AIエージェントと社内データの連携｜読ませない設定にも穴がある

AIエージェントに社内データをつなぐと、議事録の要約、見積もりの下書き、問い合わせへの回答を、社内の資料に沿って作らせられます。そのぶん、読ませたくないものまで読める状態になりやすくなります。

読ませたくないフォルダは設定で止められます。当社の環境で架空のダミーデータを使って試すと、確かに止まりました。ただし、止まるのは設定が効く範囲の操作だけです。 公式ドキュメントには、効かない読み取り方がはっきり書かれています。この記事では、設定の書き方と、その穴の塞ぎ方を順に書きます。

AIエージェントと社内データの連携｜この記事で作るもの

作るのは、「営業資料は読ませる、人事は読ませない」を設定で止め、実際に止まることを確かめた状態です。 ツールは Claude Code を使います。設定の考え方は、ほかのエージェントでも同じです。

準備｜つなぐ前に3つに分ける

最初に、社内データを次の3つに分けます。読ませるものの一覧より、読ませないものの一覧が先です。

• つなぐ……営業資料のひな形、製品の説明、社内の手順書など、外に出ても困らないもの
• つながない……人事・給与、個人番号、取引先との契約の中身など、漏れたら戻せないもの
• 置き場所を分ける……同じフォルダに混ざっているもの。つなぐ前に、フォルダを分けるところから始めます

どの情報を外部のAIに入れてよいかの社内ルールは、生成AIの社内ルールの作り方にまとめました。この記事の例は、すべて架空のダミーです。 実在の社員名や金額は使っていません。

作る手順｜読ませないフォルダを設定で止める

手順1 フォルダを分ける

作業するフォルダの中を、つなぐものと、つながないものに分けます。試したのは次の形です。

作業フォルダ/
├── 営業資料/提案書テンプレート.md   … 【ダミー】製品Aの提案書テンプレート。価格は別紙。
├── 人事/給与一覧.md                 … 【ダミー】山田太郎 月給 999,999円
└── .claude/settings.json

手順2 設定ファイルに deny を書く

作業フォルダの .claude/settings.json に、読ませないフォルダを書きます。

{
  "permissions": {
    "deny": ["Read(./人事/**)"]
  }
}

./ は作業フォルダからの位置、** はその下のすべてのファイルという意味です。公式ドキュメントでは、ファイルを読ませないときは Read(./secrets/**) のように Read の拒否ルールを書くよう案内されています。書く場所は作業フォルダの .claude/settings.json です。

手順3 止まることを確かめる

同じ作業フォルダで、エージェントに2つのファイルを読ませました。

入力（実際に送った指示）

営業資料/提案書テンプレート.md と 人事/給与一覧.md をそれぞれ読んで、
1行ずつ要約してください。読めなかったファイルは『読めなかった』と書いてください。

出力（実際に返ってきたもの）

- 営業資料/提案書テンプレート.md: ダミーの製品A提案書テンプレートで、価格は別紙参照となっている。
- 人事/給与一覧.md: 権限設定によりアクセスが拒否され、読めなかった。

続けて、シェルの cat で人事のファイルを読むよう指示すると、これも「権限設定により拒否されました」と返ってきました。同じ指示を営業資料のファイルに向けると、中身がそのまま表示されました。止めたのは設定で、シェルが使えないせいではないことが、ここで確かめられます。

人が止める場所｜設定は最後の線ではない

ここがこの記事でいちばん伝えたいところです。公式ドキュメントは、拒否の設定が効く範囲をこう書いています。

Read and Edit deny rules apply to Claude's built-in file tools, to file commands Claude Code recognizes in Bash, such as cat, head, tail, sed, and tee … They don't apply to a command that reads files without naming them, such as grep -r pattern . run from the directory that holds the file, or to arbitrary subprocesses that read or write files indirectly, like a Python or Node script that opens files itself.

——Configure permissions｜Claude Code Docs（2026年9月25日閲覧）

つまり、ファイル名を指定しない検索や、スクリプトが自分でファイルを開く読み取りは、この設定では止まりません。 当社の試行でも確かめたのはファイルを開くツールと cat の2つだけで、それ以外の読み取り方は確かめていません。

だから私は、止める場所を次の3段に置きます。

• 1段目：置き場所……本当に読ませないものは、エージェントが動くフォルダや接続先に置かない
• 2段目：設定……それでも混ざる可能性があるものを deny で止める。ドキュメントは、すべてのプロセスを止めたいならサンドボックスを使うよう案内しています
• 3段目：人の確認……新しいフォルダや接続先をつなぐときは、情報の持ち主の部署が「つないでよいか」を決める

エージェントが外に向けて何かを送る操作の止め方は、AIエージェントの暴走を止める方法に書きました。

うまくいかないときの直し方

• 止めたはずのファイルが読めてしまう……パスの書き方を確認します。先頭が / 1本だと設定ファイルの置き場所が起点になり、利用者ごとの設定（~/.claude/settings.json）なら ~/.claude/ の下を指します。どのプロジェクトでも効かせたいなら //（絶対パス）か ~/ で書きます
• 止めたくないファイルまで止まる……パターンが広すぎます。Read(人事/**) のように ./ を付けない書き方は、作業フォルダの下のどの深さにある「人事」フォルダにも効きます
• フォルダの中に1つだけ読ませたいファイルがある……フォルダごと止めたものは、例外の書き方でも開け直せません。読ませたいファイルをフォルダの外へ移すほうが確実です

判定表｜つないでよいか、どこで人が確認するか

「つながない」の行は、設定だけに頼りません。 置かないことが先で、設定は二重の備えです。

自社でやるのが大変なときの頼み先

フォルダの整理から始める必要があると、設定を書く前に手が止まることがあります。社内の文書を検索できる仕組みを作る会社の違いは社内RAG構築を頼める会社おすすめ5選で比べました。どの業務からエージェントに任せるかの決め方はAIエージェントに任せる業務の決め方に書いています。

当社は自社の業務をAIエージェントで回していて、この記事と同じく、置き場所を分けたうえで、設定を重ねる形を取っています。

つなぐ前に、社内データの置き場所を棚卸しする

どのデータをつなぐかは、会社の情報がどこに散らばっているかで決まります。当社のAI適合度診断は10問で、経営・活用・人材・データ・ルールの5分野から自社の現在地を点数にします。連絡先の入力は要りません。 社内データをつないだエージェントを作る場合の費用の目安は、AI見積もりで先に確かめられます。

出典

• Configure permissions｜Claude Code Docs（2026年9月25日閲覧）
• 入出力例は、当社の環境で Claude Code 2.1.281 を使い、架空のダミーデータで実行した結果（2026年9月25日）