ZOZOの情シスはCTO下で“開発を速める存在”へ──Claude利用を止めないガードレールの育て方

「通した／止めた」の具体策から見る判断フレームワーク

　生成AIの導入における意思決定のブレをなくすため、ZOZOでは取り入れる方向に動くもの／制限をかける方向に動くものを見極めるための導入判断フレームワークを整備している。明確な効果（価値）が見込まれ、かつ参照中心で不可逆な破壊的影響がなく、管理側で統制可能なツールは積極的に許可する方針をとる。一方、管理外の操作経路が存在するものや、自律性が高すぎて制御が及ばない機能については慎重に制限をかけている。全社導入にあたっては特定の部署でPoCを行い、削減効果や管理機能を検証した上で判断する。

　瀬尾氏はこの具体的な事例として、開発実装を大幅に高速化するClaude Codeや資料作成を支援するClaude Coworkの全社展開を挙げた。PoC開発の期間を1週間から1日へと短縮したClaude Codeに対して、瀬尾氏は「価値が明確なものは迅速に通す（許可する）」という前向きな姿勢をとっている。

　また、MCP（Model Context Protocol）による各種SaaS連携についても、IT統括本部が一元管理するアカウント配下で接続することを前提に段階的な開放を進めている。Google DriveやSlack、Boxなどの参照や作成を許可しつつ、データ削除は破壊的で不可逆な操作となるため、カレンダーを除く削除権限は一律で無効化する制御を徹底した。

技術を否定せず「統制の仕組み」を整える

　一方で「許可して終わり」にせず、配布後もガードレールを更新しつづけることで“締める施策”も実行している。Claude Codeの利用にあたっては、最優先設定ファイル「managed-settings.json」を用いて全端末にポリシーを強制適用。これにより、バイパス権限モードの禁止などの制御を行っているとした。Claude Codeが指定されたツールの使用を防止する設定「Deny Rules」に少しずつ設定を追加していくことで「ガードレールを育てながら運用している」と瀬尾氏は述べる。

　一方で利用を止めた機能の事例として、スマホから社内端末を遠隔操作できるRemote Controlや、PC画面を自律的に操作するComputer Useの機能を挙げる。BYOD（Bring Your Own Device）の個人端末を経由する経路は管理外となり、情報漏えいリスクが高いと判断したからだ。また、AIが人間の代わりにGUIを認識し、マウスやキーボードを操作するComputer Use機能も設定で既定オフにし、技術の進歩を全面否定するのではなく、統制の仕組みが整うまでの保留として整理した。