生成AIは、いま静かにその性質を変えつつあります。これまでのAIは、いわば「相談相手」でした。質問すれば答えを返してくれますが、実際に手を動かすのは人間の側でした。ところが最近のAIは、その一線を越え始めています。ファイルを開いて中身を書き換え、アプリを操作し、決まった時刻に処理を回す——人の代わりに「働く」AIが現れてきました。Claude Cowork（クロード・コワーク） は、その最前線にある道具のひとつです。しかし、この "最も便利な器" には、経営者が見落としがちな落とし穴があります。この番外編では、その落とし穴と対策を、経営者・管理職の視点から整理します。
「動く」AIとしての Cowork
まず、Cowork が何者かを押さえておきましょう。チャット型のAIは、基本的に「答える」だけです。実際の作業はこちら側で行います。Cowork はここを踏み越えます。手元のファイルを開いて書き換え、アプリを操作し、人の監督を最小限にしたまま、一連の作業を最後まで完了させます。
つまり Cowork は、最も自律的に「動く」器です。だからこそ、非技術部門の業務改革の切り札になり得ます。魅力は本物です。
落とし穴——活動が「見えない」
問題は、その便利さの裏側にあります。企業向け（Enterprise）契約では、通常のチャットの利用は監査ログや Compliance API（監査・法務部門が組織のアクティビティ記録を取得する仕組み）の対象になります。誰がいつログインし、誰が設定を変えたかといった組織レベルの操作を、会社として後から追えます（やり取りの中身そのものが残るわけではありません）。ガバナンスの土台があるわけです。
ところが Cowork のセッションは、本稿執筆時点では、その監査ログに記録されません。 複数のセキュリティ事業者の解説によれば、Cowork の活動は Enterprise を含む全プランで、監査ログ（Audit Logs）・Compliance API・データエクスポートのいずれからも除外されており、会話や作業の履歴は利用者のPCの中に保存されます。つまり、管理者が会社の中央から取り出すことができません。最も強力に「動く」器が、最も「見えない」のです。
なぜそうなるのか——問題は「場所」にある
ここが本質です。理由は、AIが どこで働いているか にあります。チャットは、いわば "本社のクラウド" で起きる出来事です。やり取りはすべてサーバーを通ります。ですから会社の管理機能はその上に乗り、「利用者Xが何時に会話を作成した」という記録を中央に残せます。
一方 Cowork は、AIが利用者の "自席のPC" で働きます。手元のファイルを開き、手元でアプリを操作し、作業のメモ（履歴）も、その自席の引き出しにしまいます。本社のクラウドには、その大半が届きません。だから中央の記録に残らないのです。
たとえるなら、チャットは「社内チャットツールを使う社員」に近いといえます。全発言がサーバーを通るので、必要ならIT部門が確認できます。対して Cowork は「社員の自席で働く私設アシスタント」に近いのです。書類を本人の引き出しに整理し、私用ノートに作業記録を残します。本社は、そのアシスタントが何に触れたかの台帳を持っていません。監査人に「このアシスタントは何をしたのか」と問われても、中央には答えがないのです。
なぜこれが「経営問題」なのか
技術の細部に見えて、これは経営判断の問題です。理由は二つあります。
第一に、規制・監査への対応です。 個人情報、金融、あるいは各種の監査枠組みが絡む業務では、「誰が・どのデータに・何をしたか」を証明できないこと自体が失格要件になります。証跡が出せなければ、統制が効いていないと見なされます。したがって、規制のかかる業務に Cowork を置いてはいけません（少なくとも現時点では）。
第二に、「シャドウAI」の再来です。 記録に残らずローカルで動くということは、多くの企業が「統制された導入」で解決しようとしていた 「シャドウAI（会社が把握できないAI利用）」の問題を、公式ツールで再現してしまう ということです。便利さに任せて配れば、見えないAI利用が社内に静かに増殖します。皮肉なことに、統制のために導入したツールが、統制の穴になってしまうのです。
ではどうするか——「見えないまま便利に動く」をやめる
落とし穴の本質は、「会社が把握できないAI利用」が、公式ツールから生まれてしまうことでした。ですから対策のゴールは一つに定まります。「見えないまま便利に動く」状態を、「会社が把握できる範囲で意図的に動かす」状態に変えること です。
先に、前提を一つ。全社員が会社のアカウントで使う、というのは当然の出発点です。ただし、これだけでは足りません。なぜなら Cowork は、会社のアカウントで正しく使っていても記録が残らないからです。本当の対策は、この先の二つにあります。
ここから先は、これまでより少しだけ技術的な話が続きます。細かな設定を経営者ご自身が行う必要はありません。ただ、ここで何が起きているのかを大づかみにでも掴んでおかないと、情報システム部門やベンダーに的確な指示を出すことも、どこまでのリスクを許容するかをご自身の言葉で判断することも、難しくなってしまいます。だからこそ、あえて踏み込んで書きます。用語はできる限り噛み砕きますので、しばしのご辛抱をお願いいたします。
① 入口で絞る——触れるものを最初から限定する
後から監視ができない以上、"何を触らせるか" を先に決めて封じ込める、という発想です。
- 扱ってよいデータを一枚の表にします。 たとえば「入れてはいけない」側に、顧客名簿・与信情報・人事評価・未公表の決算数値・M&A関連資料を並べ、「入れてよい」側に、公開済みのIR資料・プレスリリース・匿名化した集計データ・社内向け一般文書の下書きを並べます。この可否リストを配って周知します。文章で「機微な情報は注意」と書くだけでは、現場は判断できません。
- 繋ぐ先を、決まった場所だけに限定します。 人事共有フォルダ、顧客管理システム（CRM/SFA）、会計システムには接続しません。代わりに「Cowork作業用」フォルダをひとつ用意し、そこに置いたファイルだけを扱わせます。外部サービスとの連携（コネクタ）は初期状態を "ゼロ" にし、業務上どうしても必要なものだけを申請・承認のうえ追加します。
- やらせてよい作業を、先にリスト化します。 許可する例——議事録の整形、長文資料の要約、社内資料の下書き、表計算の集計。当面は外す例——顧客への自動メール送信、外部サイトへのフォーム入力、そして「決まった時刻に無人で動かす」自動実行。最後の一つは、人が見ていない間にAIが作業を進める形になるため、監視できない今の段階では特に避けます。
記録が残らなくても、"入れていいものしか入っていない" 状態にしておけば、万一のときも被害の範囲は最初から限られます。
② 記録を別ルートで作る——見えるようにする
Cowork は会社の通常のログには残しません。ですが、"何をしたか" を別の監視ツールに送る設定は用意されています。これを、使わせ始める 前 にオンにしておきます。
- 監視の "送り先" を、導入前に設定します。 情報システム部門に、Cowork の管理画面（組織設定 > Cowork）で、動作記録の送り先——自社のログ基盤（Splunk、Datadog、Elasticsearch など）——を指定してもらいます。これで「いつ・誰が・どのツールを使い・どのファイルに触れ・何を承認したか」が自社側に残ります。会社側で記録を取る、唯一の標準的な手段です。注意点として、この設定はセッション開始時に読み込まれるため、使い始めた "後" に設定しても、動いている作業には反映されません。ですから配布前に済ませます。
- "触られた側" の記録も、証跡として活かします。 Cowork 自身が中央に記録を残さないのなら、アクセスされる側のシステムに残してもらえばよい、という考え方です。たとえば Cowork を SharePoint や Google Drive、CRM、データベースに繋ぐなら、それらの側のアクセスログに「いつ・どのファイルが読まれ、書き換えられたか」が残ります。ただし限界もあります。相手側のログには「あるアカウントが操作した」とは出ても、それが Cowork なのか本人の手作業なのかを、そのままでは見分けにくいのです。区別したいなら Cowork 専用のアカウントを割り当てて分ける、といった工夫が要ります。また、手元のPC内で完結する作業や、そもそもログを取っていないシステムへのアクセスは、相手側にも残りません。各システムのログを時刻や対象で突き合わせて、初めて一つの記録になる——この手間も見込んでおきます。
- 記録の限界を理解した上で運用します。 こうした記録は、Cowork 側のものも相手側のものも、あくまで "後から振り返る" ための記録であり、危険な操作をその場で止める機能ではありません。また、Cowork 側の記録は、初期設定のままだと会話の本文（入力した文章の全文）まで送られます。本文を残したくない場合は、受け取る側で中身をふせる（マスクする）設定が必要です。「初期設定なら中身は送られない」わけではない——ここを誤解したまま繋ぐと、記録先が新たな漏れ口になります。どう扱うかを、あらかじめ決めておきます。
- PCそのものを守ります。 Cowork の履歴は各自のPCのディスクに残り、しかも他のアプリからも読める形で置かれることがあります。セッションを削除しても一部が残る場合もあります。ですから、Mac は FileVault、Windows は BitLocker でディスクの暗号化を必須にし、端末監視（EDR）を入れ、端末管理（Jamf、Intune など）で会社の管理下に置きます。私物PCや管理外の端末では使わせません。ここまでやって、履歴が "漏れない引き出し" に収まります。
この二つ——入口を絞り、記録を作る——をやって初めて、「Cowork のシャドウAI化を防いだ」と言えます。なお、もう一段上の判断として——監査証跡が必須の規制業務は、そもそも Cowork ではなく、記録が中央に残るチャットに寄せます（開発者向けの Claude Code も実はクライアント側で動くため監査ログの対象外であり、自社の監視基盤へ記録を送る運用整備が前提になります）。器は「便利さ」ではなく「統制要件」から選ぶ、という原則です。使い分けの基準は Cowork と Code、どっちを使う？（番外編） もあわせてご覧ください。
対策の早見表
| 観点 | やること |
|---|---|
| データ | 可否リストを作り、機微情報は「入れない」側に固定する |
| 接続先 | コネクタは初期ゼロ。作業用フォルダ＋申請・承認したものだけ |
| 作業 | 要約・下書き・整形はOK。自動送信・無人の自動実行は当面外す |
| 記録 | 監視ツールへの送信を「導入前」に設定。相手側ログも突き合わせる |
| 端末 | ディスク暗号化・EDR・端末管理を必須に。私物PCでは使わせない |
| 規制業務 | そもそも Cowork ではなく、記録が中央に残るチャットに寄せる |
結び
Cowork の便利さは本物です。基盤のセキュリティ設計そのものも、決して雑ではありません。問題はただ一点、"見えない" ことにあります。ですから、業務改革でこの器を選ぶ基準は「何ができるか」ではありません。「どこまで手を握らせ、どう記録を残すか」です。
最も自律的な道具ほど、統制の設計を先に済ませておく。それが、便利さを "公認のシャドウAI" にしないための、分かれ道になります。Cowork の基本的な使い方から学びたい方は、シリーズ一覧 もあわせてご覧ください。