「ChatGPTやClaudeを全社で使いたいが、情シスとして統制ができないので踏み切れない」——この相談を、ここ1〜2年でたびたび受けてきました。クラウドのAIサービスは便利だが、社内で誰がどんなデータを入力しているか追えず、既存のDLP（情報漏えい対策）やSIEM（ログ監視）に乗らない。だから「全社解放は不安、結局はオンプレ環境で立ち上げるしかない」となりがちでした。
2026年5月のAnthropicの発表は、その構図に明確な変化を持ち込みました。Claude Compliance API という新しい統制基盤と、それに接続する 28社のセキュリティ製品 が同時に発表されたのです。Cloudflare の CASB が早速この API と連携し、最初の本格的な実装事例を公開しました。これにより、Claude を既存のセキュリティ運用の延長で扱える道筋が見えてきました。
何が発表されたか——Compliance API と 28 の統合パートナー
Anthropicが発表したのは、企業のIT・セキュリティ部門が、Claudeを「他の業務アプリと同じように管理できる」ようにするための統合プログラムです。中核には Claude Compliance API があり、これを通じて Claude Enterprise の会話内容、アップロードされたファイル、プロジェクト単位のデータに、企業のセキュリティ製品からプログラム的にアクセスできます。
用語メモ｜CASB（キャスビー / Cloud Access Security Broker） — 社員がクラウドサービス（SaaS）を使うときに、その通信や利用状況を監視・制御するための仕組みです。「シャドーIT（情シスが把握していないSaaS利用）の検出」「機密情報のアップロード遮断」「アクセス権の統制」などを担います。CASB が Claude を直接見られるようになる、というのが今回のポイントです。
発表時点で公表された統合パートナーは、Cloudflare、Cribl、CrowdStrike、Cyera、Datadog、Forcepoint、Fortinet、Geordie AI、IBM Guardium、Microsoft Purview、Mimecast、Netskope、Okta、Palo Alto Networks、Proofpoint、Relativity、ReliaQuest、Rubrik、SailPoint、Smarsh、Snyk、Sumo Logic、Tenable、Theta Lake、Trellix、Varonis、Wiz、Zscaler の28社です。日本企業でも導入実績の多いベンダーが名を連ねています。
28連携をカテゴリで俯瞰する
数だけ聞いてもピンと来ないので、機能別にカテゴリ分けして俯瞰します。情シスの守備範囲のどこに、どんなツールが効くかを地図化したものが下の図です。
ここで読み取りたいのは、Anthropicが「特定の1社と独占連携」ではなく、情シスが普段から使っている『定番ツール群』のほぼ全領域にバランスよく接続した、ということです。Identity（ID管理）にはOkta・SailPoint、DLPにはMicrosoft Purview、SIEMにはCrowdStrikeやDatadog、SASEにはCloudflareやZscaler——どこかに既存契約がある日本企業は多いはずです。
用語メモ｜DLP / SIEM / SASE — 情シスでよく使われる3つの基本概念です。DLP（Data Loss Prevention）は社外秘・個人情報の漏えい防止。SIEM（Security Information and Event Management）は社内のあらゆるログを集めて異常を検知する監視基盤。SASE（Secure Access Service Edge）はネットワーク層でアクセスを統制する仕組み。今回の28連携は、この3領域すべてをカバーします。
Cloudflare CASB との連携——最初の本格実装
28連携のうち、最初に具体的な実装が公開されたのが Cloudflare CASB との統合です。仕組みは次の4ステップに整理できます。
この4ステップで何が嬉しいかというと、情シスが「Claude 専用の監視ダッシュボード」を新しく構築する必要がないという点です。普段使っているCloudflare CASB の画面で、他のSaaS同様にClaudeの利用状況を見られる。違反検知のルールも、すでに整備している既存ポリシーをそのまま使えます。「またひとつ新しいツールを覚える」コストが大幅に減ります。
検出できる典型例は3つです。一つ目は シャドーIT検出 — 情シスが許可していない部署や個人が Claude Enterprise を勝手に使い始めていないか。二つ目は データ漏えい検知 — 個人情報や社外秘の文書が Claude のチャットに貼られていないか。三つ目は コンプライアンス違反警告 — 業界規制（金融・医療など）に抵触する利用パターンを検知。いずれも、Cloudflareがすでに他のSaaSに対して提供している機能を、そのままClaudeに広げる形になります。
日本企業にとって何が変わるか——オンプレかクラウドかの二択を超える
これまで日本企業の生成AI導入は、しばしば「クラウドのChatGPTやClaudeは怖い、オンプレでセルフホストするしかない」という二択で議論されてきました。オンプレは確かに統制しやすい一方、運用コスト・モデルの更新ペース・性能の差を引き受けることになります。一方クラウドは便利だが、情シスから見れば「ブラックボックス」でした。
今回の28連携は、この二択に第三の選択肢を加えます。クラウドのClaudeをそのまま使いつつ、自社が普段使っているセキュリティ製品で統制を効かせる、という道です。クラウドAIの性能と、オンプレ的な統制感の両立がはじめて現実的に語れる段階に入ったといえます。社内でAIを安全に回す体制づくりの全体像は、中小企業のための生成AI運用ルール整備ガイドもあわせてご覧ください。
ただし、これは「クラウドが完全にオンプレを置き換える」という話ではありません。データ主権が法令で厳しく縛られる領域（医療の一部・防衛・金融の機微な領域）では、いまもオンプレに優位があります。今回の28連携は「クラウドかオンプレか」を二項対立で考えてきた多くの企業に、もう一つの実用的な選択肢を与える、というのが正確な理解です。
情シスの検討フレーム——どこから手をつけるか
「28連携と言われても、自社はどこから整えるか」と迷う場合、現実的な順序はおおむね次のとおりです。まず Identity（Okta / SailPoint 等のID管理） から手をつける——誰がClaudeを使えるかを既存のIDで束ねるのが、もっとも費用対効果が高い第一歩です。
次に DLP（Microsoft Purview 等のデータ保護） で、入力されるデータの種別ルールを定義します。続いて SIEM（CrowdStrike / Datadog / Sumo Logic 等） に Claude の利用ログを流し、既存の異常検知に乗せる。SASE / CASB（Cloudflare / Zscaler / Netskope） はアクセス経路全体の統制を担います。脆弱性スキャン・eDiscovery（Wiz / Snyk / Theta Lake 等） は AI 利用ポリシー自体の運用フェーズで効いてきます。AIコーディングエージェント特有のリスクとガバナンスは、AIコーディングエージェントのセキュリティとガバナンスも参考になります。
ここで重要なのは、「全部いっぺんに」ではなく、自社にすでに導入済みのセキュリティ製品から段階的に Claude へ広げるという姿勢です。新規導入のための予算交渉ではなく、既存契約の延長として情シスが提案できるのが、今回の連携の最大の現実的メリットになります。「AIを入れただけ」で逆効果になる構図については、昨日公開した記事も参考になります。
もうひとつ実務的なコツとして、「監視は緩く、ブロックは厳しく」の二段構えで始めると失敗が減ります。最初から全社員の Claude 利用をすべて遮断するルールにすると、現場が抜け道を探し始めてシャドーITが増えるだけです。可視化（誰がいつ何を入力したかをログとして集める）は広く・浅く始め、ブロック・警告のルールはまず明確に守りたい少数の機密領域に絞る。運用しながら徐々に範囲を広げるのが現実解です。今回の28連携は、この『可視化を先に立てる』アプローチと相性が良く、CASB・SIEM側で観測しながら段階的にDLPルールを締めていく運用に自然に乗ります。
残る課題——ChatGPT・他社AIの統制はどうする
正直に書いておくと、今回の発表は Claude（Anthropic製品）の統制が前進した話であって、ChatGPT・Gemini・Copilot など他社サービスの統制が一挙に解決するわけではありません。OpenAIやGoogle、Microsoftもそれぞれ企業統制機能を強化していますが、API・連携先・ポリシー記述方法は各社で異なります。
実務的には、「自社で最も使う1〜2つのAIサービスに対して、既存のCASB / SIEM / DLPと統合できるかを評価する」ところから始めるのが現実解です。Claudeの今回の28連携は、その評価の「あるべき水準」を示したベンチマークとも言えます。今後、他社も追随して企業統制を強化していく流れになるでしょう。
まとめ｜「クラウドAIは怖い」が、確かに古くなりつつある
「クラウドAIは情シスが見られないから怖い」という前提は、2026年5月をひとつの節目に、確実に古くなり始めています。Anthropic の Compliance API と28連携、その先頭を切った Cloudflare CASB の実装は、クラウドAIを既存のセキュリティ運用に組み込む現実的な手段を提供しました。
情シスにとっての論点は、もはや「クラウドAIを許可するか禁じるか」ではなく、「自社の既存セキュリティ製品から、どのAIをどこまで統制できるか」に移ります。生成AIで社内が動き出すスピードを、統制側のスピードでも追えるようになってきた——そんな転換点として、今回の発表は読み取れます。最新のAIによって弱体化したセキュリティ対策の動向はAIに破られやすくなったセキュリティ対策ランキングもあわせて読むと、攻めと守りの全体像が掴めます。
はてなベースは、「クラウドAIを安全に全社展開したい」を、既存のセキュリティ製品とAIをつなぐところからご支援します。業務フローへのAIエージェントの組み込み設計、AI活用の土台となる社内データの統合・整理、そして「クラウドはどうしても不安、オンプレで完結したい」という企業向けのオンプレミス生成AI導入まで。情シスと事業部の両方の目線で、現実的な落としどころを一緒に設計します。