Claude Fable 5 企業導入の落とし穴｜30日データ保持・ZDR無効化・Microsoft社内利用禁止の真相と導入可否チェックリスト【2026年10月最新】

Claude Fable 5 と後継の Fable 5.1 は、Anthropic が「Covered Models」に指定したモデルで、原則としてプロンプトと出力を最低30日保持することが利用条件です。ZDR（ゼロデータ保持）の組織やワークスペースからはそのまま呼べません。ただし2026年9月1日からは、条件を満たす企業が EFS（Enterprise Frontier Safeguards）が整うまでの暫定措置として、Fable 5 / 5.1 を ZDR で使える申請ルートが用意されています。

Fable 5 がリリースされた2026年6月の時点では「例外なく30日保持で、免除の申請もできない」状況でした。10月時点では、ワークスペース単位で30日保持をオンにする方法と、暫定ZDRを申請する方法の2つがあり、判断の材料が変わっています。

この記事でわかること

• 30日データ保持の中身と、ZDRの組織で Fable が使えなくなる仕組み
• 2026年9月に発表された EFS と暫定ZDRの要点、申請の窓口
• Microsoft の社内利用制限で、報道から確認できる事実と確認できないこと
• Claude API・Amazon Bedrock・Google Cloud Agent Platform・Microsoft Foundry・GitHub Copilot・Claude Code の経路別の扱い
• 情報システム・法務・経営の3つの立場で使える導入可否チェックリスト
• ZDR を守りたいときの代替モデル（Opus 5.5 ほか）の選び方

想定読者：Fable 5 / 5.1 の社内導入を検討している情報システム部門、法務・コンプライアンス担当者、CTO、情報セキュリティ担当者

最初に確認：Claude Fable 5 の企業利用における3つの絶対条件

出典: Anthropic 公式サイト

企業で Fable を使う前に押さえるべき条件は、「データ保持」「対象モデルの範囲」「提供の継続性」の3つです。モデルそのものの性能や料金は Claude Fable 5とは と Claude Fable 5.1とは で解説しているので、この記事では導入時の制約に絞ります。

3つ目の停止については Claude Fable / Mythos の米国輸出規制による提供停止 で経緯をまとめています。企業のコンプライアンスに最も大きく関わるのは、1つ目のデータ保持です。

2026年6月からの主な動き

「30日データ保持」が問題になる理由とZDR無効化の仕組み

出典: Claude Platform Docs（Anthropic 公式）

Fable を呼ぶと、ZDR の契約や設定があっても、そのリクエストには ZDR が適用されません。他のモデルの ZDR が無効になるわけではなく、「Covered Models だけ ZDR の対象外」というのが正確な理解です。「ZDR無効化」という言い方は、この点で誤解を招きやすい表現です。

ZDR（ゼロデータ保持）とは何か

ZDR は、API に送ったプロンプトと出力を、悪用検知などのために保存しない取り決めです。医療・金融・法律など機密性の高いデータを扱う企業が、自社の規程や顧客との契約を守るために結んできました。通常の API でも入出力はふつう30日以内に削除されますが、ZDR はそれより厳しい条件です。

なお、コード実行やプログラム的なツール呼び出しなど一部の機能は、Fable 以外のモデルでももともと ZDR の対象外です（コンテナのデータを最大30日保持）。「ZDR契約がある＝全部保存されない」とは限らない点も確認しておくと安全です。

Fable 5 で ZDR が機能しなくなる理由

Anthropic の公式ドキュメント（API and data retention）には、次のように書かれています。

Claude Fable 5.1, Claude Mythos 5.1, Claude Fable 5, and Claude Mythos 5 ... require 30-day data retention; ZDR is therefore not available for any of them unless expressly authorized by Anthropic.

理由は悪用の検知です。悪用の中には、1件ずつ見ても分からず、多数のリクエストを並べて初めて分かるものがあります。そのため Anthropic は、保持した利用データを一定期間まとめて評価する仕組みを Covered Models に組み込んでいます（Covered Models ヘルプ記事）。

データ保持の条件を満たさない組織から Claude API で Fable を呼ぶと、400 invalid_request_error（"In order to access this model, your organization or workspace must have data retention enabled."）が返ります。データは守られますが、アプリ側でモデル名を claude-fable-5 や claude-fable-5-1 に切り替えた時点でサービスが止まる、という思わぬトラブルは起こり得ます。

保持期間の全体像

Fable の30日だけを見ていると、他の保持期間を見落とします。公式に示されている期間を並べると次のとおりです（Privacy Center と Covered Models ヘルプ記事より）。

保持データは「有害なコンテンツを検出する自動の安全システム」で評価されます。学習については、公式に「保持データは明示的な許可なしにモデルの学習に使われない」と書かれています。一方、保持データを Anthropic の人が確認するかどうかは、ヘルプ記事に明記されていません。「Anthropic の担当者が30日間データを見る」と決めつけず、「人による確認の有無は公式に書かれていない」として社内で評価するのが妥当です。

2026年9月の変更：EFS（Enterprise Frontier Safeguards）と暫定ZDR

出典: Anthropic 公式サイト

2026年9月1日、Anthropic は企業向けの新しい安全対策 EFS を発表しました（Anthropic 公式発表）。ZDR に近いプライバシーと悪用検知を両立させる仕組みで、EFS が整うまでの間、条件を満たす企業は Fable 5 / 5.1 を ZDR で使えます。CNBC などは「顧客の反発を受けた方針変更」と報じています。

EFS の仕組み

ただし、データ保持そのものがなくなるわけではありません。保存場所が Anthropic から顧客のクラウドに移る仕組みなので、自社のストレージ内で保持データをどう管理するか（アクセス権、保存期間、監査）は自社の責任になります。

暫定ZDRの申請ルート

適格条件の詳細は公開されていません。申請すれば必ず通るものではない前提で、通らなかった場合の代わり（ワークスペースの分離か、別モデルの利用）も用意しておくべきです。期限も2つの書き方があるので、年明け以降の扱いはアカウントチームに文書で確認してください。

Microsoft社内利用禁止の経緯と根拠：報道から確認できること

Microsoft の件は、一次報道（The Verge、2026年6月10日）によると「社員向けの社内版 GitHub Copilot のモデル選択肢から Fable 5 を外した」という制限です。報道では「一時的な禁止」とも表現されました。理由は Anthropic のデータ保持要件で、社員には「法務チームが評価中」と伝えられています。

制限の概要

一部では Microsoft の社内ポリシーの名称や条項、対象人数まで語られることがありますが、一次報道で確認できるのは上の表の範囲です。社内で説明するときは、報道で裏付けのとれる事実に絞るのが安全です。

GitHub Copilotでの扱いと注意点

制限されたのは Microsoft の社員の利用で、他社が GitHub Copilot で Fable を使うことは止められていません。2026年9月1日には Fable 5.1 も Copilot Pro+ / Max / Business / Enterprise で一般提供されました（GitHub Changelog）。

Business / Enterprise では、管理者が Fable 5.1 のポリシーを有効にしないと使えません（既定はオフ）。有効にすると、データ保持の要件に同意したものとみなされます。開発者からの要望でポリシーを先に有効にしてしまうと、法務の確認を経ないまま30日保持に同意した状態になるので、有効化の承認者を決めておくことが大切です。

Microsoft の事例から得られる教訓：自社のサービスとして外部に売っているモデルでも、社内では使わない判断はあり得ます。データ保持の条件は「モデルが良いかどうか」とは別の物差しで評価する必要があります。

プラットフォーム別：AWS Bedrock / Google Cloud Agent Platform / Azure Foundry の追加リスク

出典: Amazon Web Services 公式サイト

30日保持の要件は、Fable を提供しているすべての経路に適用されます。違うのは「保持データが誰の環境に残るか」と「手続きの窓口」です。経路ごとに整理すると次のようになります。

旧称の「Vertex AI」は、公式ドキュメントでは現在「Google Cloud Agent Platform」と表記されています。

AWS Bedrock 経由の重要な注意点

Bedrock と Google Cloud Agent Platform では、保持データはクラウド事業者の環境内に残るとされています。ただし、具体的な有効化の手順や保存場所の詳細は、公式では「各プラットフォームの資料を確認」とされるだけです。「Bedrock だから自社のAWS境界から出ない」と決めつけず、AWS の担当者に保存先と保存期間を文書で確認してください。

Google Cloud Agent Platform 経由

扱いは Bedrock と同様で、保持データは Google Cloud の環境内に残ります。データの所在地（リージョン）の要件がある企業は、Fable を使えるリージョンと保持データの保存先が一致しているかを確認する必要があります。

Microsoft Foundry（Azure）経由

Foundry には、Azure 内で推論する「Hosted on Azure」と、Anthropic のインフラで推論する「Hosted on Anthropic」の2つの方式があります。Hosted on Azure ではプロンプトと出力が Azure 内に留まりますが、Fable 5 / 5.1 と Mythos 5 / 5.1 は Hosted on Anthropic でしか提供されていません（Claude in Microsoft Foundry）。「Azure を使っているからデータは Azure の外に出ない」という前提は、Fable では成り立たないと考えてください。Anthropic は Microsoft の独立した処理者（independent processor）で、Foundry の利用者には Anthropic のデータ利用条件が適用されます。

HIPAA 対応状況の整理

米国の医療情報を扱う企業は、BAA（事業提携契約）の範囲で Fable を使えるかを確認する必要があります（Covered Models under a BAA）。

1つの API 組織で HIPAA 対応と ZDR は両立しません。両方が必要なら、組織IDを分けて運用します。

Claude Code を使っている組織の注意点

ZDR 組織では、Fable は /model の一覧に出ないか、無効表示になり、サーバー側でも拒否されます。best エイリアスは、Fable を使える組織では最新の Fable、使えない組織では Opus に解決されます（Claude Code ZDR docs）。

見落としやすいのは、開発者が個人アカウントや別組織の API キーでログインすると、会社の ZDR の対象外になる点です。管理設定の forceLoginMethod / forceLoginOrgUUID で、ログイン先を会社の組織に固定できます。Claude Code の設定全般は Claude Codeセキュリティガイド で解説しています。

分類器による拒否とフォールバックが企業業務に与える影響

出典: Anthropic 公式サイト

Fable にはリアルタイムの安全分類器があり、サイバーや生物学などの領域でリクエストを拒否することがあります。公式は「Refusals and fallback」のドキュメントで、拒否されたときに別モデルへ切り替える方法を案内しています。業務で使うなら、拒否が起きる前提で作っておくことが必要です。

• サーバー側の fallbacks パラメータで、拒否時に別モデルへ切り替えられる。Microsoft Foundry では使えないため、クライアント側で切り替えを実装する
• 拒否の判断基準は Anthropic が決める。企業側で感度を調整する手段は公表されていない
• セキュリティ診断・創薬・バイオ研究のように業務の中心が分類器の対象領域に近い企業は、本番前に実際のプロンプトで拒否の頻度を測っておく

拒否が起きた具体的な事例は Claude Fable のガードレール論争 と Claude Fable 5 の生物学セーフガード でまとめています。

Fable 5.1 に移るときに既存コードが動かなくなる変更

Fable 5 から 5.1 へモデルIDを変えるだけでは済まない変更が3つあります（Fable 5.1 overview）。

1. ツール使用の強制（forced tool use）はエラーになる
2. 5.1 の thinking ブロックは Fable 5.1 / Mythos 5.1 でしか読めない（フォールバック先のモデルには渡せない）
3. 過去のターンを編集すると thinking ブロックが無効になる

Adaptive thinking は常時オンで、既定の effort は high です。フォールバックとモデル切り替えを組み合わせる設計では、2つ目の制約の影響が特に大きくなります。

法務・コンプライアンス担当者が見落としがちな3つのリスク

データ保持は、技術の設定よりも契約と社内規程の側で問題になります。特に次の3つは、設定画面だけを見ていると気付きにくいリスクです。個別の法的判断は、自社の弁護士に確認してください。

リスク1：弁護士・クライアント特権と守秘義務

法律事務所や企業の法務部門では、機密性のある法的なやり取りを第三者のサーバーに保存することが、守秘義務や（米国の場合は）弁護士・依頼者間の秘匿特権との関係で問題になり得ます。保持データは自動の安全システムで評価され、人による確認の有無は公式に書かれていません。この不確かさ自体を、社内でどう評価するかが論点です。

問題になりやすい業務は次のとおりです。

• 訴訟戦略・準備書面の作成補助
• 証拠開示（eDiscovery）の分析
• 依頼者との機密メールの起案
• M&A・組織再編に関わる文書

機密性の高い法務業務は、ZDR の範囲で使えるモデル（Opus 5.5 など）に分けるのが現実的です。

リスク2：既存クライアント契約・NDA との抵触

顧客との秘密保持契約（NDA）やデータ処理契約（DPA）に「処理データを第三者のサーバーに保存しない」「再委託先の保存期間は○日以内」といった条項があると、30日保持がそれに触れる可能性があります。

確認すべき既存の文書は次のとおりです。

• 顧客との SLA・DPA（「データ保存期間」「再委託」の条項）
• SOC 2 報告書や委託先一覧のサブプロセッサーの記載
• 従業員向けの AI 利用規程（Fable の扱いを書き足す必要があるか）

Anthropic 側の侵害時の通知は、顧客との契約と DPA に従うとされています。自社の契約が Anthropic の DPA の内容と矛盾しないかも見ておきます。

リスク3：GDPR データ最小化原則と日本の個人情報保護法

EU の GDPR は、個人データの保存を目的に必要な範囲に限るよう求めています（データ最小化・保存制限の原則）。タスクが終わった後も30日保持される設計を、自社の処理目的の中でどう説明するかは整理が必要です。

日本企業の場合は、個人情報保護法の外国にある第三者への提供（越境移転）や委託先の監督の規定との関係を確認します。ISMS（ISO/IEC 27001）やプライバシーマークを取得している企業は、委託先管理の手順に Fable の保持条件を反映させる必要があります。生成AI全般のセキュリティの考え方は 生成AIのセキュリティ で整理しています。

ZDR契約組織向けの公式ワークアラウンド（3つの選択肢）

出典: Claude 公式サイト

ZDR の契約がある組織が Fable を使う方法は、10月時点で3つあります。どれを選ぶかは、扱うデータの機密度と、暫定措置の期限をどう見るかで決まります。

方法A の設定手順（公式）

1. Claude Console の Data retention ページを開く
2. 上部のドロップダウンで、Fable を使わせたいワークスペースを選ぶ
3. Standard data retention（30日保持）を選んで Save を押す
4. 確認ダイアログで条件に同意する（同意して初めて有効になる）

そのワークスペースでだけ Fable が使えるようになり、他のワークスペースは ZDR のまま残ります。Default Workspace は常に組織の設定に従うので、Fable 用には別のワークスペースを作る必要があります。

運用の注意点

• 30日保持をオンにしたワークスペースは、「機密度の低い業務専用」と決めて運用する
• そのワークスペースの API キーを誰が持てるかを管理する。SSO（SAML / Microsoft Entra ID）のグループでアクセス権を分けておくと管理しやすい
• 保持設定を変えた日時と承認者を記録しておく。監査で「いつから30日保持に同意していたか」を説明できるようにする

企業導入可否チェックリスト：情報システム・法務・経営の3視点から

部門ごとに、担当者が単独で確認できる単位にまとめています。チェックが付かない項目が残っているうちは、本番データでの利用を止めておくのが安全です。

情報システム部門

法務・コンプライアンス部門

日本固有の確認事項

経営・ガバナンス

法務・コンプライアンス部門の項目9〜16は、1つでも未確認のまま本番データを流すと、契約違反や規程違反につながるおそれがあります。

Fable を自社の業務システムに組み込む場合は、ワークスペースの分離やモデルの切り替え、拒否時のフォールバックまで実装の範囲が広がり、改修の規模も変わります。方法と費用の目安は AI開発の費用相場（AI受託開発の改修・PoC・本開発の価格と見積の内訳） で整理しています。

代替モデル比較：ZDR対応モデルとFable 5の選び分け

出典: Anthropic 公式サイト

ZDR を守りたいなら、Covered Models に指定されていないモデルを使います。公式も「ほとんどの用途はまず Claude Opus 5.5 から」と案内しており、Fable 5.1 は難しい推論や長時間のエージェント作業で Opus 5.5 を高い effort で試しても足りないときの選択肢、という位置づけです。

ZDR の契約でも、コード実行など一部の機能は対象外になる点はどのモデルでも同じです。Opus 系と Fable の違いは Claude Opus 5 と Fable 5 の比較 と Claude Opus 5.5とは、Mythos については Claude Mythosとは で解説しています。

Claude アプリのプラン別の扱い

claude.ai のチャットや Claude Code をプランで使う場合、Fable の使える範囲と料金の扱いはプランと席の種類で変わります（Claude Fable models on your plan）。

50%は上乗せではなく、週の上限のうち Fable に使える割合の上限です。なお、Team / Enterprise の製品画面（claude.ai のチャットなど）は、もともと ZDR の対象外で、組織設定（Organization settings > Data and privacy）の保持ポリシーに従います。利用クレジットの細かい仕組みは Claude Fable 5 の利用クレジット、料金全体は Claudeの料金 で確認できます。

自社のパターンはどれ？導入判断フロー

自社の状況を3つのパターンに当てはめると、判断が速くなります。

パターンA：すぐに導入してよい

次の条件をすべて満たす場合です。

• ZDR の契約がない、または Fable 用に分けたワークスペースで使う
• 個人情報や顧客の機密データを送らない（開発・検証、公開情報の整理など）
• 顧客との契約に、保存期間や再委託先の制限がない

→ 社内の利用規程に保持条件を書き足したうえで有効にします。拒否や提供停止に備えた切り替え先は用意しておきます。

パターンB：部門・ワークスペースを限って導入

次のどれかに当てはまる場合です。

• 機密度の高いデータと低いデータが混在している
• ZDR の契約があり、ワークスペースの分離か暫定ZDRが必要
• ISMS やプライバシーマークの規程を更新する必要がある
• 一部の顧客契約に30日保持を認めない条項がある

→ 機密度の高い業務は Opus 5.5 などの ZDR の範囲で続け、低い業務に限って Fable を入れます。機密業務でも Fable が必要なら暫定ZDRを申請します。

パターンC：導入を見送る

次のどれかに当てはまる場合です。

• HIPAA / BAA の対象業務があり、構成の整理が終わっていない
• 医療・金融の顧客データを API に送っている
• 守秘義務の強い法務業務が利用の中心になる
• 暫定ZDRが通らず、30日保持を受け入れられない

→ EFS の一般提供と自社の構成が固まるまで、Opus 5.5 / Sonnet 5.5 で続けます。

Fable 5の導入をおすすめできる企業・見送るべき企業

Fable 5の導入をおすすめできる企業

• 開発会社・スタートアップ：顧客の個人情報を送らず、コード生成や技術文書、社内ツールの開発に使う
• 長時間のエージェント作業が多いチーム：1Mトークンのコンテキスト、最大128Kの出力を活かした大規模なコード解析や多段階のリサーチ
• ワークスペースを分けて運用できる組織：機密度の低い業務は Fable、機密業務は Opus 5.5 と、使い分けの仕組みを作れる
• 自社クラウドで保持データを管理できる大企業：EFS が始まれば、保存先を自社のストレージにして監査まで自社で持てる

Fable 5の導入を現時点で見送るべき企業

• 医療機関・製薬会社：PHI を扱い、HIPAA / BAA と ZDR の構成整理が終わっていない
• 法律事務所・企業の法務部門：守秘義務の強い業務が中心で、第三者の保存を避けたい
• 金融機関・保険会社：顧客の金融データの保存期間に、業界の規程や監督当局の指針から制約がある
• ISMS・プライバシーマーク取得企業：委託先管理と越境移転の規程の更新が終わっていない
• セキュリティ診断・バイオ研究が中心の企業：分類器の対象領域に近く、拒否で業務が止まりやすい

Claude 全体の位置づけは Claudeとは、Claude Code の基本は Claude Codeとは で解説しています。

よくある質問（FAQ）

Q. 暫定ZDRは誰でも申請できますか？

A. 「条件を満たす顧客」が対象で、適格条件の詳細は公開されていません。公式で確認できるのは、社内業務用途に限った期間限定の措置であること、Anthropic かクラウド事業者から連絡が来るか申請フォームで申し込むこと、の2点です。GitHub Copilot 経由なら GitHub のアカウントチームが窓口になります。

Q. 暫定ZDRはいつまで使えますか？

A. Anthropic は「EFS が整うまで」としています。GitHub Changelog は Fable 5 について「暦年末まで」の例外と書いています。2026年10月20日時点で EFS の一般提供は発表されていないため、年明け以降の扱いは契約窓口に確認してください。

Q. Fable 5 から Fable 5.1 に切り替えれば ZDR で使えますか？

A. 使えません。Fable 5.1 も Mythos 5.1 も2026年8月31日に Covered Models に指定されており、30日保持の条件は Fable 5 と同じです。

Q. Microsoft の社内利用制限は解除されましたか？

A. 2026年10月20日時点で、解除の公式発表や報道は確認できません。当初の報道でも Microsoft はコメントしておらず、「法務チームが評価中」と社員に伝えたとされるだけです。

Q. Microsoft Foundry 経由で Fable を使えば、Azure の中でデータが完結しますか？

A. 完結しません。Fable は Foundry では「Hosted on Anthropic」でしか提供されておらず、Anthropic のインフラで推論されます。プロンプトと出力を Azure 内に留められる「Hosted on Azure」は Fable では選べません。

Q. EFS が始まれば、データ保持はなくなりますか？

A. なくなりません。保存先が Anthropic から自社のクラウド（Amazon S3 など）に移り、確認も自社の担当者が行う形になります。自社のストレージ内で保持データのアクセス権と保存期間を管理する責任が生じます。

Q. ZDR の組織で Claude Code の best エイリアスを使うと、どのモデルになりますか？

A. Fable を使えない組織では Opus に解決されます。Fable を使える組織では最新の Fable になるため、ワークスペースや組織によって実際のモデルが変わる点に注意してください。

まとめ：2026年10月時点の推奨アクション

Fable 5 / 5.1 は、原則として30日のデータ保持を受け入れて使うモデルです。6月の時点と違い、今はワークスペースの分離と暫定ZDRという2つの道があるので、「使えない」と決める前に自社の条件と照らし合わせる価値があります。

今すぐ確認すべき3点

1. どの経路で Fable を使うかを決め、その経路で保持データがどこに残るかを確認する。Foundry は Hosted on Anthropic のみ、Copilot は有効化が保持への同意になる点に注意する
2. 既存の ZDR 契約・BAA・顧客との NDA と DPAが、30日保持と矛盾しないかを法務が確認する
3. 3つの選択肢から選ぶ：機密度の低い業務はワークスペースを分けて30日保持、機密業務でも必要なら暫定ZDRを申請、どちらも難しければ Opus 5.5 で ZDR を維持する

EFS の展開開始や暫定ZDRの期限は、これから数か月で変わる可能性が高い部分です。導入の判断は一度で終わらせず、四半期ごとに見直す前提で進めるのが安全です。