生成AIを使い始めた中小企業から、最近よくいただく質問があります。「AIが自分でファイルを開いたり外部サービスを操作したりできると聞いたが、どこまで任せてよいのか分からない」というものです。
この戸惑いの正体は、どの製品を選ぶかという問題ではありません。何に接続させ、どこまで自分で実行させ、どこから人が承認するかを自社で決めていない、という空白です。本記事ではこの線引きを「権限設計」と呼びます。
権限設計は、高価な製品を入れなくても、管理画面の設定と紙1枚の社内ルールから始められます。2026年3月31日公表の国のガイドラインと、2026年9月時点の公的機関の情報をもとに、決める順序を整理します。
AIエージェントの権限設計とは
AIエージェントとは、環境を感知して自律的に行動するAIのこと
総務省・経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）は、AIエージェントを「特定の目標を達成するために、環境を感知し自律的に行動するAIシステム」と定義しています。便益としては、複数のシステムと連携しながらの自律的行動による、調整・分析・意思決定等の業務効率化が挙げられました。
読むだけのAIと、操作するAIの違い
これまでの生成AIは、人が貼り付けた文章を読み、文章を返すところで止まっていました。出力が誤っていても使うかどうかは人が決めるため、主導権は人の側です。
一方、外部サービスに接続したAIエージェントは、検索し、ファイルを開き、登録や送信を実行します。問われるのは出力の正しさだけではありません。そもそも何に触れられる状態にしてあるかが、そのまま影響範囲になります。
権限設計とは、接続先・実行範囲・承認点を決めること
権限設計とは、「接続してよい先」「自分で実行してよい操作」「人の承認を挟む操作」の3つをあらかじめ決めておくことです。第1.2版では留意すべき事項として、人間の判断を介在させる仕組みの構築と最小権限設定が新たに追記されました。
AI利用者（一般の企業ユーザー）向けの追記（別添5）では、定期的な操作履歴の確認や報告、重大な影響または被害が生じ得る場合に人間の判断を介在させる仕組みに基づいた判断、意図しないデータ漏えいの被害を抑えるためのデータ最小化が重要と示されています。
「AIに理由を聞けば監査できる」は成り立たない
誤解が生じやすい点です。AI開発者向けの追記（別添3）は、自律判断の監査には説明可能性が重要としたうえで、大規模言語モデルが示す根拠は内部の決定ロジックの説明ではなく、もっともらしい理由を出力しているのに過ぎないと明記しました。
つまりAIに尋ねた「理由」は証跡になりません。使えるのは、どのアカウントで何にアクセスし何を実行したかというシステム側の記録です。どの記録が残るかは導入時に確認が必要です。
中小企業にとって何が変わるのか
コスト：追加費用ゼロのまま、接続先だけが増えることがある
Google Workspace Updates（2026年9月15日）によると、Google Workspace の Gemini が Model Context Protocol（MCP）経由で外部サービスと直接やり取りできるようになりました。対象はAsana、Atlassian Rovo、HubSpot、Intuit Mailchimp、Intuit QuickBooks、Monday、Salesforceです。
注目すべきは、管理者側の設定が既定でオンだという点です。管理コンソールの「Apps > Google Workspace > Gemini for Workspace > Third-Party Connectors」からドメイン・組織部門（OU）・グループ単位で制御でき、コネクタごとの有効化も可能です。管理者が制御できる設計にはなっていますが、何も決めていなければ会計SaaSやCRMへの接続が開いた状態から運用が始まります。前提はMCPとは（中小企業のためのAI業務連携ガイド）、確認項目はGemini が MCP で外部ツールと直接連携する際の確認事項で整理しています。
業務：承認を挟む位置を決めないと、確認作業が後ろに溜まる
承認を挟まなければその場は速く進みますが、送信済みのメールや登録済みのデータは後から一件ずつ確認し直すことになります。逆に全操作を承認制にすると自動化した意味が薄れます。取り消せる操作は自動、取り消せない操作は承認で分けると、現場が納得しやすくなります。
人材：情報システム担当がいない会社ほど、既定値が自社ルールになる
専任の担当者がいる会社には、新機能が増えるたびに管理画面を見直す人がいます。置いていない会社では、その工程が丸ごと存在しません。結果として、提供側の既定値がそのまま自社の運用ルールになります。
注意力ではなく、確認する役割を決めていないという構造の問題です。社内ルール全体の組み立て方は生成AIの社内導入 完全ガイド（ルール策定・教育・定着）で扱っています。
リスク：攻撃対象が広がり、制御の難易度が上がる
第1.2版では、AIエージェントに関する新たなリスクが追記されました。自律的行動による人間の意図しない動作、多様な入力経路・外部連携先を持つため攻撃対象が拡大し得ること、内部構造が複雑なため制御の難易度が高くなる可能性、コード生成が容易になった現状を踏まえた悪用事例、外部システムと自律的に連携する際にアクセス可能なデータベースを含む内部データが不正に外部へ送信されるリスク、自然言語を由来とした攻撃です。
IPA「AIセキュリティ短信 2026年8月号」（2026年9月7日公開）のエグゼクティブサマリーでも、エージェント型AIへのゼロトラスト適用とアイデンティティ・隔離環境の統制、防御側AIの可能性・限界と「Human-in-the-Loop」の必要性、逸脱したAIエージェントという新たな脅威アクター類型が挙げられています。同号には「AIコーディング支援6製品に共通の承認迂回欠陥」といった事例見出しも並びます。特定製品に固有の問題というより、承認をどう設計するかという共通の課題が複数の製品で報告されている、という読み方が適切です。
なお、IPAは同短信について「本短信に掲載しているものは、それぞれの調査時点の情報です。そのため、掲載後、状況が変化したものや追加情報が公開されている可能性があります」と留保を付しています。各号はIPA「AIセキュリティ短信」8月号の解説記事、攻撃の仕組みはプロンプトインジェクションとは（仕組みと対策）、悪用の実態はAI悪用の実態レポート（中小企業のセキュリティ対策3点）をご覧ください。
権限設計の5ステップ（無料でできることから）
ステップ1：今日、AIが何につながっているかを紙1枚に書き出す
この作業に費用はかかりません。社内で使っているAIサービスを挙げ、それぞれが今どのデータ・どのサービスに接続できる状態かを一覧にします。メール、ファイル、会計、顧客管理の4項目だけでも、決めていなかった箇所が見えてきます。
ステップ2：今日、扱わせないデータを3つだけ決める
全部を仕分けようとすると止まります。まず「これはAIに渡さない」データを3つだけ決めます。第1.2版が示すデータ最小化に沿った、最も小さな一歩です。人事・給与、取引先との契約本文、未公開の価格表などが候補です。
ステップ3：今日、人の承認が要る操作に線を引く
取り消せるかどうかで分けると分かりやすくなります。
| AIが自分で実行してよい操作（例） | 人の承認を挟む操作（例） |
|---|---|
| 社内ファイルの検索・要約、下書きの作成、表計算の集計 | 外部への送信、顧客データの更新・削除、支払・発注、公開ページの更新 |
第1.2版でも、重大な影響または被害が生じ得る場合は人間の判断を介在させる仕組みに基づいた判断が重要とされています。迷う操作は承認側に置くのが実務的です。
ステップ4：今週、管理画面で接続先を絞る
ここで設定画面を触ります。Google Workspace であれば、管理コンソールのサードパーティコネクタの項目で、使わないコネクタをオフにし、必要な部門にだけ有効化します。使っていない接続を外すだけでも、渡している権限は小さくなります。
ステップ5：毎月、操作履歴を見る日を決める
第1.2版のAI利用者向けの追記では、定期的な操作履歴の確認や報告が重要とされています。月次で日を固定し、想定外の接続や実行がなかったかを確認します。あわせて、AIの支援で作った仕組みが担当者以外に分からなくならないよう手順を社内に残すこと（社内ノウハウの蓄積）も、同追記で重要とされています。
同ガイドラインは、リスクの大きさ・発生可能性等を加味して対策の優先順位を検討する「リスクベースアプローチ」も示しています。5つを同時に完璧にする必要はありません。なお「エージェンティックAI」については、第1.2版では脚注での補足に留まり、次年度以降に定義やリスクを追記していく想定とされています。
よくある質問
AIエージェントに社内データを読ませても大丈夫でしょうか
一律に決まるものではなく、どのデータをどの範囲まで読ませるかで変わります。第1.2版は、意図しないデータ漏えいリスクの被害を抑えるためのデータ最小化を重要としています。ステップ2の「渡さないデータ3つ」を決め、残りを対象にするのが現実的です。
操作ログはどこまで残せばよいですか
最低限、「誰のアカウントで」「何に接続し」「何を実行したか」が後から追える状態を目指します。AIに尋ねた理由は根拠になりませんので、システム側の記録が頼りです。どの記録が取得でき、どれだけ保持されるかを導入時に確認してください。
社員が勝手にAIツールを接続してしまったらどうすればよいですか
個人を責めるのではなく、接続できてしまう状態だったことを前提に考えます。対応は、管理画面で接続先を絞ることと、「新しいサービスにつなぐ前に一声かける」という約束を社内に置くことです。第1.2版でも、AI提供者向けに適切な連携ツール・システムの制限が重要とされています。
小さな会社でもAIの社内規程は要りますか
分厚い規程が必ず必要というわけではありません。要るのは、渡さないデータ・承認が要る操作・履歴を見る日の3点を書いたA4用紙1枚です。運用しながら追記すれば十分で、最初から完成させようとすると着手が遅れます。
無料プランと有料プランで権限管理はどう違いますか
サービスごとに異なります。参考として、Google Workspace の Gemini の第三者コネクタは、2026年9月時点で Business Standard／Plus、Enterprise Standard／Plus、Enterprise Essentials Plus ほかが対象とされています。組織部門やグループ単位で制御できるかは、ご利用中のプランの公式情報でご確認ください。
AIエージェントの導入は、もう少し様子を見たほうがよいですか
判断は自社の状況によりますが、「使わない」と「決めていない」は別です。導入済みのサービスに機能が追加されていく以上、決めていないまま時間が過ぎることはあり得ます。
当協会の支援メニュー
当協会では、中小企業の生成AI・DX導入をルールづくりの段階から支援しています。接続先の棚卸し、承認を挟む操作の線引き、設定の確認、運用ルールの文書化までを、貴社の体制に合わせて進めます。
まとめ
AIエージェントを安心して使えるかどうかは、製品の選定ではなく、接続先・実行範囲・承認点を自社で決めたかどうかで決まります。ガイドラインが示す最小権限設定、人間の判断を介在させる仕組み、データ最小化、定期的な操作履歴の確認は、いずれも中小企業の規模で実行できます。
最初の一歩に費用はかかりません。AIが何につながっているかを紙1枚に書き出し、渡さないデータを3つ決め、承認が要る操作に線を引く。ここまでは今日のうちに終えられます。なお本記事の制度・仕様は2026年9月時点のものです。設定を変更される際は、各公式情報の最新版もご確認ください。
