AIに自分のPCを触らせて大丈夫か｜社長が決めるアクセス権限と最小権限のルール
AI CAO
契約書・規程の整備で会社を守る
「AIに自分のフォルダを触らせて、本当に大丈夫なのか」
最近のAIは、質問に答えるだけの道具ではなくなってきました。自分のPCの中にあるフォルダを直接読ませて、「この領収書フォルダから経費精算書を作って」「このメモを報告書にまとめて」と頼める段階に入っています。便利です。便利すぎて、少し怖い、というのが社長の正直な感覚ではないでしょうか。
経費フォルダを見せれば、その隣にある給与データや顧客名簿も視界に入るかもしれない。「ちょっと手伝ってもらうつもりが、見せたくないものまで渡していた」——この不安は、社長として極めて正しい感覚です。そして今、まさにこの「AIに何をどこまで触らせるか」を、社長が腰を据えて決めるべきタイミングが来ています。
なぜ今、この話をするのか
AIは、自分のPC上のフォルダにアクセスさせて、自然言語で実務を任せられる段階に入っています。Anthropicの「Claude Cowork」もその一つで、領収書フォルダから経費精算書を作る、メモから報告書を書くといった作業を、日本語で頼めます。つまり、AIを実務に投入し、効果を試しやすくなっているということです。
これは前向きな流れです。大きな投資をせずに「うちの業務でAIが本当に使えるのか」を試せる。ただし、法務・コンプラの視点から一つだけ釘を刺させてください。AIに自分のPCのフォルダを触らせるということは、そのフォルダの中身を全部見せることと同じです。試す前に「どこまで見せるか」を決めておかないと、便利さと引き換えに情報の境界が消えてしまいます。
カギは「最小権限の原則」という考え方
ここで知っておいてほしい言葉が一つあります。**「最小権限の原則」**です。難しく聞こえますが、中身は単純で、「その仕事に必要な分だけアクセスを許し、それ以上は見せない」という考え方です。経費精算を手伝わせたいなら、経費フォルダだけを見せる。給与や顧客名簿が入った別のフォルダには、最初から触らせない。これだけのことです。
この考え方は、AI業界の側でも標準機能として整備が進んでいます。2026年6月2日、AnthropicはEnterpriseプランで、強い管理者権限（Owner権限）を渡さずに、課金など特定の領域だけにアクセスを許せる「カスタムロール」を拡張しました。先立つ5月28日には、各役割がどのツールに接続できるかを制御する「コネクタ権限管理」も追加しています（Releasebot）。
ここで読み取るべきは、製品の細かい機能ではありません。「誰でも機密データに触れてしまう」という、AI全社導入で社長が一番恐れていたリスクへの対処が、業界の標準機能になりつつあるという事実です。役割ごとにアクセスを絞る——その発想が、いよいよ中小企業でも当たり前に使える環境に近づいています。
機能が整っても、線引きは社長が決めるしかない
ただし強調したいことがあります。どれだけ立派な権限管理機能が手に入っても、「誰に・どのデータまで・何の業務で許すか」という線引きは、社長が決めなければ誰も決めてくれないということです。機能はあくまで、社長が引いた線を実装する道具にすぎません。
しかも、AIに任せられる業務はどんどん広がっています。会計ソフトや決済、契約ツールと連携して、請求書督促や月次決算、契約レビューといった実務をそのまま任せられるパッケージも登場しています（Anthropic公式「Claude for Small Business」）。任せられる範囲が広がるほど、AIが触れるデータも増える。だからこそ、入口で線を引いておくことの意味が、これまで以上に大きくなっているのです。
まず作るべきは、立派なシステムではなく「3つの線引き」
「権限管理を整えましょう」と言うと、専用システムの導入を想像して身構えてしまうかもしれません。でも、最初に必要なのは、次の3つを決めて紙に書くことだけです。
ステップ1：AIに見せてよいフォルダ・ダメなフォルダを分ける
最初の線引きはこれに尽きます。AIに触らせてよいフォルダ（経費、議事録メモ、公開済みの資料など）と、触らせてはいけないフォルダ（給与、顧客名簿、未公開の財務、社員の個人情報など）を具体的に分けて書き出す。「機密は見せない」という曖昧な一文では現場は判断できません。フォルダ単位で、見せてよい・ダメを実物に即して決めるのがコツです。Coworkのように自分のPCを触らせる機能は、アクセス範囲をフォルダ単位で限定できるので、この線引きがそのまま設定に落とせます。
ステップ2：誰がどの業務でAIを使ってよいかを決める
同じAIでも、経理が使う場面と営業が使う場面では、触れてよいデータが違います。「経理は経費・請求まわり」「営業は提案・問い合わせまわり」というように、役割ごとに使ってよい業務とデータの範囲を決めておきます。これがまさに「最小権限の原則」を自社に当てはめる作業です。全員に全部を許すのではなく、仕事に必要な分だけ。これだけで情報漏えいのリスクは大きく下がります。
ステップ3：AIが作った成果物の最終確認ルールを決める
AIは速く大量に文章や資料を作りますが、誤った前提や自社に合わない一般論が紛れ込むこともあります。契約・税務・財務といった領域では、AIの出力をそのまま使わず、誰が・どの段階で最終確認するかを決めておきます。専門領域の最終判断を人が確認する運用は、AIがどれだけ賢くなっても維持すべき原則です。
この3つは、特別なシステム投資ではなく「決めて、書く」だけで実現できます。AI CAOは、御社の業種・データの実態に合わせて、この線引きのたたき台を一緒に作ります。
よくある失敗：とりあえず全部見せて、試してしまう
注意してほしい落とし穴は、「便利そうだから」と焦って、線引きをしないままAIに何でも見せて試してしまうことです。一度AIに渡したデータの境界は、後から引き直すのが難しい。逆に、見せてよいフォルダだけを最初に決めておけば、安心して思い切り試せます。試す前に線を引くことが、安全に試すための条件だと捉えてください。
なお、AIに業務を「自動で」回させる仕組み（定期バッチや外部連携の自動実行）を組み始めている会社は、料金の前提にも注意が必要です。対話利用と自動実行とでは、契約条件や利用量の見積もりが変わることがあります。特定の日付や料金変更を前提にせず、利用中のサービスの公式の料金・契約条件を確認しておくと安心です。人が対話して使う利用が中心なら、ここは大きく気にしなくて構いません。
Before / After
Before：便利さに引かれて、境界なく見せてしまう
便利だからと、AIに自分のPCのフォルダをまるごと見せて試す。経費精算は便利になったが、その作業の裏で給与データや顧客名簿にも触れられる状態になっている。誰がどの業務でどのデータを触らせているか、社長は把握していない。取引先に「御社はAIに情報をどう触らせていますか」と聞かれても答えられない。
After：必要な分だけ見せるから、安心して任せられる
AIに見せてよいフォルダ・ダメなフォルダを明文化し、役割ごとに使ってよい業務とデータの範囲を決めてある。経費は経理、提案は営業——必要な分だけアクセスを許し、それ以外は最初から見せない。だから安心して思い切り試せる。取引先に管理体制を問われても、文書で説明できる。
違いは、高機能なプランを契約したかどうかではありません。AIに触らせる範囲を、試す前に一度決めたかどうかだけです。
こんな社長に向いています
- AIに自分のPCのフォルダを触らせることに、漠然とした不安がある
- AIを試したいが、何を見せていいか分からない
- 経費や議事録は任せたいが、給与や顧客名簿は触らせたくない
- 社員それぞれがAIに何を見せているか、社長として把握できていない
- 取引先から情報の取り扱い体制を聞かれたときに、きちんと答えられるようにしたい
このどれか一つでも当てはまるなら、今が動くタイミングです。AIを実務で試すなら、見せる範囲の線引きを先に決めておくほうが、はるかに安心して前に進めます。
弁護士の代わりではありません
AI CAOは法務・コンプラの「入口」です。訴訟代理や税務申告など、弁護士・税理士の独占業務には対応できません。ただし、AIに触らせる範囲の線引きづくり、社内ルールの素案づくり、利用実態の棚卸し、契約書の一次チェックは得意領域です。重大なリスクが見つかったときだけ専門家に相談する——これが中小企業にとって最も現実的な法務体制です。
アクセス権限の線引きづくりも、利用ルールの整備も、契約書チェックも、月5万円（税別）で継続的に支えます。「まず試してみたい」という方には、お試し月3万円（税別）もご用意しています。社員が安心してAIを使い、社長が情報をきちんと守れる会社を、いまのうちに整えておきませんか。