Google DriveとClaude Codeの連携ガイド（どこまで読ませていい？）

この話の結論（4つ）

AIに読ませた中身は「クラウド」に届く
ローカル（自分のPC）に置いても、AIが読んだ瞬間に外（Anthropicのサーバー）へ送られる。だから顧客情報は“そもそも読ませない”設計にする
読ませていい場所を「フォルダで分ける」
Claudeが触れるのは決めた「作業フォルダ」だけにする。顧客情報はそのフォルダに入れない
プランと設定で「学習に使われない」状態にしておく
設定 → プライバシー →「AIモデルの改善にご協力ください」をオフにする（後述の確認手順へ）
絞り方は3段。組み合わせて使う
①土台＝Google Workspaceの権限（その人が見られる範囲が、そのままAIの上限）／②コネクタで「何ができるか」を絞る（読むだけ／書き込みも／ブロック）。※各自の設定はチャット側（とクラウドで動くClaude Code）にしか効かず、手元のPCのClaude Codeに効かせるには「組織の設定」かdenyで行う／③denyで「どこを触れるか」を絞る。②だけでは、パソコンに同期したフォルダの穴が塞げない

CHAPTER 1

大前提：AIに渡した中身は「どこ」へ行く？

Claude Code はあなたのPCの中で動きます。でも、その頭脳（AI本体）はネットの向こう＝Anthropic（アンソロピック／Claudeを作っている会社）のサーバーにあります。だから、AIに読ませた内容は、答えを作るためにそのサーバーへ送られて処理されるのが基本です。

道具の種類	処理する場所	中身は外に出る？
ブラウザ完結ツール（例：画像形式の変換ツール）	あなたのPCの中だけ	出ない（アップロードなし）
Claude Code （AIに読ませる作業）	AI本体はネットの向こう	読ませた内容はそこへ送られる

よくある誤解 — ここが一番大事「ローカルのフォルダに置いてAIに読ませれば、外に出ない」→ これは誤りです。ローカルに置いても、AIがそれを読んで回答した瞬間に、中身はクラウドへ送られます（AI本体があなたのPCではなくネットの向こうで動いているため）。ローカルにする利点は「渡す範囲を自分で選べる」ことであって、送り先が変わるわけではありません。
※唯一の例外は、PCの中だけで動く自前のAI（完全オフライン）を使うとき。Claudeはこれに当てはまりません。

たとえるなら：郵便と手元のメモ手元のノート（ローカル）に書いてあっても、それを封筒に入れて相談相手（AI）に送れば、中身は相手に届きます。ノートが自分の家にあること自体は、送った中身が相手に渡る事実を変えません。だから「送ってはいけないもの（顧客情報・パスワード）は、そもそも封筒に入れない」が正解です。

CHAPTER 2

学習に使われる？保存される？ — プランと設定で決まる

「クラウドに送られる」と、「AIの学習に使われる」「長く保存される」は別の話です。ここはあなたのプランと設定で変わります。

プランの種類	学習に使われる？	保存期間の目安
商用（API／Team／Enterprise）	原則使われない	標準約30日。条件を満たせば「ゼロ保存（ZDR）」契約も可
消費者向け（無料／Pro／Max）	初期設定のまま＝使われる設定オフ＝使われない	学習オン＝最長5年学習オフ＝約30日

全プラン共通の例外Anthropicの安全の仕組みが「問題あり」と判断した会話は、あなたの設定に関わらず、確認のため一定期間保存・利用されることがあります。だからこそ、そもそも危ないもの（顧客情報・機密）は送らないのが基本です。

自分の状態を確認する2ステップ

STEP 1プランを確認（設定 → 請求／アカウント）。
「Pro」「Max」「無料」＝消費者向け／「Team」「Enterprise」＝商用。

STEP 2学習オフを確認（設定 → プライバシー →「AIモデルの改善にご協力ください」）。
ここをオフ（灰色）にすると、あなたのやり取りは学習に使われず、保存も短くなります。

オフにしても効かない“もう1つの例外”＝👍👎ボタン学習をオフにしていても、回答に「いいね／よくないね」を押すと、その会話全体が学習・保存の対象になります（Anthropicは「関連する会話全体を保存」と明記。ChatGPT・Geminiも同じ仕組み）。よかれと思って押した1クリックが抜け道になるので、評価ボタンは押さないを運用ルールにしてください。

1回だけの相談は「シークレットチャット」

機密度の高い相談をその場限りで済ませたいときは、Claudeのシークレットチャット（新規チャット画面の右上にあるゴーストのアイコン）が使えます。学習設定がオンのままでも学習に使われず、履歴にも記憶にも残りません（安全のため30日は保持）。ただしプロジェクトの中では使えず、後から通常チャットに変換したり復元したりはできません。「一度きり」と割り切って使う機能です。

数字は変わりやすい保存日数などの条件は改定されます（消費者向けの扱いは2025年8月末に変更されました）。厳密に扱うときは、必ず公式のプライバシー設定・契約で最新を確認してください。プランごとの詳しい選び方は教材「Claudeの契約とアカウントの選び方」へ。ChatGPT・Geminiを含めた3社の学習オフ設定の手順は教材「AIに学習させない設定」にまとめています。

CHAPTER 3

2つのつなぎ方 —「コネクタ」と「ローカル同期」

Claude／Claude Code に Googleドライブを読ませる道は、大きく2つ。仕組みが別物なので、ここを分けて理解します。

つなぎ方	どういう仕組み	読める範囲
コネクタ（MCP＝備え付け連携）	Googleでログインして1回つなぐと、以降は「これ読んで」で使える	連携したアカウントが見えるドライブ“全体”。フォルダ単位には絞れない
ローカル同期（Drive for Desktop）	ドライブのファイルをPCに同期し、Claude Codeがそのファイルを読む	Claude Codeの「作業フォルダ」で絞れる（指定した場所だけ）

MCP（コネクタ）＝壁の備え付け家電コネクタは「壁に設置済みの電子レンジ」のようなもの。1回つなげば、あとは頼むだけ。ただしそのアカウントで見えるドライブは丸ごと対象になります（詳しくは教材「コマンド地図」のMCPの項）。

まず前提：Claudeはあなたの権限を超えません

公式にこう書かれています。

公式の説明Claudeはあなたの既存の権限をそのまま反映します。Google Workspaceであなたがアクセスできない情報には、アクセスできません。

つまりAIに特別な権限があるわけではなく、繋いだ人のGoogleアカウントとして動くだけです。会社で社員ごとにフォルダ権限を分けているなら、その分け方がそのままAIにも効きます。新しく設計し直す必要はありません。

逆に言うと、広い権限を持つ人が繋ぐと、その全部が対象になります。役職が上の人ほど、繋いだときの影響範囲が大きくなります。

※接続は1人ずつです。管理者が組織でコネクタを有効にしても、各自が自分のGoogleアカウントで認証する必要があります（Enterpriseの一部ベータ機能を除く）。また、オーナーは「Organization settings → Connectors」から組織全体でコネクタを無効にできます。

コネクタの落とし穴標準のGoogleドライブ・コネクタは「そのアカウントが見えるドライブ全体」が対象で、「このフォルダだけ」には絞れません。だから、顧客情報がたくさん入ったアカウントをそのままつなぐのは危険。絞りたいなら、次章の①（専用アカウント）で“アカウント側”を絞るのが筋です。
※「見えるドライブ全体」には、ほかの人から共有されたファイル・フォルダも含まれます（持ち主が別でも、共有されていれば読める）。また、PCの同期フォルダにかけた deny（封印）は、コネクタには効きません（コネクタはPCのフォルダを通らないため）。コネクタ側で何が見えるかは、Googleの共有設定だけで決まります。

コネクタの権限設定 —「何ができるか」を1つずつ決める（設定 → コネクタ → Google Drive →「ツールの権限」）

コネクタをつなぐと、Claudeが使えるツール（＝AIができる操作）が11個並びます。英語のままなので、日本語と「実際に何が起きるか」を対応させておきます。ここを決めておけば、勝手に共有された・勝手に消されたという事故は起きません。

各ツールの右に3つのボタンがあり、これが設定です。

位置	見た目	意味
左	チェック（✓）	許可——毎回聞かずに使う。速いが、気づかないうちに実行される
真ん中	手のひら	確認する——使う直前に「やっていい？」と聞いてくる。ただしClaude Codeのデスクトップアプリには届きません（下の注意）
右	斜線の入った丸	ブロック——使わせない。つないでいても、その操作だけできなくなる

グループ名（「読み取り専用ツール」「書き込み/削除ツール」）の右のボタンでまとめて変更できます。中身がバラバラなときは「カスタム」と表示されます。

① 読み取り専用ツール（6個）——見るだけ。ドライブの中身は変わらない

英語表記	日本語	何が起きるか	注意
Search files	ファイルを探す	名前や本文のキーワードでドライブ内を検索し、候補を一覧で出す	中題名＋抜粋が見える
List recent files	最近のファイルを出す	最近開いた・更新したファイルを新しい順に並べる	中今どんな仕事をしているかが見える
Read file content	中身を読む	ドキュメント・スプレッドシート・スライド・PDF・画像の中身を文章として読み取る	大本文がまるごとAIに渡る
Download file content	中身を取り込む	元の形式のまま取り込む（CSVをCSVのまま等）	大同上
Get file metadata	ファイルの情報を見る	題名・種類・更新日など、中身以外の情報	小
Get file permissions	共有相手を見る	そのファイルを今、誰が見られるかの一覧	小〜中社内の氏名・メールが出る

見落としやすい関係「探す」をブロックすると、「読む」も実質使えなくなります。Read file content はファイルのIDを必要とし、そのIDは Search files か List recent files から受け取る決まりだからです。
ただし——あなたが自分でファイルのURLを貼れば読めます。「探させない、でも渡したものは読ませる」という運用にしたい人には、むしろこの組み合わせが向いています。

② 書き込み/削除ツール（5個）——ドライブの中身が変わる

英語表記	日本語	何が起きるか	注意
Create file	ファイルを作る	新しいドキュメント・スプレッドシート・スライド・フォルダを作る	小増えるだけ
Copy file	複製する	既存ファイルのコピーを作る	小
Update file	題名・置き場所を変える	変えられるのは題名と置き場所（フォルダ）だけ。中身は変えられない	中移動して行方不明になりうる
Trash file	ゴミ箱に入れる	完全削除ではなく、ゴミ箱へ移す（戻せる）	中
Share file	人に共有する	指定したメールアドレスに、閲覧／コメント／編集の権限を渡す	特大社外に渡ると取り返せない

Update file は「中身の書き換え」ではありません名前から誤解しやすいところです。Claudeに「このドキュメントのここを直して」と頼んでも、既存のGoogleドキュメントの本文は書き換えられません。Update file でできるのは題名と置き場所を変えることだけです。
だから中身を変えたいときは、Claudeに新しいドキュメントを作らせて、古いほうを自分で消すという形になります。「毎回作り直しになるのはなぜか」の答えがこれです。

Share file だけは別格11個のうち、社外に情報が出る可能性があるのは Share file だけです。ほかの10個は、良くも悪くも自分のドライブの中で完結します。
迷ったらここだけはブロックにしておく。共有は人が手でやれば済むことで、AIに任せて得することがほとんどありません。

訂正（2026-09-27）：「2つ無くなった」は誤りでしたこのページは2026年9月9日の版で「Share file と Trash file が無くなり9個になった」と書いていましたが、誤りでした。2026-09-27 にコネクタの設定画面で確認したところ、読み取り6個＋書き込み/削除5個＝11個そろっています。
原因：確認に使った Claude Code の設定（settings.json の deny）に、この2つのツール名を書いて封印していたためです。deny に書いたツールは Claude Code の中では一覧から消えて見えるので、「提供が終わった」と取り違えました。
教訓：ツールが何個あるかは、コネクタの設定画面（claude.ai/customize/connectors）で数える。Claude Code の中で見える一覧は、自分の deny で減っていることがあります（＝逆に言えば、denyが効いている証拠でもあります）。

メンバーごとに変えられる？（Teamは一律）

やりたいこと	できるか
メンバーが組織の設定を緩める	できません。公式に individual users can't override it（個々のユーザーは上書きできない）
メンバーが自分だけ厳しくする	できます（組織の設定が天井で、その範囲内で絞れる）
メンバーごとに違う設定にする	Teamではできません。役割ベースの権限は available exclusively on Enterprise plans（Enterprise専用）

では、人によって差をつけたいときは？Claude側ではなく、Google側で分けます。
3層の①Workspaceの権限に戻る話です。ある人に顧客フォルダの閲覧権限が無ければ、その人のClaudeからも見えません——公式の「Claudeはあなたの既存の権限をそのまま反映します」がそのまま効きます。
つまり人ごとの出し分けは、もともとGoogle側で完結しています。Claude側で作り直す必要はありません。
※逆に言うと、Teamでコネクタの権限を決めるときは全員に同じものがかかります。厳しくしすぎると全員が困るので、取り返しのつかない操作だけを絞るのが実務的です。

③ おすすめの初期設定

どんな人	読み取り専用（6個）	書き込み/削除（5個）
はじめて使う	全部「確認する」何が起きるかを目で見て覚える期間	全部「確認する」
日常的に使う	全部「許可」自分のドライブを自分で読ませるだけなので、毎回聞かれると仕事にならない	Create＝許可 Update・Copy・Trash＝ブロック Share＝ブロック（最優先）「確認する」はデスクトップアプリに届きません（下の注意）
顧客情報が多いアカウント	全部ブロック＝そもそも繋がない。使いたいなら次章①の専用アカウントで繋ぐ	全部ブロック

最大の落とし穴：分かれ目は「誰が設定したか」画面は同じです。設定した人がオーナーかどうかで、届く範囲が変わります。公式が Claude Code での強制を明記しているのは組織の設定だけです。
Your organization can set per-tool controls on claude.ai connectors. Claude Code reads these settings at startup and enforces them locally.
（あなたの組織はコネクタにツール単位の制御を設定できます。Claude Codeはその設定を起動時に読み込み、手元で強制します）
・一般メンバー／個人アカウントが設定した分＝Claude・Cowork のチャット側にだけ効く。手元のPCで動かすClaude Code（ターミナル・VS Code拡張など）は素通りします（2026-08-21に実機で確認：読み取りを全部ブロックした状態でも、Claude Codeからドライブの読み書きができた）。例外は、クラウドで動くClaude Code（ルーティン＝定期実行・Web版）で、こちらには個人の設定が効きます（下の早見表）。
・Team・Enterprise のオーナーが設定した分＝Claude Codeも従う。しかもメンバー側で緩められない上限になります。
だから会社として止めたいなら、オーナーのアカウントで設定する。ここを取り違えると「設定したのに効いていない」が起きます。
※個人が設定した分が伝わらないことは、公式に明記されていません（組織設定の強制だけが書かれている、という状態）。上の判断は実機確認に基づいています。

設定画面は2つある（間違えやすい）

名前が似ていて役割がまったく違う画面が2つあります。ツールの権限を決めるのは上のほうです。

画面	そこで何をするか
コネクタ `claude.ai/customize/connectors`	ツールの権限を決める（許可／確認する／ブロック）
組織の設定 → コネクタ `claude.ai/admin-settings/connectors`	コネクタ自体を組織に追加・有効化する。ツールの権限はここにはありません

つまり Team では2段階です。①オーナーが「組織の設定」でコネクタを組織に追加する ②各メンバーが自分のGoogleアカウントで認証してつなぐ。①をしただけでは各自のアカウントは自動接続されません。

効いたかどうかは、画面では分かりません設定画面に「これは組織全体の設定です」といった表示が出るという記載は、公式にありません。オーナー用と個人用が同じ画面なのか別なのかも公式に書かれていません。
確かめる方法は2つです。CLI（ターミナル）なら、メンバーのClaude Code で /mcp と打ち、そのコネクタのツール一覧を見る。「させない」にしたツールが一覧から消えていれば、効いています（ブロックされたツールは Claude に渡される前に除外される、と公式に明記）。
デスクトップアプリでは /mcp が使えません（引数を取らないコマンドは「この環境では使えません」と返る、と公式に明記）。その場合は捨ててよいテスト用ファイルを作り、実際に「名前を変えて」と頼んで、できないことを確かめます。
「設定した」と「効いている」は別——ここだけは必ず実測してください。

結局どこで設定すればいい？（早見表）

「組織を持っていないと制御できない」ということはありません。組織の設定は1か所で済ませられるというだけで、無くても同じ状態は作れます。設定する場所は3つあり、効く範囲が違います。

設定する場所	Chat・Cowork	Claude Code
① Claudeの画面（コネクタのツール権限）	効く	効かないただしクラウドで動く Claude Code（ルーティン・Web版）には効く。効かないのは手元のPCで動かすもの（ターミナル・VS Code拡張など）
② Claude Codeの設定ファイル（settings.json の deny）	—	効く
③ 組織の設定（Team・Enterpriseのみ）	効く	効く

読み方・個人アカウント（Free/Pro/Max）…③は存在しません。①と②を両方やれば、全部カバーできます。
・Team・Enterprise…③を1回やれば①②の両方を兼ねます。しかもメンバー側で緩められません。会社として決めるならこれ。
いちばん多い事故は「①だけやって、守れたつもりになる」です。Claude Codeを使うなら②か③が要ります。
逆向きの落とし穴：ルーティン（クラウドの定期実行）には①が効くので、①で「確認する」や「ブロック」にしたツールは、ルーティンでは使えません（無人なので「使っていい？」と聞く相手がいない。2026-07 実機確認）。ルーティンに使わせたい操作は①で「許可」にします。詳しくは教材「定期実行の選び方」へ。

組織で設定したときの挙動（公式）・ブロックにすると、そのツールはClaudeから見えなくなります（渡される一覧から外れる）。
・確認するにすると、どの権限モードでも毎回聞かれます。「自動で進める」設定にしていても飛ばせず、許可ルールでも省略できません（＝会社の指示が個人の設定より強い）。
・設定は起動時に読み込まれます。変えたらClaude Codeを立ち上げ直すまで反映されません。

④ Claude Code 側で止める（組織の設定が使えないとき）

個人アカウントには「組織の設定」がありません。その場合でも、Claude Code 側の deny にツール名を直接書くことで止められます。ツール単位で指定できます（サーバーごと切るしかない、ということはありません）。

書き方	効く範囲
`mcp__claude_ai_Google_Drive__share_file`	その1つのツールだけを止める
`mcp__claude_ai_Google_Drive__*`	Googleドライブ連携の全ツールを止める
`mcp__*`	すべての連携を止める

コネクタのツールは mcp__claude_ai_<サービス名>__<ツール名> という名前で現れます（公式）。名前の頭に claude_ai_ が付いていれば、それはclaude.aiでつないだコネクタ由来だと分かります。~/.claude/settings.json の deny に書けば全プロジェクトで有効。今どの設定が効いているかは /mcp で確認できます。

⑤ 禁止までは要らないとき——「毎回かならず確認」にする（ask）

deny は「二度と使わせない」設定です。たまには自分でもやりたい操作（不要になったページを消す、など）には強すぎます。その場合は同じファイルの ask に書きます。

書く場所	何が起きるか	向いているもの
`permissions` の `deny`	そのツールを使えなくする	二度と触らせたくないもの
`permissions` の `ask`	実行前に毎回かならず本人に確認が出る	たまには自分でやりたいもの
`permissions` の `allow`	確認なしで実行する	毎日使う読み取りなど

書き方は deny と同じで、"mcp__claude_ai_Google_Drive__trash_file" のようにツール名を並べます。組織設定の「確認する」を、個人アカウントで自分の手元だけに効かせるものだと考えてください。

ask は「どのモードでも」自動承認されない公式にはこう書かれています。
Claude Code doesn't auto-approve the following in any mode, including bypassPermissions: ・Tools matched by an explicit ask rule（どのモードでも自動承認しないもの ← その1つが「明示的な ask ルールに一致したツール」）
つまり auto モードでも分類モデルを飛び越えて本人に聞きます。確認を全部飛ばす bypassPermissions モードでも出ます。例外は dontAsk モード（一切聞かない設定）だけで、そこでは確認ではなく拒否になります——どちらにしても黙って実行されることはありません。

⚠️ 書き間違えても警告が出ませんツール名を間違えて書いても、起動時に何のエラーも出ません（名前に _ を含むルールはタイポ検査の対象外と公式に明記）。効いていないことに気づけないので、設定したら一度その操作を頼んで、確認が出るか目で確かめてください（出たら「いいえ」を押せばOK）。
※ deny の場合は逆で、確認が出ないまま実行されなければ成功です。見るポイントが逆になります。

コネクタ以外の連携こそ、ここでしか止められない自分で設定したMCP（社内ツールやSaaSのAPI連携など）は mcp__<サービス名>__<ツール名> という名前で、頭に claude_ai_ が付きません。この種類はclaude.aiのコネクタ画面に出てこないので、止める手段は settings.json だけです。削除系のツールが混ざっていないか、一度 /mcp で見ておくと安心です。

3つの止め方、どれを使う？・会社として全員に効かせたい → 組織のツール権限（管理者が設定。メンバーは緩められない）
・自分の手元だけ止めたい → Claude Codeのdenyにツール名を書く（上の④）。禁止までは要らないなら ask で「毎回確認」（上の⑤）
・連携ごと丸ごと使わせたくない → disableClaudeAiConnectors を true に、または deniedMcpServers にサービス名を入れる
チャット側の「自分の設定」は、この3つのどれでもありません——手元のPCで動かすClaude Codeには効かない、という点に注意してください。

なぜ「勝手に動いた」ように見えるのか——既定は auto モード「MCPの操作は毎回聞かれるはず」と思いがちですが、それはManual（手動）モードの話です。公式にはこう書かれています。
On Pro, Max, and Team plans, the built-in starting permission mode is auto mode.（Pro・Max・Teamプランでは、開始時の権限モードはautoモード）
そして auto モードでは Everything else goes to the classifier（それ以外はすべて分類モデルに回る）。
つまりドライブの読み書きは、あなたではなく別のAIが承認しています。「どこかで"今後聞かない"を押したから」ではなく、最初からそういう既定だということです。
ただし例外があります：組織が「確認する」に設定したツールは、autoモードでも分類モデルを飛び越えて、必ず本人に聞きます（許可ルールでも省略できません）。個人設定との決定的な差がここです。
モードごと封じたい場合は、設定に "disableAutoMode": "disable" と "disableBypassPermissionsMode": "disable" を書きます（autoが既定なので、bypassだけ封じても足りません）。

この設定で決まらないことここで決められるのは「何ができるか」だけで、「どのフォルダまで」は決められません（上の落とし穴）。読む範囲そのものを絞りたいなら、次章①の専用アカウントか、ローカル同期＋deny封印になります。

ローカル同期側は、さらに封印できる「作業フォルダを選ぶ」は“開かない”という運用です。人が間違えれば開けてしまいます。これに対して deny（封印）は“読めなくする”設定で、どのレベルの設定からも解除できません（公式に明記）。顧客情報が入った同期フォルダには、こちらを使います。
つまり——コネクタで「何ができるか」を絞り、denyで「どこを触れるか」を絞る。役割が違うので、両方かけます。設定手順は AIの第二の脳を作るへ。

ただし“学習”の観点では、コピペより連携のほうが軽いここは軸が2つあるので分けて考えます。①見える範囲＝コネクタは広い（上の落とし穴）。②学習に使われるか＝Anthropicは「コネクタ（Google Drive等）やMCPサーバーからの生データは学習に含まれない。ただしClaudeとの会話に直接コピーした場合は含まれうる」と明記しています。
つまり同じ資料でも、本文をチャットに貼り付けるより、連携で読ませるほうが学習の扱いは軽い。範囲を絞る話（①）と、学習に使われる話（②）は別物——両方を満たすのが「絞ったアカウントで連携する」形です。

CHAPTER 4

特定のフォルダだけ読ませる — 4つの方法と選び方

「決めたフォルダ以外は絶対に見せたくない」を叶える手立ては、主に4つ。確実さの順に並べます。

方法	中身	“他を見せない”確実さ
① Claude専用の Googleアカウント	Claude用に別アカウントを用意し、そのフォルダだけを共有する。連携アカウントは他が見えないので物理的に絞れる	◎ 一番堅い
② 手動でファイルだけ渡す	読ませたいファイルを1つずつ人が選んで渡す（アップロード等）。自動では同期されない	◎ 確実・シンプル
③ ローカル同期＋作業フォルダを限定	ドライブをPCに同期し、Claude Codeの作業フォルダをそのフォルダに限定する	○ 手軽（指定ミスに注意）
④ 絞ったMCPサーバー	公開するフォルダ・権限を自分で設計した連携を用意する	○〜◎（技術者向け）

①の落とし穴：過去に共有したものも、全部見えているコネクタが見る「そのアカウントが見えるドライブ全体」には、自分が持ち主のファイルだけでなく、ほかのアカウントから共有されたもの（共有アイテム）も入ります。持ち主が別のアカウントでも、共有されていれば読めます。
だから専用アカウントにしても、以前に別の目的で共有したフォルダが残っていると、そのままAIから読める状態になります。専用アカウントを作ったら、まずそのアカウントでGoogleドライブを開き「共有アイテム」を見直して、AIに読ませたくないものは、持ち主の側で共有を外してください。その後も、共有を足したときに見直す習慣を。
（2026-09 実機確認：専用アカウントでつないだコネクタから、別アカウントが持ち主で“以前に共有していた”フォルダが検索で見えた。共有していないフォルダは見えなかった）

たとえるなら：合鍵専用アカウントは「AI用の合鍵」。合鍵で開くのは、これまでに合鍵を渡した部屋すべてです。新しく作った合鍵でも、昔「この部屋も開けていいよ」と渡した部屋は開いてしまう。だから、ときどき「どの部屋の合鍵を渡しているか」を棚卸しします。

どれを選ぶ？（判断の早見）

顧客情報が絡む「絶対に他を見せたくない」→ ① 専用アカウント か ② 手動で渡す

自分だけ・手早く機密は元々入れない前提で軽く使う → ③ 作業フォルダを限定

技術者がいる連携そのものを設計して絞りたい → ④ 絞ったMCP

Driveの中で要約ドライブ内でAI（Gemini）に読ませたい → Driveの「プロジェクト」機能でフォルダを絞って渡す（最上位を丸ごとは精度が落ちる）

③を選ぶときの注意作業フォルダの指定を広く取りすぎると、他のフォルダも読めてしまいます。「顧客情報のフォルダを含まない、専用の作業フォルダ」を1つ決めて、そこだけを指定してください。標準コネクタ（全体が見える）とは違い、ここは自分で範囲を決められるのが利点であり、責任でもあります。

“うっかり開く”事故を防ぐ：deny設定（Google Drive デスクトップ版を使う人向け）

これはGoogle Drive デスクトップ版を使っていて、ドライブのファイルがPC内（仮想ドライブ G:・H: 等）に降りている時の話です。ブラウザだけでDriveを使うならPCにファイルは無いので、この節は不要（その場合は前章「コネクタ」側の管理になります）。

補足：ローカルに“降りる”ファイルと、降りないファイル同期していても、全部がPCに降りるわけではありません。
・降りる（＝ローカルから読めてしまう）…CSV・PDF・Excel・Word・画像など、もともと本物のファイルのもの。顧客リストや売上CSVはここなので、denyが要るのはまさにこの層です。
・名前だけ降りる（中身は空）…Googleドキュメント・スプレッドシート・スライド。フォルダを開けば一覧に並びますが、拡張子が .gdoc .gsheet .gslides になっていて、実体は「このURLを開け」と書かれた数百バイトのメモです。表のデータは1行も入っていません（公式：essentially just pointers to web documents）。ダブルクリックするとブラウザが立ち上がるのが、その証拠です。
「降りてこない」ではなく「名前は並ぶが中身が無い」——ここを取り違えると、フォルダを見て「同期されている＝読まれる」と誤解します。
つまりGoogleドキュメント類を読ませているなら、それはローカル経由ではなくコネクタ経由です。逆に顧客CSVのような実ファイルは、コネクタを切ってもローカルから読める——ここが穴です。
※抜け道が1つ：.gsheet を読むと中のURLは手に入るので、そこからコネクタ経由で本体を取りに行くことは理屈上できます。ただしそのフォルダを deny で封印していれば .gsheet 自体を読めないので、この道も塞がります。

まず訂正：「devの外だから安全」とは限らない「作業フォルダ（例：dev）の外に置けばClaudeは読めない」と思いがちですが、Claude Codeが読める範囲は“作業ディレクトリ一式＋許可設定”で決まります。設定で Read を全体許可していると、PC内のどこでも読めてしまうことも。さらにストリーミング（クラウドに置いたまま）でも、読んだ瞬間にダウンロードされるので「同期オフ＝安全」でもありません。ローカルで一番強い壁が deny 設定です（ただし万能ではありません。下の「運用で穴が空く4つの落とし穴」まで読んでください）。

deny（読ませない設定）＝Claude Codeの設定ファイル settings.json に書く「やってはいけないこと」の一覧。許可より強く（deny＞許可）、フォルダなら丸ごと指定できます。
フォルダ専用の機能ではありません——Read(...)＝読む／Edit(...)＝書き換える／Bash(...)＝コマンドを実行する／mcp__サービス__ツール＝連携先の操作を、同じ1つのリストに混ぜて書けます。この章で扱うのはそのうちフォルダを守る書き方です（連携そのものを止める書き方は CHAPTER 3 の「④ Claude Code 側で止める」へ）。

やること	書き方・例
フォルダを丸ごと封印	末尾に `/**`（中のサブフォルダも全部）
Windowsのパス変換	`C:\…` → `//c/…`／Driveの仮想ドライブ `H:\…` → `//h/…`
実際の2行（例）	`"Read(//h/マイドライブ/顧客/)"` `"Edit(//h/マイドライブ/顧客/)"` を deny に追加
置き場所	ユーザー設定 `~/.claude/settings.json` に書けば全プロジェクトで有効

使うときの3点①有効化：設定は起動時に読まれるので、書いたらClaude Codeを開き直す。②確認：/permissions と打つと、効いている deny 一覧が見える。念のためそのフォルダにダミーの空ファイルを置いて「読んで」と頼み、拒否されればOK（本物の顧客ファイルで試さない）。③解除：その行を消すだけで元通り＝“試しに”が気軽にできる。

運用で穴が空く4つの落とし穴（2026-08、実際に起きたこと）

deny を書いた時点では守れていても、使い続けるうちに穴が空きます。実際に1年運用したPCを点検して見つかった4つを、そのまま共有します。

① 許可は積み上がって、壁が消えるClaude Codeは「これ読んでいい？」に一度OKすると、その許可が設定に残り続けます。1年使うと数百行になり、いつの間にかユーザーフォルダ（C:\Users\自分）が丸ごと許可に入っていた——という状態が実際に起きていました。こうなるとダウンロード・Dropbox・OneDrive・各種ツールの鍵が全部読める状態です。「devで開いているから外は読めない」は成立しません。
対策：半年に1回でいいので /permissions で許可の一覧を見る。増えすぎた許可を消すのは大仕事なので、穴を塞ぐなら deny 側に足すほうが確実（denyは許可より強く、後から書いても効く）。

② deny の階層が浅いと、すぐ横が素通りになるマイドライブ/顧客/** だけ封印していても、マイドライブ直下に置かれた議事録や応募フォームの回答は読めてしまいます。実際そうなっていました。ファイルは「決めたフォルダ」にきれいに収まってくれません。
対策：迷ったら1階層上を丸ごと封印する（例 "Read(//h/マイドライブ/**)"）。Driveの資料を読ませたい時はコネクタ（連携）経由なら普通に使えます——ここで塞がるのはPCのフォルダとして読む道だけなので、実作業はほとんど困りません。
※コネクタ側を止めたいときは別の書き方（ツール名を deny に書く／組織の設定）があります。CHAPTER 3の「④ Claude Code 側で止める」を参照。

③ deny が効かない道もある（ここが一番の勘違い）AIがファイルの中身を見る道は1本ではありません。deny の設定は「どの道具で・どこを触るか」の組で書きます。Read の封印が効くのは、「読む」道具と、cat などファイルを名指しして読むコマンドまでです（公式）。それ以外の道については何も言っていません。

AIが中身を見る道	Read の deny で塞がる？
①「読む」機能や、`cat` などのコマンドを使う	塞がる（探し物のついでに通過する事故は、ほぼこれ）
② プログラム（Python・Node.js など）を走らせて読む	塞がらない
③ Googleドライブ連携（コネクタ）で取り寄せる	塞がらない（そもそもPCのフォルダを通らない）ただし別の書き方でなら塞げます→ `mcp__claude_ai_Google_Drive__update_file` のようにツール名を書けばdenyできます（CHAPTER 3の④）。この表は`Read(...)`の話です

実際に試すと、①は拒否され、②は通ります（2026-08 実機確認）。玄関に鍵をかけたが勝手口は開いている状態です。
ただし②は「プログラムを書いて走らせる」というはっきりした意図のある行動で、偶然そうなることはまずありません。事故の大半は①で起きるので、塞ぐ価値は十分あります。
まとめると：deny は「うっかり開く事故を防ぐ」壁であって、「絶対に届かない」は作れません。絶対が必要なものは CHAPTER 4 の①専用アカウント／②手動で渡す——そもそもAIが動くPCに置かないのが本筋で、denyはその上に重ねる二重の保険です。

④ 事故は「読んで」と頼まなくても起きる危ないのは「顧客ファイルを読んで」と頼む場面ではありません。AIが何かを探すとき、指定していないフォルダを勝手に通過します。「このファイルどこにある？」と頼んだだけで、AIはPC内を検索し、その途中でDriveの顧客フォルダを通ります（実際に起きました）。
つまり：「見せないように気をつける」では防げません。気をつけようがない場所で起きるので、設定で機械的に塞ぐしかない、というのが①〜③の理由です。

まとめ：封印で止められること・止められないこと

怖いのは「読まれる」ことだけではありません。読む・消す／書き換える・外に出すの3つに分けると、何が止まって何が止まらないかがはっきりします。下の表は、フォルダの封印（Read と Edit の2行）と、初期設定プロンプトの「危険な操作の封印」を入れた状態の話です。コネクタの行だけは、CHAPTER 3 の④でツール名を封印した場合です。根拠は公式ドキュメントと、2026-09〜10 に Windows で実際に試した結果です。

	止められる	止められない
読む	「読む」道具／ファイルを名指しして読むコマンド（`cat`・`head`・`ls`・`cp` など）	AIがプログラム（Python・Node.js など）を書いて走らせ、その中で読む／ファイルを名指ししないコマンド（フォルダごと検索する `grep -r` など）／PowerShell のコマンド（※表の下の注）／コネクタで取り寄せる（同じアカウントでつないでいる場合）／Codex など別のAI（それぞれに設定が要る）
消す・書き換える	「書く」道具での上書き／そのフォルダのファイルを `rm` で消す・`cp` で上書きする（`Edit` の封印。2026-10 に実際に確認）／`rm -rf`・PowerShell の `Remove-Item`（初期設定プロンプトの (d)。コマンドの名前で止める）／コネクタの「ゴミ箱に入れる」（ツール名を封印した場合）	AIがプログラムを書いて走らせ、その中で消す／同じ命令の別の書き方（PowerShell の裏口の書き方で、名前の封印を回り道できることを確認済み）
外に出す	秘密の名前のファイル（`.env`・鍵など）が GitHub に上がる（PC全体の除外リスト＝初期設定プロンプトのステップ3(b)。git が名前で見分けて箱に入れない）／コネクタで共有リンクを作る・人に共有する（ツール名を封印した場合）	`curl` などのコマンドで外のサイトへ送る（`curl` は自分でファイルを読んで送れる）／AIがプログラムを書いて送る

※PowerShell：公式ドキュメントには、フォルダの封印が PowerShell のコマンドに効くとは書かれていません。2026-10 の試しでは Get-Content などが止まりましたが、止めたのは「作業フォルダの外は触らせない」という別の仕組みだった可能性があります。当てにしないでください。

「読む」の考え方 — 学習に使わない設定なら、多くはここで割り切れるAIが読んだ中身は、処理のために Anthropic のサーバーへ送られます（CHAPTER 1）。学習に使わない設定（Team・Enterprise、または個人プランで学習をオフ。CHAPTER 2）なら、学習には使われません。自社の資料なら、読まれること自体はここで割り切れることが多いはずです。
ただしお客様の個人情報や、契約で外のサービスに出せない情報は別です。読む道は封印でも塞ぎきれないので、AIを使うPCから届かない場所に置く（CHAPTER 4 の①専用アカウント／②手動で渡す、CHAPTER 5）。

本当に怖いのは「消える・書き換わる・外に出る」 — ここは2段で守る1段目＝封印：ふだんの道具での「消す・上書き・共有」は、上の表のとおり止まります。止まらないのは主に、AIがプログラムを書いて走らせたときや、同じ命令を別の書き方で呼んだときです。手動の確認モードなら実行の前に確認画面が出ますが、既定のオートモードでは AI の判定役が決めるので、確認が出ないことが多いです（CHAPTER 3「既定は auto モード」）。
2段目＝Google ドライブ側で戻せることがある：パソコン版ドライブで同期しているファイルをゴミ箱に入れると、Drive 側でもゴミ箱に入り、30日以内なら戻せます（Google 公式）。PDF・画像・Excel などには、前の版を残す仕組みもあります（Google 公式。30日たつか、新しい版が100個できると消えることがある＝保証ではない）。※コマンドで直接消した場合にゴミ箱に入るか、パソコンでの上書きで前の版ができるかは確かめていません。「必ず戻せる」前提にはしないでください。

ひとことで：封印で止まるのは「うっかり」の事故（探し物のついでに開く・消す・上書き・共有）。止まらないのは、AIがプログラムを書いて走らせたとき・同じ命令の別の書き方・curl などでの送信で、Drive のゴミ箱や前の版で受け止められるのは、その一部だけです。絶対に出せないものは、そもそもAIを使うPCにつながない。

CHAPTER 5

顧客情報を扱う仕事の“鉄則”

どのつなぎ方・どの方法でも、読ませた中身はクラウドで処理される（CHAPTER 1）。だから、顧客情報を扱う会社の原則はシンプルです。

お客様の個人情報・パスワードは、最初から読ませない設計にする（＝“入れない”が一番確実）。
データ（CSVなど）を分析させたいときは、個人が特定できる列（氏名・住所・電話番号など）を消す／伏せてから渡す（＝仮名化）。分析だけなら「地域」「件数」「日付」で十分なことが多い。
APIキー・パスワードなどの秘密は .env という箱に入れ、AIに読ませない設定（deny）で封印する（→ 教材「AIの記憶と第二の脳のつくり方」のセキュリティの章）。

たとえ：金庫と掲示板秘密（顧客情報・鍵）＝金庫。中身は見せず、必要なら「金庫の中の“あれ”を使って」と名前で指示する。ただの設定（モード・地域名など）＝掲示板。これはAIに自由に見せてOK。この2つを分けておくと、安心して仕事をAIに任せられます。

CHAPTER 6

Claude Codeで「作る」時、Googleはどう出てくる？

実は、Claude Codeで何かを作る時にGoogleが登場するのは限られた場面だけ。次の3パターンで整理できます。

パターン	中身	Googleの扱い
① 登場しない（一番多い）	ローカルの作業フォルダで完結（スクリプト・ツール・LP等の中身を作る）	考える必要なし
② ツールが実行時に触る（本命）	Claudeは「Googleにつなぐコード」を書くだけ。Claude自身は中身を読まない	認証情報を `.env` に置きdenyで封印。Claudeは"名前"で呼ぶ
③ 作る途中で読ませたい（まれ）	Driveの既存ファイルをClaudeに読ませたい時	非機密ファイルだけコピー／顧客情報はやらない（Gemini側で）

②の「カギ」の話——なぜ .env と deny が出てくるのかここは4段でつながっています。バラバラに覚えると分からなくなる場所です。
① プログラムからGoogleに入るには、人のログイン（ID・パスワード）ではなく専用の合鍵が要る＝ APIキー／トークン。
② その合鍵をプログラムの中に直接書くと、そのファイルを見た人全員に鍵が渡る（GitHubに上げたら世界中）。だから鍵だけ別ファイルに分けて置く＝ .env。
③ でも .env はPCの中にあるので、Claude Code自身も読めてしまう（読んだ瞬間クラウドへ）。だから設定で「.envは読むな」と書く＝ deny。
④ 結果＝ 作る本人のAIは鍵を見ない。でも完成したツールは鍵を使える。
④が成り立つ理由：ツールはAIではないので、denyの対象外だからです。denyは「Claude Codeに対する設定」であって、出来上がったプログラムには関係ありません。ここが分かると全部つながります。
※APIキーそのものの入門は教材「API・APIキー入門」、deny の書き方は AIの第二の脳を作るへ。

よくある誤解②：本物のデータ＝AIに行く、ではない②で完成したツールが本物のデータ（顧客CSV等）を読む時、「データがAIに行くか」は“ツールが何をするか”次第です。
・純粋なコード処理（集計・グラフ・PDF出力・フィルタ）＝AIを呼ばない → データはどのAIにも行かない（自分のPC／システム内で完結）。
・AIに渡す処理（自由文の要約・分類）＝その部分だけAIに行く。
だから「絶対に漏らしたくない情報でも、純コード処理なら分析できる」。営業データの集計・ダッシュボード化はたいてい純コード＝AI不使用でOK。

開発のコツ：ダミー→本番作る時は列だけ同じ“ダミーデータ”（架空の値）で開発・テストし（Claudeにはダミーしか見せない）、完成後に同じツールへ本物のデータを読ませて動かす（実行時＝Claudeは不在）。＝本物の顧客データはAIの目に触れずに処理できる。

CHAPTER 7

結局どうすればいい？（チェックリスト）

まず整理：穴は2つあり、塞ぎ方も別

やることが多く見えますが、塞ぐべき穴は2つだけです。しかも互いに独立していて、片方を塞いでももう片方は開いたままです。

穴	誰に関係あるか	塞ぎ方
① コネクタ（MCP連携）	繋いでいる人全員。 Drive for desktop の有無は無関係	deny に `mcp__claude_ai_Google_Drive__share_file` Team・Enterpriseならオーナーが組織の設定で一括
② ローカル同期（Drive for desktop）	同期している人だけ	deny に `Read(//h/マイドライブ/顧客/**)` マシンごとに設定が要る

2つの穴は、守れるファイルの種類が違います仕組みが違うだけでなく、担当するファイルが分かれています。ここが分かると「自分はどちらが要るのか」を判断できます。

守りたいもの	効く対策	効かない対策
Googleスプレッドシートドキュメント・スライド	コネクタ側（ツールの権限／そもそも繋がない）	ローカルの deny は無力中身がPCに無いので、守るものが無い
CSV・PDF・Excel Word・画像	ローカルの deny	コネクタを切っても読める実ファイルとしてPCに降りているため

つまり——顧客情報がスプレッドシートにあるなら、denyをいくら書いても守れません。コネクタ側で止めるしかない。顧客情報がCSVやExcelにあるなら、コネクタを切っても守れません。denyが要る。
両方の形で持っているなら、両方要ります。これが「片方を塞いでも、もう片方は開いたまま」の実体です。

よくある取り違え・「Drive for desktop を使っていないから安心」…①の穴は残ります。コネクタを繋いでいれば、同期の有無に関係なく読み書きできます。
・「コネクタを切ったから安心」…②の穴は残ります。同期したCSVやPDFは、ただのファイルとして読めます。
個人アカウント（Free/Pro/Max）の人へ：Claudeの画面でブロックにしても手元のPCで動かすClaude Codeには効きません。組織の設定も持っていないので、①はdenyに書く以外に手段がありません。

迷ったら、上から順にこれだけ確認すれば大丈夫です。

設定 → プライバシー →「AIモデルの改善にご協力ください」をオフにする
回答の👍👎（評価ボタン）は押さない（押すとその会話全体が学習・保存の対象になる）
Claudeに読ませる「作業フォルダ」を1つ決める（顧客情報を含まない場所）
顧客情報・パスワードは、その作業フォルダに入れない
もっと固めたい業務は、Claude専用のGoogleアカウントに“そのフォルダだけ”共有する
迷ったら合言葉：「これはお客様の個人情報か？」→ はい、なら読ませない

人に説明するときの3行（そのまま使える）

Claudeが触れるフォルダを分け、顧客情報はそのフォルダに入れない運用にします。＝AIに「見せる箱」と「見せない箱」を分ける、ということ。
さらに固めるなら、Claude専用のGoogleアカウントに“作業フォルダだけ”共有します。＝そのアカウントには他が見えないので、物理的にそこしか読めなくなる。
大前提として、AIに読ませた内容はクラウドで処理されるので、お客様情報は最初から読ませない設計にします。＝ローカルに置いても送られる。だから“入れない”のが一番確実、という理由。

APPENDIX

用語ミニ辞典

コネクタ / MCPエム・シー・ピー: AIと外部サービス（ドライブ・Gmail等）を“備え付け”でつなぐ仕組み。1回ログインでつなげば、あとは頼むだけ。ただし「連携したアカウントが見える範囲」全体が対象。
ツール（コネクタの）tool: コネクタごとに用意された「AIができる操作」の一覧。Googleドライブなら11個（探す・読む・作る・共有する・ゴミ箱に入れる等）。数えるときはコネクタの設定画面で（Claude Codeの中の一覧は、自分のdenyで減って見えることがある）。1つずつ許可／確認する／ブロックを選べる。決まるのは「何ができるか」で、「どのフォルダまで」ではない。
ローカルlocal: あなたのPCの中、という意味。Google Drive for Desktop を入れると、ドライブのファイルがPC内に同期され、Claude Codeがそれを読める。
作業フォルダworking directory: Claude Codeが「許可なしで読み書きしていい」と決めた場所。ここを絞ると、AIが触れる範囲を限定できる。ただし“作業ディレクトリ一式＋許可設定”で決まるので、範囲を広く取ると意図せず読めてしまう。
deny設定ディナイ: Claude Codeの設定（settings.json）に書く「やってはいけないこと」の一覧。フォルダ専用の機能ではありません——Claude Codeができる操作には全部名前が付いていて、その名前を書けば何でも止まります。Read(...)＝読む／Edit(...)＝書き換える／Bash(...)＝コマンドを実行する／WebFetch(domain:...)＝サイトを見に行く／mcp__サービス__ツール＝連携先の操作。これらを同じ1つのリストに混ぜて書けます。許可より強く、フォルダ丸ごと（末尾 /**）封印できる。ローカル（デスクトップ版でPC内に降りたDriveファイル等）の顧客フォルダを“確実に”見せない唯一の方法。
ZDR（ゼロデータ保存）Zero Data Retention: 商用契約で申請できる、応答後に内容をサーバーに残さない仕組み。消費者向けプラン（無料/Pro/Max）では使えない。
仮名化かめいか: 氏名・住所などの「誰か分かる情報」を消す／別の記号に置き換えること。分析だけしたいときに、個人を特定できない形にして渡す。

Google DriveとClaude Codeの連携ガイド