Codex を現場に配ると、情報システム部門には「コードは外に出るのか」「勝手にコマンドを実行しないのか」「誰が何をしたか追えるのか」という質問が返ってきます。この記事では、OpenAI の公式ドキュメントとヘルプセンターに書かれている範囲で、法人導入時に確認すべき論点を整理します。2026年9月時点の公式記載を前提にお読みください。

「ローカルで動く」と「情報が外に出ない」は別の話

Codex は ChatGPT デスクトップアプリ・CLI・IDE 拡張では「ローカル」で動きます。これは、ファイルの読み書きやコマンドの実行が利用者の PC 上で行われるという意味です。しかし公式ドキュメントは「Local execution does not mean offline or device-only model inference.」と明記しています。モデルの推論は OpenAI 側で行われ、タスクに必要なファイルの抜粋、プロンプト、スクリーンショット、ブラウザの内容、ツールの実行結果は、タスク完了のために OpenAI のサービスへ送られることがあります。

社内説明では「どこでコマンドが走るか」と「送られたデータの学習利用や保持期間」を分け、後者を契約と管理者設定で担保すると整理するのが正確です。出典: ChatGPT Work local security

sandbox と承認は「二層構造」で理解する

Codex がローカルで「何をしてよいか」は、sandbox mode（技術的に何ができるか）と approval policy（いつ利用者に確認するか）という独立した二つの仕組みで決まります。

層 何を決めるか 主な選択肢（公式表記）
Sandbox mode Codex が技術的に触れる範囲 read-only（ファイルの読み取りのみ。編集・コマンド実行には承認が必要）／workspace-write（ワークスペース内で編集・コマンド実行）／danger-full-access（sandbox なし。公式が非推奨と明記）
Approval policy 境界を越える操作の前に確認するか on-request（境界を越える操作の前に承認を求める）／never（確認なし）。このほか granular があり、旧 untrusted は CLI 0.149.0 以降サポート外（ヘルプセンター）

既定ではネットワークアクセスは無効です。承認を求める場面としては、ワークスペース外のファイル編集、ネットワークが必要なコマンド、副作用を宣言している connector や破壊的と注釈された MCP ツールの呼び出しが挙げられています。出典: Agent approvals and security

デスクトップアプリや IDE では、この二層が「Ask for approval」「Approve for me」「Full access」の表示にまとまっています。重要なのは「Changing who reviews a request doesn’t expand the sandbox.」という一文で、「Approve for me」に切り替えても sandbox が許す範囲は広がりません。逆に danger-full-access にすれば承認設定に関わらず技術的な境界はなくなるため、管理者が固定すべきなのは sandbox mode の方です。出典: Permission modes

管理者が「固定」できること

利用者が設定を自由に変えられる状態ではガバナンスは成立しません。管理者側が設定を強制する仕組みは次のとおりです。

requirements.toml による強制

requirements.toml で強制できる項目には、approval policy、approvals reviewer、sandbox mode、permission profiles、web search mode、managed hooks、利用者が有効化できる MCP サーバー、plugin marketplace の出所などが含まれます。配布経路はシステムファイル、cloud config bundle、macOS の MDM（managed preferences）です。なお managed_config.toml（managed defaults）に残る旧来の approval_policy・approvals_reviewer・sandbox_mode の3項目は、互換性のため requirements として読み替えられます。同じ仕組みで Computer Use（features.computer_use = false）や内蔵ブラウザ（features.in_app_browser = false）を無効化でき、利用者側では上書きできません。初期は無効で始め、必要に応じて開けるのが現実的です。出典: Managed configuration、ChatGPT Work local security

ワークスペースの権限境界とロール

ワークスペース側では、ローカル利用（Codex Local）とクラウド委任（Codex cloud）が別々の権限として管理されます。ロールは Owner・Admin・Member・Analytics Viewer に加え、custom roles で使える機能を定義できます。また「A request must pass every boundary that applies to it.」という原則があり、plugin を許可しても、接続先サービス側のアカウント権限が別途データの範囲を決めます。出典: Roles and workspace permissions、Using Codex with your ChatGPT plan（ヘルプセンター）

SSO と MFA

Business プランには「SAML、SSO、MFA による安全なワークスペース」が含まれ、Enterprise には SCIM や EKM、ロールベースのアクセス制御などが挙げられています。ただし管理者向け FAQ は「ChatGPT doesn’t provide workspace-wide MFA enforcement」とし、MFA の全社強制は ID プロバイダ側で行う設計です。Codex cloud については、メールアドレスとパスワードでログインする場合は利用前に MFA の設定が必須で、SSO 経由の場合は SSO 管理者側で MFA を強制するよう案内されています。出典: ChatGPT 料金ページ、Work admin FAQ、Authentication

データの扱いと学習利用の既定はプランで違う

学習利用の既定はプランで異なります。

区分 学習利用の既定（公式記載）
Business / Enterprise / Edu / API 既定で、入力・出力をモデル改善に使わない
Plus / Pro ChatGPT のデータコントロールで学習をオフにしない限り、会話がモデル改善に使われることがある

ヘルプセンターは、ChatGPT の学習データコントロールが Computer Use のスクリーンショットを含めて Codex で処理される内容にも適用されると書いています。Codex だけ別ルールがあるのではなく、ChatGPT アカウント側の設定がそのまま適用されます。出典: Using Codex with your ChatGPT plan（ヘルプセンター）

注意点は二つあります。個人の Plus・Pro アカウントの業務利用を放置すると学習オフの設定が個人任せになること。そして「学習に使わない」は OpenAI のサービスに対する説明で、デバイス上のファイルや外部アプリ、接続先システムの記録までは規定しないと公式が注記していることです。保持期間や保管地域に要件がある企業は、Enterprise に挙げられている「カスタムのデータ保持ポリシー」「10の地域でのデータレジデンシー」（日本を含む）を確認してください。出典: ChatGPT Work local security、ChatGPT 料金ページ

「分析」と「監査」を混同しない

利用状況の可視化と監査証跡は、目的も仕組みも別です。OpenAI のガバナンス文書は、Workspace analytics と Codex analytics について「interactive reporting surfaces, not raw audit logs」と明言し、監査可能な記録が必要な用途には Compliance API を案内しています。ただし管理者向け FAQ には、Compliance API（Compliance Logs Platform）の記録であっても、すべてのファイル操作・シェルコマンド・ブラウザ操作・ツール呼び出し・承認の完全な監査証跡を構成するものではなく、対象イベントは認証付きの Compliance API ドキュメントで確認するよう明記されています。出典: Governance、Work admin FAQ

Compliance API のページは、継続収集には append-only のログストリームを使い、OpenAI 側の保持期間を自社の保持ポリシーの代わりにしないことを促しています。加えて Codex CLI には OpenTelemetry によるイベント出力があり、既定でオフ、プロンプト本文は既定で秘匿です。監査要件がある企業は、この二系統を自社のログ基盤へ集約する設計が現実的です。出典: Compliance API、Agent approvals and security

Plugins・connectors・MCP は「何に接続できるか」の話

Codex の拡張機能は社外システムへの接続口でもあります。plugin は skills、connectors、MCP servers、browser extensions、hooks などを同梱でき、hooks は有効化前に確認・信頼せよと注意書きがあります。既定の状態はプランで逆で、Business では plugins と apps が既定で有効、Enterprise・Edu では既定で無効です。Business は何も設定しなければ利用者が plugin を入れられる状態から始まります。出典: Plugins、ChatGPT Work overview

MCP サーバーはツール単位の許可・拒否リストとサーバーごとの既定承認モード（auto・prompt・writes・approve）を設定でき、「読み取りは自動、書き込みは承認必須」と分けるのが基本形です。出典: MCP

ここまでの論点は仕様変更に合わせて見直す前提のものです。最新の内容は必ず公式ドキュメントで確認してください。

デジライズの支援について

株式会社デジライズでは、Codex の法人導入にあたって、契約プランの選定、requirements.toml を含む管理者設定の設計、社内ガイドラインの整備、現場向けの導入研修までをご支援しています。セキュリティ要件は企業ごとに異なるため、内容と費用は個別にお見積もりしています。「何を固定すべきか整理したい」という段階からでもご相談ください。お問い合わせはこちら