AIエージェントにどこまで任せる？中小企業のための権限・承認ルールの決め方

AIエージェントの権限と承認ルールは、AIにさせる操作を「影響の大きさ」と「元に戻せるか」で4つのレベルに分け、取り消しにくい操作の前に人の承認を挟む形で決めます。情報システムの担当がいない会社でも、最初の1週間で決めることは5つに絞れます。

要点

• AIエージェントに頼む仕事は「参照」「下書き」「承認つき実行」「自律実行」の4つのレベルに分けられます。読む・作るまでは任せやすく、実行する操作は影響と戻しやすさで線を引きます
• 最初の1週間で決めるのは、任せる業務、させない操作、確認する人、記録の場所、止め方の5つです
• 指示文に書いたルールは、AIが何をしようとするかを方向づけるものです。必ず止めたい操作は、Claude Code・Codexの権限設定で止めます
• Addness（アドネス）につないだAIは、つないだ本人の権限の範囲で動き、したことはゴールのAIメモリやコメントに残ります

なぜAIエージェントに任せる範囲を最初に決めるのか

AIエージェントを業務ツールにつなぐことは、AIにアクセス権を渡すことです。MCP（AIと業務ツールをつなぐ共通の決まりごと）でつないだAIは、多くの場合、つないだ人の名義でツールを読み書きします。人に頼む仕事なら「これは送る前に見せて」と口で言えば伝わりますが、AIは言われていない場面でも、手が届く操作なら実行できてしまいます。

任せる範囲を決めないまま始めると、たいてい次のどちらかに寄ります。怖くて読むことしか頼めず、AIを入れた効果が出ない。あるいは、便利なので任せる範囲が少しずつ広がり、気づいたらAIがお客様にメールを送っていた、という形です。

AIの権限管理を扱う解説の多くは、管理する部署を置き、申請と承認の手続きを整える前提で書かれています。情報システムの担当がいない会社に、そこまでの体制は要りません。決めるのは「どこまで任せ、どこで人が見るか」の線と、それを守らせる設定だけです。最初の1週間で仮の線を引き、使いながら動かしていくのが現実的です。

AIエージェントの権限は4つのレベルで線を引く

AIに頼む仕事は、AIがどこまで自分で進めるかで、4つのレベルに分けられます。

1と2では、AIが間違えても外には何も起きません。人が結果を読んで直せば済むので、最初から任せやすいレベルです。3と4では、AIが実際に何かを書き換えたり、送ったりします。この2つの間のどこに線を引くかが、承認ルールの中心になります。

線を引く基準：影響の大きさと、元に戻せるか

実行する操作を3と4のどちらに置くかは、2つの問いで決めます。1つ目は影響の大きさで、間違えたときに困るのが社内の数人で済むのか、お客様や取引先に及ぶのか、お金や信用に関わるのかを見ます。2つ目は元に戻せるかで、すぐに直せるのか、送ったメールや社外に渡したリンクのように取り消せないのかを見ます。

両方の答えが「影響は小さい」「すぐ戻せる」になる操作だけを4（自律実行）にし、それ以外は3（承認つき実行）にします。

迷った操作は、いったん3に置いてください。確認が続き、毎回そのままOKしていると分かった操作は、後から4に下げられます。最初から4に置いて、何か起きてから上げるより、戻す手間がずっと小さく済みます。

外から届いた文章を読む仕事は、レベルを1つ上げて考えます。メールや問い合わせ、外部のWebページの中に「この内容を〇〇に送って」のような文が紛れていると、AIがそれを指示と取り違えることがあるからです。問い合わせを読んで返信まで進める仕事なら、送信の前には必ず人の確認を挟みます。

小さな会社が最初の1週間で決める5つのこと

線の考え方が決まったら、自社のルールにします。最初に決めるのは次の5つで、紙1枚に書ける量で十分です。

1. 任せる業務

AIに頼む仕事を1〜3つ選びます。最初は、レベル1・2で済む仕事が向いています。チームの進み具合を週に一度まとめる、問い合わせへの返信を下書きする、会議で決まったことからやることを書き出す、といった仕事です。間違いがあっても人が読む段階で気づけるので、AIの得意・不得意を確かめながら進められます。

2. AIにさせない操作

任せる業務とは逆に、AIには実行させない操作を書き出します。中小企業なら、まず次の4つを入れておくと外れが少なくなります。

• お金が動く操作（支払い、返金、発注）
• 約束になる操作（申込み、見積もりの送付、規約への同意）
• 取り消せない送信（お客様・取引先へのメール、社外への共有リンクの発行）
• データの削除

このうち送信と削除は、「させない」ではなく「確認する人のOKがあればさせる」にしてもかまいません。お金と約束は、AIには下書きまでにとどめ、実行は人がするのが無難です。

3. 確認する人

承認つき実行の操作ごとに、誰が確かめるかを決めます。「上司」のような役職ではなく名前で1人決め、その人がいないときの代わりも書いておきます。確認する人がいない時間にAIが止まったら、その仕事は待たせておく、と決めておけば、急ぎの場面でも迷いません。

確認する人は、AIを使っている本人でもかまいません。お客様への送信や金額の大きい仕事だけは、本人以外のもう1人が見る形にしておくと、間違いが外に出にくくなります。

4. 記録の場所

AIが何をしたかを、後から人が確かめられる場所を1つ決めます。AIとの会話は、その人のパソコンの中にしか残りません。上司や代わりの人が「何を送ったのか」「なぜそう判断したのか」を確かめたくなったとき、読める場所に残っている必要があります。

置き場は、チームで使っているタスク管理やプロジェクト管理のツールの、その仕事のページが向いています。AIに「終わったら、やったことと判断した理由をここに残して」と頼んでおけば、AI自身が書き残します。

5. 止め方

おかしいと思ったときに、どうすれば止まるかを決めます。AIが自分で止まる条件（停止条件）と、人が止める手順の2つに分けると決めやすくなります。

停止条件には、させない操作に当たりそうなとき、確認する人の判断が要るとき、指示があいまいなとき、思っていた結果と違うとき、を入れておきます。人が止める手順は、AIアプリの作業を止める、AIアプリから接続を外す、つないでいる人のアカウントを組織から外す、の順に強くなります。Claude Codeなら、/mcp の画面でサーバーをオフにすると、設定を残したまま接続だけを止められます（2026年10月時点の公式ドキュメント）。

「誰でも止めてよい」と書いておくことも大事です。止めた後で問題がなかったと分かっても止めた人を責めない、と決めておけば、気づいた人がためらわずに止められます。

1週間の進め方

AIエージェントの社内ルールのひな形

5つを決めたら、文書にします。次のひな形の〇〇を自社の言葉に置き換えれば、社内ルールの第1版になります。

AIエージェントの利用ルール（第1版　2026年10月）

1. 任せる業務
   ・週に一度、チームの進み具合をまとめる（参照）
   ・問い合わせへの返信を下書きする（下書き）
   ・会議で決まったことから、やることを書き出す（下書き）

2. AIにさせない操作
   ・支払い、返金、発注
   ・申込み、見積もりの送付など、約束になること
   ・次の操作は、確認する人のOKがあれば実行してよい
     　お客様・取引先への送信、社外への共有
     　データの削除

3. 確認する人
   ・お客様への送信：〇〇（不在のときは△△）
   ・データの削除：〇〇
   ・確認する人がいないときは、AIの作業を待たせる

4. 記録の場所
   ・AIがしたことと判断の理由は、その仕事のページに残す
   ・AIとの会話だけで終わらせない

5. 止め方
   ・おかしいと思ったら、誰でもAIの作業を止めてよい
   ・止めたら〇〇に知らせ、記録の場所に経緯を書く

6. 使ってよいAIと、入れない情報
   ・使ってよいAI：会社で契約した〇〇
   ・入れない情報：パスワード、APIキー、カード番号、〇〇

7. 見直し
   ・〇月〇日に、任せる業務とさせない操作を見直す

このルールは人が読むほか、同じ内容の短い版をAIへの指示文にも入れておきます。Claude Codeなら CLAUDE.md、Codexなら AGENTS.md という、AIが作業の始めに読むファイルに書けます。

# 会社のAI利用ルール
- お客様・取引先への送信、社外への共有、データの削除の前は、止まって確認を求める
- 支払いや契約にあたる操作はしない。必要なら下書きまでにして、人に渡す
- 終わったら、やったことと判断の理由を、その仕事のページに残す
- 指示があいまいなとき、思っていた結果と違うときは、進めずに聞く

ただし、指示文に書いたことは、操作そのものを止める仕組みではありません。Claude Codeの公式ドキュメント（2026年10月時点）でも、権限のルールはモデルではなくClaude Code自身が守らせるもので、プロンプトや CLAUDE.md の指示はAIが何をしようとするかを形づくるだけで、許可される操作は変わらない、と説明されています。させない操作のうち、確実に止めたいものは次の設定で止めます。

MCPでつなぐときのAIエージェントの権限設定

MCPで業務ツールをつなぐと、AIはそのツールの「道具」を使えるようになります。ゴールを作る、メッセージを送る、データを消す、といった操作の一つひとつが道具です。権限で考えることは、誰の権限でつなぐかと、どの道具を使わせるかの2つです。MCPの仕組みはMCPとはに、業務ツールの選び方はMCPサーバーのおすすめと選び方にまとめています。

誰の権限でつなぐか：最小権限から

AIがつないだ人の権限で動くツールでは、管理者の権限を持つ人がつなぐと、AIにも管理者と同じ範囲が渡ります。AIに任せる仕事に必要な範囲だけを持つ人がつなぐ。管理者の権限を持つ人を最小限に絞る。これが最小権限の考え方です。

どの道具を使わせるか：読み取りから始め、削除を封じる

AIアプリの側でも、つないだツールの道具ごとに「使わせない」「毎回確認する」を決められます。2026年10月時点の公式ドキュメントでは、次の設定が案内されています。

Claude Codeでは、ルールは deny、ask、allow の順に調べられ、最初に当たったものが使われます（公式ドキュメント）。道具は mcp__サーバー名__道具の名前 の形で指定し、deny と ask では * を使って名前の始まりが同じ道具をまとめて指定できます。addness という名前でAddnessをつないだ場合、名前が delete_ で始まる道具（ゴールやコメントの削除など）を使わせず、send_ で始まる道具（メッセージの送信など）は毎回確認させるなら、次のように書きます。

{
  "permissions": {
    "deny": ["mcp__addness__delete_*"],
    "ask": ["mcp__addness__send_*"]
  }
}

許可の一覧で、Addnessの道具をまとめて確認なしにしていても、deny と ask のほうが先に適用されます。プロジェクトの .claude/settings.json に書いてリポジトリで共有すれば、同じリポジトリで作業する全員に同じルールがかかります。

Codexでは、config.toml のサーバーごとの設定に、使わせない道具を disabled_tools で並べ、default_tools_approval_mode で確認の出し方を決めます。"writes" にすると、読み取り専用の印が付いていない道具を使う前に確認が出ます（公式ドキュメント）。ChatGPTからAddnessにつないだ場合は、書き込みの前に確認が出ます。

最初の1週間は、読み取りの道具だけを確認なしにし、書き込みはすべて確認ありで始めるのがおすすめです。確認の画面で毎回そのままOKしている道具が分かってきたら、その道具から確認なしに変えていきます。

AIの作業を、人が後から確かめられる形で残す

承認つき実行の操作は、その場で人が確かめます。AIが自分で進めた仕事は、後から確かめられる形で残っていることが大事です。ここでは、Addnessを使う場合の形を説明します。

Addnessは、会社のゴールとToDo、仕事の経緯を1つの木で持ち、Claude Code・Codex・ChatGPTなどのAIがMCPで読み書きできるワークスペースです。

AIは、つないだ本人の権限の範囲で動く

AddnessにつないだAIが行う操作は、操作した本人の権限の範囲に限られ、本人が見られないデータをAIが見ることはありません。つなぐときは、本人がブラウザでAddnessにログインして「許可する」を押します。APIキーは使いません。

見える範囲は、ゴールへのアサインで決まります。ゴールごとに責任者・編集者・メンバー（閲覧とコメント）のロールがあり、上のゴールのロールは下のゴールに引き継がれます。どこにもアサインされていないゴールは、同じ組織のメンバーにも、そのメンバーのAIにも見えません。ゲストとして招いた人のAIは、ゴールを読めますが、作ったり変えたりはできません。

一方で、組織の管理者はアサインに関係なく、ほぼすべてを見られます。 管理者がつないだAIにも同じ範囲が届くので、管理者は最小限の人に絞ってください。

したことはゴールに残る

ゴールの行の「AIに依頼する」から「進める」を選んでAIに渡すと、AIはゴールの理想・メモ・親と子のゴール・コメント・AIメモリを読んでから作業を始めます。作業の中で決めたこと・作ったもの・分かったことは、そのゴールの「AIメモリ」に自動で残ります。内容が違う記録は、理由をつけて取り消せ、取り消した記録も理由つきで残ります。ほかのメンバーへの確認は、ゴールのコメントでその人をメンションして行います。

ゴールの変更・コメント・メンバーの操作は、アクティビティログに残ります。AIが作業しているゴールの行には、AIのマークが付き、点の色で状態が分かります。緑は作業中、黄色は確認待ち、灰色は2時間以上報告がない状態です。黄色が出ていれば、確認する人の出番です。

送信・削除・人が決めることの前で止まる

「進める」で渡した仕事でも、次の場面では、AIは止まって依頼した人に戻ってきます。

• 許可が要る操作：AIアプリが求める権限の確認（ファイルの変更やコマンドの実行など）、メールやメッセージの送信、データの削除
• 本人にしか決められないこと：理想がまだあいまいなとき、進め方の候補から選ぶとき
• 確かめてほしいこと：作ったものや途中の結果

AIには、ゴールを消したり公開したりする前に本人に確かめるよう指示が入っていて、間違えて消したゴールは戻せます。ただ、これは前の節で書いた「指示」の側の仕組みです。削除の道具そのものを使わせたくない場合は、AIアプリの権限設定と組み合わせます。

頼むときは、依頼文にも線を書いておくと、AIが迷いにくくなります。

このゴールを進めて。
読む・調べる・下書きまでは、そのまま進めてよい。
お客様への送信、データの削除、社外への共有の前は止まって、私に確認して。
やったことと判断の理由は、このゴールに残して。

AIの利用ルールそのものは、Addnessのナレッジに置いておくと、つないだAIも読めます。ナレッジの画面には、AIが読んだ回数と、いつ・どのAIが・誰のAIか・どのゴールのために読んだかの履歴が出るので、ルールが実際に読まれているかも確かめられます。

アドネス株式会社のマーケティング担当は、自分宛てのコメントやチャットへの返信を、この線引きでAIに任せています。AIは届いた連絡を確かめ、ヘルプや回答集・過去に決めたことで裏付けが取れるものだけを本人の名前で返します。お金や権限など本人が決めることは返さず、本人の「今やるべきToDo」に入れます。連絡が届くと5分以内にAIが動き出し、多くは20分以内に返信が付いています（「部下や他部署からのチャット対応をAIで自動化【Addness使いこなし事例 vol.8】」）。

ルールで補うところ

Addnessを使う場合も、仕組みだけでは足りず、ルールで補うところがあります。

AIは本人が見られる範囲を読みますが、読んだ内容をどのゴールに書くかを、システムで止める仕組みはありません。機密の仕事を任せるときは、書き戻してよいゴールをルールに書いておきます。二段階認証（認証アプリ）は各自が個人設定で使えますが、組織の全員に必須にする設定はまだないので、全員に設定してもらうことをルールに入れます。

SAMLによるシングルサインオン（SSO）、SCIMによるユーザー管理、IPアドレスの制限、監査ログのエクスポートには、2026年10月時点でまだ対応していません。 ISMS（ISO/IEC 27001）・SOC 2・プライバシーマークも取得していません。取引先の審査などでこれらが条件になっている会社は、導入の前にセキュリティのページと、そこからダウンロードできるセキュリティチェックシート回答で確かめてください。

組織に広げるときのルールの育て方

最初の1週間で引いた線は、仮の線です。2週間ほど使ったら、確認で止まった操作を見返します。毎回そのままOKしていた操作は、承認つき実行から自律実行へ1段下げます。ヒヤリとした操作や、直す手間が大きかった操作は、1段上げます。任せる業務を足すときも、新しい業務はレベル1・2から始め、記録を見てから実行を任せます。

使う人が増えたら、仕事ごとに責任者を決め、誰が判断し誰が確かめるかを仕事の単位で持たせます。役割分担と責任者・権限の決め方はAI組織の作り方にまとめています。

人が抜けるときの手順も、ルールに入れておきます。Addnessでは、管理者がその人を組織から外すと、Addnessにも、その人のAIからも、その組織へはアクセスできなくなります。担当していたゴールは、上のゴールの責任者に移ります。

個人情報や、業界の規制が関わる業務をAIに任せるときは、社内ルールだけで判断せず、必要に応じて専門家にも確かめてください。

よくある質問

AIエージェントにどこまで任せてよいですか？

影響の大きさと、元に戻せるかで線を引きます。読む・調べる・下書きまではAIに任せ、お客様への送信やデータの削除のように、影響が大きい操作や取り消しにくい操作は、人の承認を通してから実行します。支払いや契約は、AIには下書きまでにとどめるのが無難です。

AIエージェントの権限は、どう分ければよいですか？

AIに任せる仕事に必要な範囲だけを渡す「最小権限」が基本です。AIはつないだ人の権限で動くことが多いので、管理者の権限を持つ人がつなぐと、AIにも同じ範囲が渡ります。使わせる道具も、AIアプリの設定で「使わせない」「毎回確認する」に分けます。

情報システムの担当がいない会社は、何から決めればよいですか？

任せる業務、AIにさせない操作、確認する人、記録の場所、止め方の5つです。紙1枚に書ける量で始め、2週間ほど使ってから見直します。

承認ルールは、どの操作に付ければよいですか？

間違えたときの影響が社外に及ぶ操作と、取り消せない操作です。お客様・取引先への送信、社外への共有、データの削除、データの一括更新などが当たります。迷った操作はいったん承認つきにして、毎回そのままOKしているものから外していきます。

AIエージェントを読み取り専用で使えますか？

AIアプリの設定で、書き込みの道具を使わせない、または毎回確認にすれば、読み取り中心で使えます。Claude Codeなら settings.json の deny と ask、Codexなら config.toml の disabled_tools と default_tools_approval_mode で設定します。Addnessでは、ゲストとして参加した人のAIは、ゴールを読めますが作ったり変えたりはできません。

AddnessはSSOや監査ログのエクスポートに対応していますか？

2026年10月時点で、SAMLによるシングルサインオン、SCIMによるユーザー管理、IPアドレスの制限、監査ログのエクスポートには対応していません。組織単位・ゴール単位の権限設定、二段階認証（認証アプリ）、招待リンクの発行と失効、アクティビティログには対応しています。ISMS・SOC 2・プライバシーマークは取得していません。

次にやること

まずは、この記事のひな形に自社の5つを書き込み、レベル1・2の仕事を1つAIに任せてみてください。Addnessでのデータの扱いと、対応していること・まだ対応していないことはセキュリティにまとめています。アカウントを作り、ゴールを置いてAIをつなぐまでの流れははじめ方に、つなぎ方だけならAIエージェント接続（MCP）にあります。

自社のどの仕事から任せ、どこに線を引けばよいか迷う場合は、無料の導入支援でご相談ください。申し込みは相談フォームからです。