば他地域対応も比較的容易になるケースが多いです。
まとめ
Claude Code の EU 域内展開における GDPR 対応は、一度整備すれば終わりではなく、継続的なレビューと改善が求められる経営プロセスです。本記事で述べた 4 つの実務領域を改めて整理します。
- 処理記録（RoPA）: 処理の名称・目的・データカテゴリー・受領者・保持期間・TOMs を文書化し、年次レビュー
- DPIA: 高リスク処理に対して体系的にリスクを評価し、軽減措置を設計。DPO への諮問を忘れない
- DSAR 対応: アクセス・削除・訂正等の権利行使に 1 か月以内に対応。Anthropic との DPA で協力義務を明記
- 域外移転: SCC 締結と TIA 実施により、Schrems II 判決後の法的安定性を確保。サブプロセッサーのリスクも監視
これらの実務は法務部門だけでなく、IT 部門・人事部門・DPO が連携して推進する必要があります。特に DPIA や TIA は技術的知識と法的知識の両方を要するため、専門家の助言を得ながら進めることが推奨されます。
株式会社デジライズでは、Claude Code の法人導入支援として、GDPR 対応の実務設計から RoPA・DPIA テンプレートの提供、Anthropic との DPA 契約レビュー支援、インシデント対応訓練まで、一貫したコンサルティングサービスを提供しています。また法務・コンプライアンス担当者向けの研修プログラムでは、GDPR の基礎知識から TIA の実践演習まで、実務に即したカリキュラムを用意しています。「GDPR 対応の進め方が分からない」「既存の対応が十分か不安」といったお悩みがあれば、まずは無料相談でお気軽にご相談ください。欧州展開を見据えた Claude Code 導入を、法的リスクを最小化しながら実現するお手伝いをいたします。
関連記事
- Claude Code 規制対応の全体設計 — GDPR・CCPA・PIPL 等の横断的な規制対応フレームワーク
- Claude Code クロスボーダーコンプライアンス — 多国籍展開における各国規制の整合実務
- Claude Code API セキュリティ設計 — GDPR Article 32（セキュリティ措置）を支える技術的統制