AIに外部サービスやファイルを接続する前の権限確認：読むだけと操作できるの違い
AIを使いこなすClaudeで執筆し、GPTで自動校閲・修正しています。
結論から言うと、違いは「間違えたときに取り戻せるかどうか」です。読むだけの権限なら、AIが誤読しても接続先のデータは変更されません。ただし、読み取った内容がAIに渡るため、情報の扱いには注意が必要です。操作できる権限（送信・作成・編集・削除）は、相手に届いたメールや消えた予定のように、外の世界に結果が残ります。 そのため、最初は読み取りだけで接続し、書き込みや送信は「毎回自分が承認する」状態から始めるのが基本です。ただし、読むだけなら安全というわけではありません。読み取った内容がAIの回答や別の操作に使われるので、何を読ませるかも絞る必要があります。 この記事では、メール・カレンダー・ファイル類をAIに接続する前に使える判断表とチェックリスト、最小権限で始める手順を示します。画面の名称や選択肢は、サービスやプランによって変わります。
「読むだけ」と「操作できる」を分けて考える
AI連携（コネクタ、アプリ、MCPサーバーなど呼び方はさまざまです）は、データを取ってくるだけでなく、操作もできるものがあります。Claudeのヘルプでは、コネクタはデータの取得と、接続先サービスでの操作の両方ができると説明されています（Use connectors to extend Claude's capabilities）。コネクタごとに読み取り・書き込みの可否が違うので、導入前に個別の説明を見る必要があります。
次の表は、権限の種類を取り返しやすさで並べた編集上の整理です。
- 読み取り、メール・予定での例：受信メールの検索、予定の一覧表示、取り返しやすさ：操作の結果は残らないが、内容はAIに渡る、最初の設定：範囲を絞って許可
- 下書き・作成、メール・予定での例：返信の下書き、仮の予定、取り返しやすさ：削除すれば戻せることが多い、最初の設定：毎回承認
- 編集、メール・予定での例：予定の時刻変更、ラベル付け、取り返しやすさ：元の状態を覚えていないと戻しにくい、最初の設定：毎回承認
- 送信・招待、メール・予定での例：メール送信、参加者への招待、取り返しやすさ：相手に届くと取り消せない、最初の設定：当面は使わない
- 削除・共有変更、メール・予定での例：メール削除、共有設定の変更、取り返しやすさ：影響が大きい、最初の設定：許可しない
Googleの公開しているOAuthスコープ一覧でも、Gmailは閲覧用のgmail.readonlyと、送信用のgmail.send、下書きや送信を扱うgmail.compose、より広いgmail.modifyが別になっています。カレンダーもcalendar.readonlyと、編集を含むcalendar.eventsが分かれています（Google OAuth 2.0 Scopes）。許可画面で「表示」と「編集」「送信」のどちらが求められているかを読み分ける手がかりになります。
接続前の権限チェックリスト
接続ボタンを押す前に、次の項目を確認してください。「はい」が付かない項目があれば、その接続は見送るか、範囲を狭めてからにします。
- 今回の目的は「読んで要約・検索する」だけで足りるか
- 接続先は公式のディレクトリにあるものか。個人や知らない組織が作ったMCPサーバーではないか
- 許可画面で、閲覧と編集・送信・削除のどれが求められているか読んだか
- 読み取りだけの設定、または書き込みを個別にオフにできる設定があるか
- 読ませる範囲（フォルダ、ラベル、カレンダー）を絞れるか
- そのアカウントに、仕事用と私用、他人の情報が混ざっていないか
- 書き込み系の操作で、実行前に確認画面が出る設定になっているか
- 「常に許可」を選ばずに済むか
- 外すときの手順（接続解除、トークンの取り消し）を把握しているか
- 社内のルールや契約で、そのデータを外部サービスに渡してよいか確認したか
3番は特に重要です。AI側の設定を絞っても、接続先で広い権限を渡していれば、そのアカウントで許される範囲まで届く可能性があります。Claudeの説明では、コネクタは各ユーザーが接続先で持つ権限を引き継ぎ、共有の認証情報を使うカスタムコネクタはその認証情報で許される範囲に届くとされています。可能なら、必要な範囲だけを持つ別アカウントや専用フォルダを用意するほうが確実です。
7番と8番について、ClaudeのカスタムコネクタのヘルプはAllow always（常に許可）について、信頼できるサーバーとツールを、無人で動かしてよい場合に限って選ぶよう案内しています（Get started with custom connectors using remote MCP）。同じページは、関係のないツールを会話ごとに無効にできることも述べています。
最小権限で始める手順
ここからは、読み取り中心で始める流れです。画面の名前は変わりうるため、考え方を中心に書きます。
手順1：目的を一文にして、必要な操作を絞る
例：「今週の会議予定を一覧にして、空き時間を教えてほしい」。この目的に必要なのは予定の閲覧だけで、予定の作成や編集は要りません。送信が要る用途でも、最初の接続では含めません。
手順2：許可画面で権限を読む
「予定を表示する」なのか「予定を表示・編集する」なのかを確認します。編集が含まれるのに目的が閲覧だけなら、そこで中止して別の接続方法を探します。
手順3：書き込みをオフにするか、毎回承認にする
組織向けのプランでは、管理者が読み取りと書き込みを分けて設定できます。Claudeでは、TeamとEnterpriseの所有者がコネクタの操作ごとに「Always allow」「Needs approval」「Blocked」を選べ、たとえばメール送信は止めて読み取りだけ許す設定が例に挙げられています。ChatGPTの管理者向け説明でも、読み取り操作と書き込み操作を別々に有効化でき、新しい操作が追加されたときの扱いに「新しい読み取り操作だけ有効にする」が選べます（Admin controls, security, and compliance for plugins and apps）。個人利用でこうした分離ができない場合は、承認が毎回求められる設定を選び、承認を省略する選択肢は避けます。
手順4：読み取り限定の依頼文で試す
次は説明用の例です。実際に実行した結果ではなく、依頼文の型として使ってください。
接続したカレンダーを読み取りだけで使ってください。
・対象期間：来週月曜〜金曜
・やること：予定を一覧にし、30分以上の空き時間を挙げる
・禁止：予定の作成・変更・削除、招待の送信、メールの送信
・書き込みが必要だと思ったら、実行せず「何をしたいか」だけ文章で提案してください禁止事項を書くのは念のためで、本当の防御は権限の設定です。依頼文でAIに「しないで」と頼むことと、そもそもできない状態にすることは別物だと考えてください。
手順5：最初の結果を確認し、足りなければ一段だけ広げる
予定の一覧が正しいか、自分の目で照合します。次に広げるなら「下書き作成まで」のように一段だけ上げ、送信は人が自分で行います。
「読むだけ」でも注意すること
読み取りは安全に見えますが、読ませた内容は回答に使われます。受信メールやファイルに、AIへの命令のような文章が紛れていることもあります。Claudeのヘルプは、悪意のあるMCPサーバーが隠れた指示を含みうること、予期しないツールの挙動に注意することを述べています。
もう一つ、OWASPのLLMアプリ向けリスク一覧には「Excessive Agency」があり、原因として過剰な機能、過剰な権限、過剰な自律が挙げられています。対策として、拡張機能に与える権限を必要最小限にすること、データベースなら読むだけの用途に更新や削除の権限を与えないことなどが書かれています（LLM06:2025 Excessive Agency）。メールやカレンダーでも考え方は同じで、「便利そうだから全部許可」を避けるのが出発点です。
日常で使う判断のしかた
迷ったら、次の順に自問してください。
- 間違えても、自分だけが直せるか。YESなら読み取りか下書きまで
- 結果が他人に届くか。YESなら、自分で内容を見てから、自分の手で実行する
- 読ませる中に、機密や他人の個人情報が含まれるか。YESなら別アカウントや専用フォルダに分けるか、接続しない
接続をやめるときは、AI側の接続解除に加え、接続先サービスの側でも許可を取り消せます。Claudeでは、設定のコネクタ画面から削除でき、第三者サービス側のセキュリティ設定でも許可を取り消せると案内されています。不要になった連携は、使わなくなった時点で外しておくと安全です。
