AIエージェントの権限｜6作業の許可範囲から取り消しまでの判断表

AIエージェントの権限を決める6作業の判断表

表の委任方法は、OWASP：エージェントへ過大な権限を与えるリスクとAnthropic：computer useを踏まえた筆者の判断です。各サービスの正式な権限名や、全製品に共通する機能を示すものではありません。

取り消せるつもりで許可を広げないことが前提です。仕事全体の分担も見直す場合は、AIに任せる作業と人が担う判断を整理する考え方が補足になります。

閲覧だけなら自動実行してよいか

OpenAIのResponses APIでは、外部MCPサーバーへデータを渡す前に承認を求めるのが標準ですが、承認要否は設定で変えられます（2026年9月17日確認）。OpenAI：MCPとコネクター　読む権限だけであっても、情報がどこへ渡るかまで確認する必要があります。

機密情報と送信先を先に確認する

読み取り専用という条件だけでは、外部へ情報を送ってよいかは決まりません。資料をAIサービスへ入力することと、その内容を別の連携先へ渡すことを分けて確認します。顧客名簿を読ませるなら、資料の所有者だけでなく、会社の入力・共有ルールにも照らしてください。

MCPとは、AIと外部ツールを接続するための共通仕様です。APIとは、別のソフトウェアから機能を利用する窓口を指します。上記は開発者向けの接続例で、一般向けChatGPTに同じ確認画面が出ることや、人が確認する画面が自動で用意されることを意味しません。

学習利用・保存・連携先の条件を分ける

学習への利用、データの保存、連携先での取り扱いは別々に確認します。OpenAI APIでは、明示的に同意した場合を除き入力・出力をモデルの学習に使わない一方、保存には機能や設定ごとの条件があります（2026年9月17日確認）。OpenAI API：データ管理

Claude Codeも、個人向けと商用契約の区分や設定によってデータの取り扱いが異なります（2026年9月17日確認）。Claude Code：データの取り扱い　有料契約や「学習しない」という説明だけを、社内資料を投入する許可の代わりにしないでください。筆者は、利用条件と社内ルールの両方を確認できない情報は渡さない基準にします。

対象・期限・金額をどこまで限定するか

Claude Codeでは、権限設定の規則は自然言語の指示とは別に適用され、操作や許可方法によって有効な範囲も異なります（2026年9月17日確認）。Claude Code：権限の設定 Claude Code：セキュリティ　依頼文に希望を書いた後は、接続先の設定でも範囲を絞れるか確かめます。

コピー編集と原本への反映を分ける

コピー編集を任せるなら、原本と分けた保存先と、その共有範囲を先に決めます。例えば提案資料の修正案は、作業用コピーへ保存し、原本の共有相手へ自動で配られない場所で確認します。コピー先へ情報を移すこと自体も、入力・共有の許可範囲内であることが条件です。

原本への反映は、変更箇所と影響する相手を確認してから別に許可します。コピーを作っただけで原本への書き込み権限が消えるわけではありません。筆者は、原本を変える権限を渡さずに案を作れるなら、まずその分担を選びます。

設定による制限と運用ルールを分ける

対象・期限・金額は、設定で強制できる制限と、担当者が守る約束に分けます。「このフォルダだけ」「本日中だけ」「この総額まで」と依頼しても、接続権限が広いままなら技術的な上限とは言えません。対象ファイル、通信先、操作、終了期限、金額・件数を個別に確認してください。

Claude Codeのサンドボックスは、対応する実行環境でファイルとネットワークへのアクセスを制限する仕組みです。ただし、Bash実行を中心とする制限を、連携する全ツールへ同じように効く機能とは扱えません（2026年9月17日確認）。Claude Code：サンドボックス

筆者は、必要な範囲・上限を設定で守れない操作には実行権限を渡さず、下書きや修正案の作成に留めます。1件ずつ確認する場合も、対象・操作・金額を絞れ、承認した内容で実行できることが条件です。期限後に担当者が解除する運用と、自動失効の機能を分け、承認と解除の担当者を決めます。全員共通の「安全な金額」は置きません。

送信・公開・購入の直前に何を確認するか

Anthropicは、computer useで購入など金銭に関わる操作を行う際、人が内容を確認する工程を組み込むよう開発者に勧めています（2026年9月17日確認）。Anthropic：computer use　computer useとは、AIに画面の情報を渡し、クリックなどの操作を行わせる機能です。筆者は、同じく外部へ影響する送信・公開にも実行直前の確認を置きます。

最終版と、宛先・公開先・支払内容を結び付ける

承認する対象は、文章だけでなく「どこへ、何を、どの条件で実行するか」の一組です。送信は最終本文・宛先・添付、公開は確定版・公開先・閲覧範囲、購入は販売先・商品・数量・税や送料を含む総額・継続課金・取消条件を確認します。「メールを送ってよい」とだけ許可し、具体的な宛先や添付を未確認にしないことが判断の要点です。

内容や条件が変わったら、再確認に戻す

承認後に本文・宛先・公開範囲・支払条件が変わったら、変更後の内容を確認し直します。例えば宛先の追加や、注文時の数量・総額の変更には、以前の承認を流用しません。筆者は、最終的に何が実行されるかを見られない操作や、承認した内容と実行内容を結び付けられない操作は、下書きまでに留めます。

作業後や異常時は、何を止めて何を戻すか

Google アカウントで連携先のアクセス権を削除しても、連携先が取得済みのデータまで自動的に削除されるとは限りません（2026年9月17日確認）。Google アカウント：サードパーティ接続の管理 Google アカウント：外部サービスとのデータ共有　処理を止めること、結果を戻すこと、今後のアクセスを遮断することを分けて対応します。

処理の停止とアクセス解除を分ける

異常に気付いたら、まず利用中のサービスで実行中の処理と予約済みの処理を確認し、止められるものを止めます。その後に不要な接続権限を解除し、実行済みの変更や送信がないかを確かめるのが筆者の運用基準です。アクセス解除だけで、送信待ちの処理や外部サービス内の予約まで取り消せたとは判断しません。

作業が正常に終わった場合も、一時的に渡した権限を残す必要があるか見直します。取得済みデータの削除を求める場合は、接続の解除とは別に、保存したサービス側の条件や手続きを確認してください。Google アカウント：外部サービスとのデータ共有

記録から復元・取消・公開停止の可否を確かめる

取り消しは、操作の種類と、そのサービスに残る記録から判断します。筆者の記録例は、日時・対象・承認した条件・実行結果・履歴や注文番号など復元の手掛かりです。機密情報を記録へ丸ごと複製せず、確認に必要な参照先を残します。

ファイルの変更は、履歴やバックアップの対象範囲を確認します。Google ドキュメント等の変更履歴には、権限に応じて過去版を確認・復元する機能があります（2026年9月17日確認）。Google ドキュメント：変更履歴　Claude Codeのチェックポイントは、Bashコマンド等による変更まで一律に戻す仕組みではありません（2026年9月17日確認）。Claude Code：チェックポイント

送信は、取り消せる猶予と利用した経路を確認します。パソコン版Gmailには送信直後の取り消し機能がありますが、その条件をAPI経由の送信や他サービスへ広げることはできません（2026年9月17日確認）。Gmail：メールの送信と取り消し　受信者へ届いた情報を回収できる前提では許可を出さないでください。

公開は、公開停止と元ファイルの共有権限をそれぞれ確認します。Google ドキュメント等の「ウェブに公開」には公開停止の操作がありますが、共有設定とは区別が必要です（2026年9月17日確認）。Google ドキュメント：ウェブへの公開　既に閲覧・複製された内容まで回収したとは扱わないのが、本記事の判断基準です。

購入は、販売元の注文画面と取消条件を確認します。例えばGoogle ストアは、注文状況によってキャンセルできるかが変わります（2026年9月17日確認）。Google ストア：注文のキャンセル　別の販売元でも同じ条件で取り消せるとは限らず、取消・返金・継続契約の解約を一つにまとめて考えないでください。