メルカリ、Claude Code全社展開とガバナンス体制を公開

メルカリは、自律型AIエージェント「Claude Code（ローカルファイル操作やコマンド実行が可能な高度コーディングAI）」および「Claude Cowork」の全社展開におけるセキュリティ体制とガバナンス設計の具体策を公開した。エンジニアと非エンジニアで権限やツールを柔軟に出し分ける仕組みを構築し、利便性と安全性の両立を実現している。

運用の仕組みと確認済みの事実

メルカリは2026年5月から全社でのAIエージェント活用をスタートさせた。非エンジニア約1000人を対象に教育イベント「AI Agent Day」を実施する一方、ローカル操作やコマンド実行権限を持つClaude Codeの展開には厳格なガードレールを設けた。

• ​エンジニア層​: ローカル端末での高度な操作を許可し、Claude Codeを全面活用。
• ​非エンジニア層​: 安全な仮想環境（VM）で動作するClaude CoworkおよびNotion AIを中心に提供。
• ​自動制御のアーキテクチャ​: MDM（Jamf）とIDP（Okta）を連携させ、ユーザーの職種・リテラシー属性に応じて端末設定やアクセス権限を自動的に制御。
• ​シャドーAI対策と基盤​: OSSの「LiteLLM」をGoogle Cloud環境でプロキシとして運用し、短命なAPIキーの発行とコストの可視化（FinOps）を一元管理。

また、ローカル管理者権限を常時付与せず、必要な時にのみSlackから一時申請・自動付与・自動剥奪する自社開発システムを導入し、セキュリティ工数を抑えている。

従来運用との比較と独自価値

多くの企業がAI導入時に「一律禁止」か「一括無制御配布」の二者択一に陥る中、メルカリは「属性別自動制御」と「セキュリティの自動化」を両立させた点が特徴である。

課題項目	従来の課題	メルカリの対応策
権限管理	全員一律設定しかできない	Jamf×Okta連携で属性別の出し分け
アップデート	管理者権限がなく作業が遅延	Slack連携の一時権限借用・自動化
APIキー管理	無期限キーの漏えいリスク	LiteLLMによる短命キーの一括制御

分析と今後の展望

メルカリではPMが直接コードを生成・デリバリーする「職種の越境」が始まっており、今後はローカルPCからクラウド上のリモートエージェント運用への移行を進めている。セキュリティ部門がAI活用を阻害する規制者ではなく、開発基盤を提供するプラットフォームエンジニアとして伴走するモデルは、国内企業のAIガバナンスの標準事例となるだろう。