全社員にClaude Codeを配ったら、一番難しい判断は「制限すること」ではなく「何を制限しないか」だった。

企業がClaude Codeを全社員に配ることになった。エンジニアだけなら自己責任で済むが、非エンジニアまで含めると話が変わる。何ができるのか知らないまま強力な権限を持つツールを渡すことになるからだ。最初のアプローチは「セキュリティ的に正しい設定」を片っ端から入れることだった。禁止できるなら禁止する。制限できるなら制限する。という徹底したロジックで、企業のITセキュリティ担当者たちは設定に臨んだ。だが、その戦略は早々に現実にぶつかった。

現場からの声はすぐに上がった。禁止が多すぎると、肝心の仕事が止まるのだ。営業は営業活動に必要なスクリプトが書けない。経理は経理業務の自動化ができない。企画は企画資料の自動生成ができない。一人ひとりの作業効率が想定より大きく低下してしまったのだ。興味深いのは、ここから見えてくる本質である。セキュリティ設計者は「何を禁止するか」を完璧に詰めるのに力を入れるが、本当に難しいのは「何を禁止しないか」の判断なのだ。禁止するのは簡単。だが現場で本当に必要な自由度を見極め、その領域だけを許可する—その覚悟と責任の方がはるかに重い。完全に安全な状態は、同時に運用も利用も死んだ状態と変わらない。その矛盾に直面するのが、全社展開のリアルである。

この発想の転換は、中小企業のAIツール導入でも全く同じ構図だ。「AIに何をさせないか」を完璧に決めるのではなく、「AIに何をさせるか」を戦略的に選んで、その範囲内では思い切り任せる。その割り切りがないと、導入の効果は出ない。セキュリティも大事だが、現場が萎縮してツールの価値を使いこなせなければ、導入のコストは回収できない。何をするなという制約より、何をするなと言わないかの判断基準の方が、実は組織のデジタル化を左右する。制約と自由のバランスポイントを完璧に引くことはできない。現場で何度も引き直されながら、初めて運用が生きてくるのだ。