ここまでの5回で、チャンネルでの働き方、場所の選び方、メモリと指示、依頼の書き方、そしてルーティンによる自動化を見てきました。最後のレッスンでは、この仕組みを支える権限の設計と、安全に使うための注意を扱います。ここは利用者というより、管理者や情報システム担当が押さえておくべき内容です。
誰が設定できるか
Claude Tagの初期設定と、チャンネルごとのアクセス権の設定は、Claude組織のOwnerだけが行えます。Admin権限を持つメンバーでも、この設定はできません。Slack側でも、ワークスペースの管理者権限を持つ人がペアリング操作を行う必要があります。設定を変更したいとき、まず「自分がOwnerかどうか」を確認するところから始まります。
つなぐものを絞る
Claude Tagは、初期状態では外部のツールに一切アクセスできません。管理者が一つひとつ接続して、初めて使えるようになります。ここでの基本方針は明快です。読み取りは広く、書き込みは狭く、そして信頼が育つにつれて見直す。
接続するツールごとに、Claude専用のアカウントを作ることも勧められています。新しく入ったメンバーにアカウントを発行するのと同じ発想で、Claude用のメールアドレスを作り、各ツールに招待し、そのアカウントでAPIキーを発行します。こうしておくと、Claudeがそのツールで何をしたかが専用のログとして残り、必要なときはそのアカウントだけのアクセスを止められます。個人のログイン情報を使い回すと、この切り分けができなくなります。
接続・リポジトリ・指示などをひとまとめにした単位。チャンネル単位、ワークスペース単位、組織全体のどこに付けるかで、届く範囲が変わる
各ツールにClaude専用のアカウントを作る。個人ログインの使い回しを避け、監査ログと権限の取り消しを本人と切り離す
最初は閲覧中心の権限で始め、信頼できる働きぶりが確認できてから、書き込みや実行の権限を広げていく
サンドボックスと監査
チャンネルでの作業は、認証情報を一切持たないサンドボックス(隔離された実行環境)の中で行われます。外部のツールにアクセスする必要が出たときだけ、内部の中継点を経由して認証情報が渡され、接続先のシステムにはClaude自身のアカウント名で記録が残ります。誰が依頼したかによって、アクセスできる範囲が変わることはありません。この設計のおかげで、Claudeが外部システムで行った操作は、他のメンバーの操作と混ざらずに追跡できます。
医療情報を扱う組織の注意
ここからは、病院や診療所など、患者に関する情報(PHI・保護対象保健情報)を扱う組織に向けた注意です。
注意
Claude TagはBAAの対象外
Claude Tagは、Anthropicが提供するBAA（Business Associate Agreement）の対象に含まれていません。BAAの対象は、HIPAA対応の設定を行ったAPIと、HIPAA対応のEnterpriseプランでのチャットに限られます。Claude TagにPHI（患者の氏名・ID・生年月日・特定できる所見など）を投稿してはいけません。
PHIを扱わない業務であれば、Claude Tagを使うこと自体は問題ありません。 ただし、PHIが絶対にClaudeの目に触れないよう、事前に設定を整える必要があります。公式ドキュメントでは、次のような設定が推奨されています。
医療情報を扱う組織の推奨設定
既定を無効化
ワークスペース全体では既定でオフにし、承認済みのチャンネルだけで個別にオンにする
DMを無効化
組織全体でダイレクトメッセージを使えなくし、チャンネルだけで応答させる
PHIフリーのツールだけ接続
電子カルテや患者連絡ツールは接続せず、コードやドキュメントなどPHIを含まないツールに限る
チャンネル名でブロック
患者対応を連想させる命名パターンのチャンネルは、招待されてもClaudeが読み書きしないよう設定する
Claudeはワークスペート内の公開チャンネルをキーワードで検索できる仕組みを持っており、これは招待されていないチャンネルにも及びます。PHIは、Claudeが有効なチャンネルだけでなく、ワークスペースのどの公開チャンネルにも書き込んではいけない、と考えておくのが安全です。
万一PHIが投稿されてしまった場合は、削除するだけでは不十分です。公式ドキュメントは、プライバシー責任者への報告、Slack上のメッセージ削除、該当チャンネルの記録とメモリの削除、公開チャンネルであればワークスペースメモリの確認、そしてAnthropicへの削除依頼という一連の対応手順を示しています。日頃から、この手順を組織のインシデント対応フローに組み込んでおくことが大切です。
やってみよう
演習1：接続の優先順位を考える
自分のチームで、Claude Tagに接続したいツールを3つ挙げてください。それぞれについて、最初は読み取り専用で始めるべきか、書き込みまで任せてよいか考えてみましょう。
演習2：PHIが混じりうるチャンネルを洗い出す
自分の組織で、患者情報が話題に上る可能性のあるチャンネルを思い浮かべてください。そのチャンネルにClaudeを招待しないルールを、誰がどう決め、どう周知すべきか考えてみましょう。
今日のまとめ
3行で振り返ります。
- Claude Tagの設定と権限付与はOwnerの専権事項で、接続するツールは読み取りを広く・書き込みを狭く、専用アカウントで管理する
- 作業は認証情報を持たないサンドボックスで行われ、外部システムにはClaude自身のアカウント名で記録が残る
- Claude TagはBAAの対象外であり、医療情報を扱う組織は承認済みチャンネルへの限定・DM無効化・PHIフリーのツール接続を先に整えたうえで使う
このコースでは、チャンネルにClaudeが常駐することの意味から、場所の使い分け、メモリの育て方、依頼の書き方、自動化、そして権限設計までを一通り見てきました。ベータ版であるぶん細部は変わっていくので、迷ったときは公式ドキュメントで確かめる習慣を持っておいてください。
セルフチェック
1. Claude Tagの初期設定とアクセス権の設定を行えるのは誰ですか。
2. 接続するツールの権限設計について、本文が勧めている基本方針はどれですか。
3. 医療情報(PHI)を扱う組織について、正しい説明はどれですか。