法人プランを入れても個人アカウントに逃げられる — テナント制限ヘッダで持ち出しを塞ぐ

目次5 sections

法人プランを契約し、SSO を必須にし、学習利用もオフにした。それでも、社員が同じブラウザで個人アカウントにログインし直せば、そこから先は会社の統制の外です。個人プランは有料でも学習利用が既定でオンで、管理者機能もありません。

この「個人プランへの情報持ち出し」を技術的に塞ぐ、ほぼ唯一の手段がテナント制限です。

3社のテナント制限ヘッダ

3社とも、社内のプロキシで特定の HTTP ヘッダを付与し、会社の組織以外へのログインを遮断する方式を用意しています。

提供元	付与するヘッダ	値	対象プラン
OpenAI	`ChatGPT-Allowed-Workspace-Id`	ワークスペースの UUID（複数はカンマ区切り）	ChatGPT Enterprise（公式記載。Business は要確認）
Anthropic	`anthropic-allowed-org-ids`	組織の UUID（複数はカンマ区切り、空白なし）	Claude Enterprise、Console 組織
Google	`X-GoogApps-Allowed-Domains`	自社ドメイン（複数はカンマ区切り）	Workspace 全般

それぞれの補足です。

OpenAI：https://chatgpt.com/* に付与します。未ログインでの利用を塞ぐには https://chatgpt.com/backend-anon/ も遮断します。
Anthropic：claude.ai、api.anthropic.com、claude.com、anthropic.com に付与します。API キーでの認証も対象になるので、個人の API キーを社内から使うことも止められます。
Google：*.google.com に付与し、個人の Gmail アカウントでのサインインを遮断します。

ヘッダを付与するには通信を復号する必要があります。SSL インスペクションに対応したプロキシ（Cloudflare Gateway、Zscaler、Netskope など）と、端末への証明書配布が前提になります。

利用者が自分で付けたヘッダを通さないよう、プロキシ側で常に上書きする設定にします。

ChatGPT のデスクトップ・モバイルアプリは証明書ピンニングがあるため、MDM で証明書を配るか、アプリ用ドメイン（desktop.chatgpt.com など）を遮断してブラウザに寄せます。

プロキシを通らない通信には効きません。条件付きアクセスや端末管理と組み合わせる必要があります。

ここが見落とされやすい点です。

Anthropic は Team が対象外です。Claude Team では、個人アカウントへの持ち出しをこの方法で塞げません。
OpenAI の公式記事は Enterprise のみを対象にしています。一方で Cloudflare の構成例は Business ワークスペースで同じヘッダを使っており、記載が一致しません。Business で使う場合は実機での確認が必要です。
Google の記事は Gemini を名指ししていません。Gemini アプリも Google サインインが前提なので効くはずですが、導入時に実機で確認します。

ブラウザ以外の経路、特にデスクトップアプリとコーディングエージェントは、端末に配る管理設定で組織を固定します。

Claude デスクトップアプリ：forceLoginOrgUUID で組織を固定し、MDM で配布します（macOS は com.anthropic.claudefordesktop、Windows は HKLM:\SOFTWARE\Policies\Claude）。Team でも使えます。
Claude Code：forceLoginMethod と forceLoginOrgUUID で個人アカウントでのログインを塞ぎます。会社の端末で個人プランの Claude Code を使うと、個人向け規約（学習利用あり）が適用されます。
Antigravity：単体の Antigravity IDE は企業向け非対応です。開発者が個人アカウントで使わないよう、テナント制限と端末管理で塞ぎます。

テナント制限は「契約している AI サービスの、会社以外の組織」を塞ぐ仕組みです。契約していない他社の AI サービスには、同じプロキシで未承認サービスへの通信をブロックし、承認済みサービスへ誘導するポリシーを併用します。

もう一つ効くのが、認証基盤側での外部アプリ同意の制限です。こちらは認証基盤で外部AIへのデータ提供を止めるで解説しています。

本記事は2026年10月9日時点の各社公式ドキュメントにもとづきます。対象プランやヘッダの仕様は変わることがあるため、設定前に公式ページと実機で確認してください。