Mercari全公司导入Claude Code　用制度挡住影子AI

Mercari 断言「不使用 AI 这个选择本身就是经营风险」，并在 2026 年 5 月把 Claude Code 与 Claude Cowork 推到全公司。但把一个能操作本机文件、甚至运行操作系统指令的工具发给所有人，治理问题也跟着来——这篇报导讲的就是它用什么机制撑住这件事。

先看这个案例真正的价值。多数企业导入 AI 卡在两端：一端是禁止使用，员工转而私下用外部服务，也就是所谓的影子 AI；另一端是全面开放，数据与权限失控。Mercari 选的是第三条路——正式配发、并用制度与工具把权限与稽核做起来，让员工不需要偷偷用。

对台湾的企业，这里有三个可以直接抄的判断：一是先承认影子 AI 已经存在，禁令只会让它变得看不见；二是工具能碰到什么（文件、指令、内部系统）要在配发前就定义清楚，而不是靠使用规范的一纸公告；三是把稽核做成缺省，让使用纪录可追溯，这是出事时唯一能还原经过的东西。

接下来要看的是这类全公司导入在日本会不会扩散到更保守的产业，以及治理机制会不会标准化。日本企业对资安与内部管控的要求高，一旦有大型企业把可行的做法跑通，后面跟进的速度通常比外界预期快。

对个人工作者也有可以直接用的一课：AI 工具能碰到哪些文件与系统，这件事在自己电脑上同样要先想清楚。企业靠制度与稽核，个人只能靠习惯——把工作数据与可以被工具读取的目录分开，是最低成本的自我保护。