← 教材一覧へ戻る

脱・属人プログラム — 学習ノート

Google DriveとClaude Codeの連携ガイド

— どこまで読ませていい？を自分で判断する

Googleドライブのファイルを Claude Code（AIの作業ツール）に読ませて仕事をさせたい。でも「顧客情報は大丈夫？」「どのフォルダまで見せる？」——非エンジニアが結局どうすればいいかを自分で判断できるようにするための1本です。

2026.07.18 作成 ／ 仕様・条件は2026年7月時点（変わりやすいので契約前・設定前に公式で最新確認）

この話の結論（4つ）
  1. AIに読ませた中身は「クラウド」に届く
    ローカル（自分のPC）に置いても、AIが読んだ瞬間に外（Anthropicのサーバー）へ送られる。だから顧客情報は“そもそも読ませない”設計にする
  2. 読ませていい場所を「フォルダで分ける」
    Claudeが触れるのは決めた「作業フォルダ」だけにする。顧客情報はそのフォルダに入れない
  3. プランと設定で「学習に使われない」状態にしておく
    設定 → プライバシー →「AIモデルの改善にご協力ください」をオフにする（後述の確認手順へ）
  4. 絞り方は3段。組み合わせて使う
    ①土台＝Google Workspaceの権限（その人が見られる範囲が、そのままAIの上限）／②コネクタで「何ができるか」を絞る（読むだけ／書き込みも／ブロック）。※各自の設定はチャット側にしか効かず、Claude Codeに効かせるには「組織の設定」で行う／③denyで「どこを触れるか」を絞る。②だけでは、パソコンに同期したフォルダの穴が塞げない

CHAPTER 1

大前提：AIに渡した中身は「どこ」へ行く？

Claude Code はあなたのPCの中で動きます。でも、その頭脳（AI本体）はネットの向こう＝Anthropic（アンソロピック／Claudeを作っている会社）のサーバーにあります。だから、AIに読ませた内容は、答えを作るためにそのサーバーへ送られて処理されるのが基本です。

道具の種類処理する場所中身は外に出る？
ブラウザ完結ツール
（例：画像形式の変換ツール）		あなたのPCの中だけ出ない（アップロードなし）
Claude Code
（AIに読ませる作業）		AI本体はネットの向こう読ませた内容はそこへ送られる
よくある誤解 — ここが一番大事「ローカルのフォルダに置いてAIに読ませれば、外に出ない」→ これは誤りです。ローカルに置いても、AIがそれを読んで回答した瞬間に、中身はクラウドへ送られます（AI本体があなたのPCではなくネットの向こうで動いているため）。ローカルにする利点は「渡す範囲を自分で選べる」ことであって、送り先が変わるわけではありません。
※唯一の例外は、PCの中だけで動く自前のAI（完全オフライン）を使うとき。Claudeはこれに当てはまりません。
たとえるなら：郵便と手元のメモ手元のノート（ローカル）に書いてあっても、それを封筒に入れて相談相手（AI）に送れば、中身は相手に届きます。ノートが自分の家にあること自体は、送った中身が相手に渡る事実を変えません。だから「送ってはいけないもの（顧客情報・パスワード）は、そもそも封筒に入れない」が正解です。

CHAPTER 2

学習に使われる？ 保存される？ — プランと設定で決まる

「クラウドに送られる」と、「AIの学習に使われる」「長く保存される」は別の話です。ここはあなたのプランと設定で変わります。

プランの種類学習に使われる？保存期間の目安
商用
（API／Team／Enterprise）		原則 使われない標準 約30日。
条件を満たせば「ゼロ保存（ZDR）」契約も可
消費者向け
（無料／Pro／Max）		初期設定のまま＝使われる
設定オフ＝使われない		学習オン＝最長5年
学習オフ＝約30日
全プラン共通の例外Anthropicの安全の仕組みが「問題あり」と判断した会話は、あなたの設定に関わらず、確認のため一定期間保存・利用されることがあります。だからこそ、そもそも危ないもの（顧客情報・機密）は送らないのが基本です。

自分の状態を確認する2ステップ

STEP 1プランを確認（設定 → 請求／アカウント）。
「Pro」「Max」「無料」＝消費者向け／「Team」「Enterprise」＝商用。
STEP 2学習オフを確認（設定 → プライバシー →「AIモデルの改善にご協力ください」）。
ここをオフ（灰色）にすると、あなたのやり取りは学習に使われず、保存も短くなります。
オフにしても効かない“もう1つの例外”＝👍👎ボタン学習をオフにしていても、回答に「いいね／よくないね」を押すと、その会話全体が学習・保存の対象になります（Anthropicは「関連する会話全体を保存」と明記。ChatGPT・Geminiも同じ仕組み）。よかれと思って押した1クリックが抜け道になるので、評価ボタンは押さないを運用ルールにしてください。

1回だけの相談は「シークレットチャット」

機密度の高い相談をその場限りで済ませたいときは、Claudeのシークレットチャット（新規チャット画面の右上にあるゴーストのアイコン）が使えます。学習設定がオンのままでも学習に使われず、履歴にも記憶にも残りません（安全のため30日は保持）。ただしプロジェクトの中では使えず、後から通常チャットに変換したり復元したりはできません。「一度きり」と割り切って使う機能です。

数字は変わりやすい保存日数などの条件は改定されます（消費者向けの扱いは2025年8月末に変更されました）。厳密に扱うときは、必ず公式のプライバシー設定・契約で最新を確認してください。プランごとの詳しい選び方は教材「Claudeの契約とアカウントの選び方」へ。ChatGPT・Geminiを含めた3社の学習オフ設定の手順は教材「AIに学習させない設定」にまとめています。

CHAPTER 3

2つのつなぎ方 —「コネクタ」と「ローカル同期」

Claude／Claude Code に Googleドライブを読ませる道は、大きく2つ。仕組みが別物なので、ここを分けて理解します。

つなぎ方どういう仕組み読める範囲
コネクタ
（MCP＝備え付け連携）		Googleでログインして1回つなぐと、以降は「これ読んで」で使える連携したアカウントが見えるドライブ“全体”。フォルダ単位には絞れない
ローカル同期
（Drive for Desktop）		ドライブのファイルをPCに同期し、Claude Codeがそのファイルを読むClaude Codeの「作業フォルダ」で絞れる（指定した場所だけ）
MCP（コネクタ）＝壁の備え付け家電コネクタは「壁に設置済みの電子レンジ」のようなもの。1回つなげば、あとは頼むだけ。ただしそのアカウントで見えるドライブは丸ごと対象になります（詳しくは教材「コマンド地図」のMCPの項）。

まず前提：Claudeはあなたの権限を超えません

公式にこう書かれています。

公式の説明Claudeはあなたの既存の権限をそのまま反映します。Google Workspaceであなたがアクセスできない情報には、アクセスできません。

つまりAIに特別な権限があるわけではなく、繋いだ人のGoogleアカウントとして動くだけです。会社で社員ごとにフォルダ権限を分けているなら、その分け方がそのままAIにも効きます。新しく設計し直す必要はありません。

逆に言うと、広い権限を持つ人が繋ぐと、その全部が対象になります。役職が上の人ほど、繋いだときの影響範囲が大きくなります。

※接続は1人ずつです。管理者が組織でコネクタを有効にしても、各自が自分のGoogleアカウントで認証する必要があります（Enterpriseの一部ベータ機能を除く）。また、オーナーは「Organization settings → Connectors」から組織全体でコネクタを無効にできます。

コネクタの落とし穴標準のGoogleドライブ・コネクタは「そのアカウントが見えるドライブ全体」が対象で、「このフォルダだけ」には絞れません。だから、顧客情報がたくさん入ったアカウントをそのままつなぐのは危険。絞りたいなら、次章の①（専用アカウント）で“アカウント側”を絞るのが筋です。

コネクタの権限設定 —「何ができるか」を1つずつ決める（設定 → コネクタ → Google Drive →「ツールの権限」）

コネクタをつなぐと、Claudeが使えるツール（＝AIができる操作）が9個並びます。英語のままなので、日本語と「実際に何が起きるか」を対応させておきます。ここを決めておけば、勝手に共有された・勝手に消されたという事故は起きません。

各ツールの右に3つのボタンがあり、これが設定です。

位置見た目意味
左チェック（✓）許可——毎回聞かずに使う。速いが、気づかないうちに実行される
真ん中手のひら確認する——使う直前に「やっていい？」と聞いてくる。ただしClaude Codeのデスクトップアプリには届きません（下の注意）
右斜線の入った丸ブロック——使わせない。つないでいても、その操作だけできなくなる

グループ名（「読み取り専用ツール」「書き込み/削除ツール」）の右のボタンでまとめて変更できます。中身がバラバラなときは「カスタム」と表示されます。

① 読み取り専用ツール（6個）——見るだけ。ドライブの中身は変わらない

英語表記日本語何が起きるか注意
Search filesファイルを探す名前や本文のキーワードでドライブ内を検索し、候補を一覧で出す中
題名＋抜粋が見える
List recent files最近のファイルを出す最近開いた・更新したファイルを新しい順に並べる中
今どんな仕事をしているかが見える
Read file content中身を読むドキュメント・スプレッドシート・スライド・PDF・画像の中身を文章として読み取る大
本文がまるごとAIに渡る
Download file content中身を取り込む元の形式のまま取り込む（CSVをCSVのまま等）大
同上
Get file metadataファイルの情報を見る題名・種類・更新日など、中身以外の情報小
Get file permissions共有相手を見るそのファイルを今、誰が見られるかの一覧小〜中
社内の氏名・メールが出る
見落としやすい関係「探す」をブロックすると、「読む」も実質使えなくなります。Read file content はファイルのIDを必要とし、そのIDは Search files か List recent files から受け取る決まりだからです。
ただし——あなたが自分でファイルのURLを貼れば読めます。「探させない、でも渡したものは読ませる」という運用にしたい人には、むしろこの組み合わせが向いています。

② 書き込みツール（3個）——ドライブの中身が変わる

英語表記日本語何が起きるか注意
Create fileファイルを作る新しいドキュメント・スプレッドシート・スライド・フォルダを作る小
増えるだけ
Copy file複製する既存ファイルのコピーを作る小
Update file題名・置き場所を変える変えられるのは題名と置き場所（フォルダ）だけ。中身は変えられない中
移動して行方不明になりうる
Update file は「中身の書き換え」ではありません名前から誤解しやすいところです。Claudeに「このドキュメントのここを直して」と頼んでも、既存のGoogleドキュメントの本文は書き換えられません。Update file でできるのは題名と置き場所を変えることだけです。
だから中身を変えたいときは、Claudeに新しいドキュメントを作らせて、古いほうを自分で消すという形になります。「毎回作り直しになるのはなぜか」の答えがこれです。
2026年9月に2つ無くなりました以前は Share file（人に共有する） と Trash file（ゴミ箱に入れる） があり、全部で11個でした。いまはこの2つが提供されていません（2026-09-09 実機確認）。
社外に情報が出る操作も、消す操作も無くなったということなので、危険度はむしろ下がっています。9個はすべて、良くも悪くも自分のドライブの中で完結します。
迷ったら Update file（題名・置き場所を変える）と Copy file（複製する）をブロックにしておく。どちらも人が手でやれば済むことで、AIに任せて得することがほとんどありません。

メンバーごとに変えられる？（Teamは一律）

やりたいことできるか
メンバーが組織の設定を緩めるできません。公式に individual users can't override it（個々のユーザーは上書きできない）
メンバーが自分だけ厳しくするできます（組織の設定が天井で、その範囲内で絞れる）
メンバーごとに違う設定にするTeamではできません。役割ベースの権限は available exclusively on Enterprise plans（Enterprise専用）
では、人によって差をつけたいときは？Claude側ではなく、Google側で分けます。
3層の①Workspaceの権限に戻る話です。ある人に顧客フォルダの閲覧権限が無ければ、その人のClaudeからも見えません——公式の「Claudeはあなたの既存の権限をそのまま反映します」がそのまま効きます。
つまり人ごとの出し分けは、もともとGoogle側で完結しています。Claude側で作り直す必要はありません。
※逆に言うと、Teamでコネクタの権限を決めるときは全員に同じものがかかります。厳しくしすぎると全員が困るので、取り返しのつかない操作だけを絞るのが実務的です。

③ おすすめの初期設定

どんな人読み取り専用（6個）書き込み/削除（5個）
はじめて
使う		全部「確認する」
何が起きるかを目で見て覚える期間		全部「確認する」
日常的に
使う		全部「許可」
自分のドライブを自分で読ませるだけなので、毎回聞かれると仕事にならない		Create＝許可
Update・Copy＝ブロック
「確認する」はデスクトップアプリに届きません（下の注意）
顧客情報が
多いアカウント		全部ブロック
＝そもそも繋がない。使いたいなら次章①の専用アカウントで繋ぐ		全部ブロック
最大の落とし穴：分かれ目は「誰が設定したか」画面は同じです。設定した人がオーナーかどうかで、届く範囲が変わります。公式が Claude Code での強制を明記しているのは組織の設定だけです。
Your organization can set per-tool controls on claude.ai connectors. Claude Code reads these settings at startup and enforces them locally.
（あなたの組織はコネクタにツール単位の制御を設定できます。Claude Codeはその設定を起動時に読み込み、手元で強制します）
・一般メンバー／個人アカウントが設定した分＝Claude・Cowork のチャット側にだけ効く。Claude Codeは素通りします（2026-08-21に実機で確認：読み取りを全部ブロックした状態でも、Claude Codeからドライブの読み書きができた）。
・Team・Enterprise のオーナーが設定した分＝Claude Codeも従う。しかもメンバー側で緩められない上限になります。
だから会社として止めたいなら、オーナーのアカウントで設定する。ここを取り違えると「設定したのに効いていない」が起きます。
※個人が設定した分が伝わらないことは、公式に明記されていません（組織設定の強制だけが書かれている、という状態）。上の判断は実機確認に基づいています。

設定画面は2つある（間違えやすい）

名前が似ていて役割がまったく違う画面が2つあります。ツールの権限を決めるのは上のほうです。

画面そこで何をするか
コネクタ
claude.ai/customize/connectors		ツールの権限を決める（許可／確認する／ブロック）
組織の設定 → コネクタ
claude.ai/admin-settings/connectors		コネクタ自体を組織に追加・有効化する。ツールの権限はここにはありません

つまり Team では2段階です。①オーナーが「組織の設定」でコネクタを組織に追加する ②各メンバーが自分のGoogleアカウントで認証してつなぐ。①をしただけでは各自のアカウントは自動接続されません。

効いたかどうかは、画面では分かりません設定画面に「これは組織全体の設定です」といった表示が出るという記載は、公式にありません。オーナー用と個人用が同じ画面なのか別なのかも公式に書かれていません。
確かめる方法は2つです。CLI（ターミナル）なら、メンバーのClaude Code で /mcp と打ち、そのコネクタのツール一覧を見る。「させない」にしたツールが一覧から消えていれば、効いています（ブロックされたツールは Claude に渡される前に除外される、と公式に明記）。
デスクトップアプリでは /mcp が使えません（引数を取らないコマンドは「この環境では使えません」と返る、と公式に明記）。その場合は捨ててよいテスト用ファイルを作り、実際に「名前を変えて」と頼んで、できないことを確かめます。
「設定した」と「効いている」は別——ここだけは必ず実測してください。

結局どこで設定すればいい？（早見表）

「組織を持っていないと制御できない」ということはありません。組織の設定は1か所で済ませられるというだけで、無くても同じ状態は作れます。設定する場所は3つあり、効く範囲が違います。

設定する場所Chat・CoworkClaude Code
① Claudeの画面
（コネクタのツール権限）		効く効かない
② Claude Codeの設定ファイル
（settings.json の deny）		—効く
③ 組織の設定
（Team・Enterpriseのみ）		効く効く
読み方・個人アカウント（Free/Pro/Max）…③は存在しません。①と②を両方やれば、全部カバーできます。
・Team・Enterprise…③を1回やれば①②の両方を兼ねます。しかもメンバー側で緩められません。会社として決めるならこれ。
いちばん多い事故は「①だけやって、守れたつもりになる」です。Claude Codeを使うなら②か③が要ります。
組織で設定したときの挙動（公式）・ブロックにすると、そのツールはClaudeから見えなくなります（渡される一覧から外れる）。
・確認するにすると、どの権限モードでも毎回聞かれます。「自動で進める」設定にしていても飛ばせず、許可ルールでも省略できません（＝会社の指示が個人の設定より強い）。
・設定は起動時に読み込まれます。変えたらClaude Codeを立ち上げ直すまで反映されません。

④ Claude Code 側で止める（組織の設定が使えないとき）

個人アカウントには「組織の設定」がありません。その場合でも、Claude Code 側の deny にツール名を直接書くことで止められます。ツール単位で指定できます（サーバーごと切るしかない、ということはありません）。

書き方効く範囲
mcp__claude_ai_Google_Drive__update_fileその1つのツールだけを止める
mcp__claude_ai_Google_Drive__*Googleドライブ連携の全ツールを止める
mcp__*すべての連携を止める

コネクタのツールは mcp__claude_ai_<サービス名>__<ツール名> という名前で現れます（公式）。名前の頭に claude_ai_ が付いていれば、それはclaude.aiでつないだコネクタ由来だと分かります。~/.claude/settings.json の deny に書けば全プロジェクトで有効。今どの設定が効いているかは /mcp で確認できます。

⑤ 禁止までは要らないとき——「毎回かならず確認」にする（ask）

deny は「二度と使わせない」設定です。たまには自分でもやりたい操作（不要になったページを消す、など）には強すぎます。その場合は同じファイルの ask に書きます。

書く場所何が起きるか向いているもの
permissions の denyそのツールを使えなくする二度と触らせたくないもの
permissions の ask実行前に毎回かならず本人に確認が出るたまには自分でやりたいもの
permissions の allow確認なしで実行する毎日使う読み取りなど

書き方は deny と同じで、"mcp__claude_ai_Google_Drive__trash_file" のようにツール名を並べます。組織設定の「確認する」を、個人アカウントで自分の手元だけに効かせるものだと考えてください。

ask は「どのモードでも」自動承認されない公式にはこう書かれています。
Claude Code doesn't auto-approve the following in any mode, including bypassPermissions: ・Tools matched by an explicit ask rule（どのモードでも自動承認しないもの ← その1つが「明示的な ask ルールに一致したツール」）
つまり auto モードでも分類モデルを飛び越えて本人に聞きます。確認を全部飛ばす bypassPermissions モードでも出ます。例外は dontAsk モード（一切聞かない設定）だけで、そこでは確認ではなく拒否になります——どちらにしても黙って実行されることはありません。
⚠️ 書き間違えても警告が出ませんツール名を間違えて書いても、起動時に何のエラーも出ません（名前に _ を含むルールはタイポ検査の対象外と公式に明記）。効いていないことに気づけないので、設定したら一度その操作を頼んで、確認が出るか目で確かめてください（出たら「いいえ」を押せばOK）。
※ deny の場合は逆で、確認が出ないまま実行されなければ成功です。見るポイントが逆になります。
コネクタ以外の連携こそ、ここでしか止められない自分で設定したMCP（社内ツールやSaaSのAPI連携など）は mcp__<サービス名>__<ツール名> という名前で、頭に claude_ai_ が付きません。この種類はclaude.aiのコネクタ画面に出てこないので、止める手段は settings.json だけです。削除系のツールが混ざっていないか、一度 /mcp で見ておくと安心です。
3つの止め方、どれを使う？・会社として全員に効かせたい → 組織のツール権限（管理者が設定。メンバーは緩められない）
・自分の手元だけ止めたい → Claude Codeのdenyにツール名を書く（上の④）。禁止までは要らないなら ask で「毎回確認」（上の⑤）
・連携ごと丸ごと使わせたくない → disableClaudeAiConnectors を true に、または deniedMcpServers にサービス名を入れる
チャット側の「自分の設定」は、この3つのどれでもありません——Claude Codeには効かない、という点に注意してください。
なぜ「勝手に動いた」ように見えるのか——既定は auto モード「MCPの操作は毎回聞かれるはず」と思いがちですが、それはManual（手動）モードの話です。公式にはこう書かれています。
On Pro, Max, and Team plans, the built-in starting permission mode is auto mode.（Pro・Max・Teamプランでは、開始時の権限モードはautoモード）
そして auto モードでは Everything else goes to the classifier（それ以外はすべて分類モデルに回る）。
つまりドライブの読み書きは、あなたではなく別のAIが承認しています。「どこかで"今後聞かない"を押したから」ではなく、最初からそういう既定だということです。
ただし例外があります：組織が「確認する」に設定したツールは、autoモードでも分類モデルを飛び越えて、必ず本人に聞きます（許可ルールでも省略できません）。個人設定との決定的な差がここです。
モードごと封じたい場合は、設定に "disableAutoMode": "disable" と "disableBypassPermissionsMode": "disable" を書きます（autoが既定なので、bypassだけ封じても足りません）。
この設定で決まらないことここで決められるのは「何ができるか」だけで、「どのフォルダまで」は決められません（上の落とし穴）。読む範囲そのものを絞りたいなら、次章①の専用アカウントか、ローカル同期＋deny封印になります。
ローカル同期側は、さらに封印できる「作業フォルダを選ぶ」は“開かない”という運用です。人が間違えれば開けてしまいます。これに対して deny（封印）は“読めなくする”設定で、どのレベルの設定からも解除できません（公式に明記）。顧客情報が入った同期フォルダには、こちらを使います。
つまり——コネクタで「何ができるか」を絞り、denyで「どこを触れるか」を絞る。役割が違うので、両方かけます。設定手順は AIの第二の脳を作る へ。
ただし“学習”の観点では、コピペより連携のほうが軽いここは軸が2つあるので分けて考えます。①見える範囲＝コネクタは広い（上の落とし穴）。②学習に使われるか＝Anthropicは「コネクタ（Google Drive等）やMCPサーバーからの生データは学習に含まれない。ただしClaudeとの会話に直接コピーした場合は含まれうる」と明記しています。
つまり同じ資料でも、本文をチャットに貼り付けるより、連携で読ませるほうが学習の扱いは軽い。範囲を絞る話（①）と、学習に使われる話（②）は別物——両方を満たすのが「絞ったアカウントで連携する」形です。

CHAPTER 4

特定のフォルダだけ読ませる — 4つの方法と選び方

「決めたフォルダ以外は絶対に見せたくない」を叶える手立ては、主に4つ。確実さの順に並べます。

方法中身“他を見せない”確実さ
① Claude専用の
Googleアカウント		Claude用に別アカウントを用意し、そのフォルダだけを共有する。連携アカウントは他が見えないので物理的に絞れる◎ 一番堅い
② 手動でファイルだけ渡す読ませたいファイルを1つずつ人が選んで渡す（アップロード等）。自動では同期されない◎ 確実・シンプル
③ ローカル同期＋
作業フォルダを限定		ドライブをPCに同期し、Claude Codeの作業フォルダをそのフォルダに限定する○ 手軽（指定ミスに注意）
④ 絞ったMCPサーバー公開するフォルダ・権限を自分で設計した連携を用意する○〜◎（技術者向け）

どれを選ぶ？（判断の早見）

顧客情報が絡む「絶対に他を見せたくない」→ ① 専用アカウント か ② 手動で渡す
自分だけ・手早く機密は元々入れない前提で軽く使う → ③ 作業フォルダを限定
技術者がいる連携そのものを設計して絞りたい → ④ 絞ったMCP
Driveの中で要約ドライブ内でAI（Gemini）に読ませたい → Driveの「プロジェクト」機能でフォルダを絞って渡す（最上位を丸ごとは精度が落ちる）
③を選ぶときの注意作業フォルダの指定を広く取りすぎると、他のフォルダも読めてしまいます。「顧客情報のフォルダを含まない、専用の作業フォルダ」を1つ決めて、そこだけを指定してください。標準コネクタ（全体が見える）とは違い、ここは自分で範囲を決められるのが利点であり、責任でもあります。

実際に“見せない”を確実にする：deny設定（Google Drive デスクトップ版を使う人向け）

これはGoogle Drive デスクトップ版を使っていて、ドライブのファイルがPC内（仮想ドライブ G:・H: 等）に降りている時の話です。ブラウザだけでDriveを使うならPCにファイルは無いので、この節は不要（その場合は前章「コネクタ」側の管理になります）。

補足：ローカルに“降りる”ファイルと、降りないファイル同期していても、全部がPCに降りるわけではありません。
・降りる（＝ローカルから読めてしまう）…CSV・PDF・Excel・Word・画像など、もともと本物のファイルのもの。顧客リストや売上CSVはここなので、denyが要るのはまさにこの層です。
・名前だけ降りる（中身は空）…Googleドキュメント・スプレッドシート・スライド。フォルダを開けば一覧に並びますが、拡張子が .gdoc .gsheet .gslides になっていて、実体は「このURLを開け」と書かれた数百バイトのメモです。表のデータは1行も入っていません（公式：essentially just pointers to web documents）。ダブルクリックするとブラウザが立ち上がるのが、その証拠です。
「降りてこない」ではなく「名前は並ぶが中身が無い」——ここを取り違えると、フォルダを見て「同期されている＝読まれる」と誤解します。
つまりGoogleドキュメント類を読ませているなら、それはローカル経由ではなくコネクタ経由です。逆に顧客CSVのような実ファイルは、コネクタを切ってもローカルから読める——ここが穴です。
※抜け道が1つ：.gsheet を読むと中のURLは手に入るので、そこからコネクタ経由で本体を取りに行くことは理屈上できます。ただしそのフォルダを deny で封印していれば .gsheet 自体を読めないので、この道も塞がります。
まず訂正：「devの外だから安全」とは限らない「作業フォルダ（例：dev）の外に置けばClaudeは読めない」と思いがちですが、Claude Codeが読める範囲は“作業ディレクトリ一式＋許可設定”で決まります。設定で Read を全体許可していると、PC内のどこでも読めてしまうことも。さらにストリーミング（クラウドに置いたまま）でも、読んだ瞬間にダウンロードされるので「同期オフ＝安全」でもありません。ローカルで一番強い壁が deny 設定です（ただし万能ではありません。下の「運用で穴が空く4つの落とし穴」まで読んでください）。

deny（読ませない設定）＝Claude Codeの設定ファイル settings.json に書く「やってはいけないこと」の一覧。許可より強く（deny＞許可）、フォルダなら丸ごと指定できます。
フォルダ専用の機能ではありません——Read(...)＝読む／Edit(...)＝書き換える／Bash(...)＝コマンドを実行する／mcp__サービス__ツール＝連携先の操作を、同じ1つのリストに混ぜて書けます。この章で扱うのはそのうちフォルダを守る書き方です（連携そのものを止める書き方は CHAPTER 3 の「④ Claude Code 側で止める」へ）。

やること書き方・例
フォルダを丸ごと封印末尾に /**（中のサブフォルダも全部）
Windowsのパス変換C:\… → //c/…／Driveの仮想ドライブ H:\… → //h/…
実際の2行（例）"Read(//h/マイドライブ/顧客/**)"
"Edit(//h/マイドライブ/顧客/**)" を deny に追加
置き場所ユーザー設定 ~/.claude/settings.json に書けば全プロジェクトで有効
使うときの3点①有効化：設定は起動時に読まれるので、書いたらClaude Codeを開き直す。②確認：/permissions と打つと、効いている deny 一覧が見える。念のためそのフォルダにダミーの空ファイルを置いて「読んで」と頼み、拒否されればOK（本物の顧客ファイルで試さない）。③解除：その行を消すだけで元通り＝“試しに”が気軽にできる。

運用で穴が空く4つの落とし穴（2026-08、実際に起きたこと）

deny を書いた時点では守れていても、使い続けるうちに穴が空きます。実際に1年運用したPCを点検して見つかった4つを、そのまま共有します。

① 許可は積み上がって、壁が消えるClaude Codeは「これ読んでいい？」に一度OKすると、その許可が設定に残り続けます。1年使うと数百行になり、いつの間にかユーザーフォルダ（C:\Users\自分）が丸ごと許可に入っていた——という状態が実際に起きていました。こうなるとダウンロード・Dropbox・OneDrive・各種ツールの鍵が全部読める状態です。「devで開いているから外は読めない」は成立しません。
対策：半年に1回でいいので /permissions で許可の一覧を見る。増えすぎた許可を消すのは大仕事なので、穴を塞ぐなら deny 側に足すほうが確実（denyは許可より強く、後から書いても効く）。
② deny の階層が浅いと、すぐ横が素通りになるマイドライブ/顧客/** だけ封印していても、マイドライブ直下に置かれた議事録や応募フォームの回答は読めてしまいます。実際そうなっていました。ファイルは「決めたフォルダ」にきれいに収まってくれません。
対策：迷ったら1階層上を丸ごと封印する（例 "Read(//h/マイドライブ/**)"）。Driveの資料を読ませたい時はコネクタ（連携）経由なら普通に使えます——ここで塞がるのはPCのフォルダとして読む道だけなので、実作業はほとんど困りません。
※コネクタ側を止めたいときは別の書き方（ツール名を deny に書く／組織の設定）があります。CHAPTER 3の「④ Claude Code 側で止める」を参照。
③ deny が効かない道もある（ここが一番の勘違い）AIがファイルの中身を見る道は1本ではありません。deny の設定は「どの道具で・どこを触るか」の組で書きます。いま書いているのは「“読む”という道具でこのフォルダを触るな」——他の道具については何も言っていません。
AIが中身を見る道Read の deny で塞がる？
①「読む」機能を使う塞がる（探し物のついでに通過する事故は、ほぼこれ）
② プログラムを走らせて読む塞がらない
③ Googleドライブ連携（コネクタ）で取り寄せる塞がらない（そもそもPCのフォルダを通らない）
ただし別の書き方でなら塞げます→ mcp__claude_ai_Google_Drive__update_file のようにツール名を書けばdenyできます（CHAPTER 3の④）。この表はRead(...)の話です
実際に試すと、①は拒否され、②は通ります（2026-08 実機確認）。玄関に鍵をかけたが勝手口は開いている状態です。
ただし②は「プログラムを書いて走らせる」というはっきりした意図のある行動で、偶然そうなることはまずありません。事故の大半は①で起きるので、塞ぐ価値は十分あります。
まとめると：deny は「うっかり開く事故を防ぐ」壁であって、「絶対に届かない」は作れません。絶対が必要なものは CHAPTER 4 の①専用アカウント／②手動で渡す——そもそもAIが動くPCに置かないのが本筋で、denyはその上に重ねる二重の保険です。
④ 事故は「読んで」と頼まなくても起きる危ないのは「顧客ファイルを読んで」と頼む場面ではありません。AIが何かを探すとき、指定していないフォルダを勝手に通過します。「このファイルどこにある？」と頼んだだけで、AIはPC内を検索し、その途中でDriveの顧客フォルダを通ります（実際に起きました）。
つまり：「見せないように気をつける」では防げません。気をつけようがない場所で起きるので、設定で機械的に塞ぐしかない、というのが①〜③の理由です。

CHAPTER 5

顧客情報を扱う仕事の“鉄則”

どのつなぎ方・どの方法でも、読ませた中身はクラウドで処理される（CHAPTER 1）。だから、顧客情報を扱う会社の原則はシンプルです。

たとえ：金庫と掲示板秘密（顧客情報・鍵）＝金庫。中身は見せず、必要なら「金庫の中の“あれ”を使って」と名前で指示する。ただの設定（モード・地域名など）＝掲示板。これはAIに自由に見せてOK。この2つを分けておくと、安心して仕事をAIに任せられます。

CHAPTER 6

Claude Codeで「作る」時、Googleはどう出てくる？

実は、Claude Codeで何かを作る時にGoogleが登場するのは限られた場面だけ。次の3パターンで整理できます。

パターン中身Googleの扱い
① 登場しない
（一番多い）		ローカルの作業フォルダで完結（スクリプト・ツール・LP等の中身を作る）考える必要なし
② ツールが実行時に触る
（本命）		Claudeは「Googleにつなぐコード」を書くだけ。Claude自身は中身を読まない認証情報を .env に置きdenyで封印。Claudeは"名前"で呼ぶ
③ 作る途中で読ませたい
（まれ）		Driveの既存ファイルをClaudeに読ませたい時非機密ファイルだけコピー／顧客情報はやらない（Gemini側で）
②の「カギ」の話——なぜ .env と deny が出てくるのかここは4段でつながっています。バラバラに覚えると分からなくなる場所です。
① プログラムからGoogleに入るには、人のログイン（ID・パスワード）ではなく専用の合鍵が要る ＝ APIキー／トークン。
② その合鍵をプログラムの中に直接書くと、そのファイルを見た人全員に鍵が渡る（GitHubに上げたら世界中）。だから鍵だけ別ファイルに分けて置く ＝ .env。
③ でも .env はPCの中にあるので、Claude Code自身も読めてしまう（読んだ瞬間クラウドへ）。だから設定で「.envは読むな」と書く ＝ deny。
④ 結果 ＝ 作る本人のAIは鍵を見ない。でも完成したツールは鍵を使える。
④が成り立つ理由：ツールはAIではないので、denyの対象外だからです。denyは「Claude Codeに対する設定」であって、出来上がったプログラムには関係ありません。ここが分かると全部つながります。
※APIキーそのものの入門は教材「API・APIキー入門」、deny の書き方は AIの第二の脳を作る へ。
よくある誤解②：本物のデータ＝AIに行く、ではない②で完成したツールが本物のデータ（顧客CSV等）を読む時、「データがAIに行くか」は“ツールが何をするか”次第です。
・純粋なコード処理（集計・グラフ・PDF出力・フィルタ）＝AIを呼ばない → データはどのAIにも行かない（自分のPC／システム内で完結）。
・AIに渡す処理（自由文の要約・分類）＝その部分だけAIに行く。
だから「絶対に漏らしたくない情報でも、純コード処理なら分析できる」。営業データの集計・ダッシュボード化はたいてい純コード＝AI不使用でOK。
開発のコツ：ダミー→本番作る時は列だけ同じ“ダミーデータ”（架空の値）で開発・テストし（Claudeにはダミーしか見せない）、完成後に同じツールへ本物のデータを読ませて動かす（実行時＝Claudeは不在）。＝本物の顧客データはAIの目に触れずに処理できる。

CHAPTER 7

結局どうすればいい？（チェックリスト）

まず整理：穴は2つあり、塞ぎ方も別

やることが多く見えますが、塞ぐべき穴は2つだけです。しかも互いに独立していて、片方を塞いでももう片方は開いたままです。

穴誰に関係あるか塞ぎ方
① コネクタ
（MCP連携）		繋いでいる人 全員。
Drive for desktop の有無は無関係		deny に mcp__claude_ai_Google_Drive__update_file
Team・Enterpriseならオーナーが組織の設定で一括
② ローカル同期
（Drive for desktop）		同期している人だけdeny に Read(//h/マイドライブ/顧客/**)
マシンごとに設定が要る
2つの穴は、守れるファイルの種類が違います仕組みが違うだけでなく、担当するファイルが分かれています。ここが分かると「自分はどちらが要るのか」を判断できます。
守りたいもの効く対策効かない対策
Googleスプレッドシート
ドキュメント・スライド		コネクタ側
（ツールの権限／そもそも繋がない）		ローカルの deny は無力
中身がPCに無いので、守るものが無い
CSV・PDF・Excel
Word・画像		ローカルの denyコネクタを切っても読める
実ファイルとしてPCに降りているため
つまり——顧客情報がスプレッドシートにあるなら、denyをいくら書いても守れません。コネクタ側で止めるしかない。顧客情報がCSVやExcelにあるなら、コネクタを切っても守れません。denyが要る。
両方の形で持っているなら、両方要ります。これが「片方を塞いでも、もう片方は開いたまま」の実体です。
よくある取り違え・「Drive for desktop を使っていないから安心」…①の穴は残ります。コネクタを繋いでいれば、同期の有無に関係なく読み書きできます。
・「コネクタを切ったから安心」…②の穴は残ります。同期したCSVやPDFは、ただのファイルとして読めます。
個人アカウント（Free/Pro/Max）の人へ：Claudeの画面でブロックにしてもClaude Codeには効きません。組織の設定も持っていないので、①はdenyに書く以外に手段がありません。

迷ったら、上から順にこれだけ確認すれば大丈夫です。

人に説明するときの3行（そのまま使える）

  1. Claudeが触れるフォルダを分け、顧客情報はそのフォルダに入れない運用にします。＝AIに「見せる箱」と「見せない箱」を分ける、ということ。
  2. さらに固めるなら、Claude専用のGoogleアカウントに“作業フォルダだけ”共有します。＝そのアカウントには他が見えないので、物理的にそこしか読めなくなる。
  3. 大前提として、AIに読ませた内容はクラウドで処理されるので、お客様情報は最初から読ませない設計にします。＝ローカルに置いても送られる。だから“入れない”のが一番確実、という理由。

APPENDIX

用語ミニ辞典

コネクタ / MCPエム・シー・ピー
AIと外部サービス（ドライブ・Gmail等）を“備え付け”でつなぐ仕組み。1回ログインでつなげば、あとは頼むだけ。ただし「連携したアカウントが見える範囲」全体が対象。
ツール（コネクタの）tool
コネクタごとに用意された「AIができる操作」の一覧。Googleドライブなら9個（探す・読む・作る・題名を変える等）。1つずつ許可／確認する／ブロックを選べる。決まるのは「何ができるか」で、「どのフォルダまで」ではない。
ローカルlocal
あなたのPCの中、という意味。Google Drive for Desktop を入れると、ドライブのファイルがPC内に同期され、Claude Codeがそれを読める。
作業フォルダworking directory
Claude Codeが「許可なしで読み書きしていい」と決めた場所。ここを絞ると、AIが触れる範囲を限定できる。ただし“作業ディレクトリ一式＋許可設定”で決まるので、範囲を広く取ると意図せず読めてしまう。
deny設定ディナイ
Claude Codeの設定（settings.json）に書く「やってはいけないこと」の一覧。フォルダ専用の機能ではありません——Claude Codeができる操作には全部名前が付いていて、その名前を書けば何でも止まります。Read(...)＝読む／Edit(...)＝書き換える／Bash(...)＝コマンドを実行する／WebFetch(domain:...)＝サイトを見に行く／mcp__サービス__ツール＝連携先の操作。これらを同じ1つのリストに混ぜて書けます。許可より強く、フォルダ丸ごと（末尾 /**）封印できる。ローカル（デスクトップ版でPC内に降りたDriveファイル等）の顧客フォルダを“確実に”見せない唯一の方法。
ZDR（ゼロデータ保存）Zero Data Retention
商用契約で申請できる、応答後に内容をサーバーに残さない仕組み。消費者向けプラン（無料/Pro/Max）では使えない。
仮名化かめいか
氏名・住所などの「誰か分かる情報」を消す／別の記号に置き換えること。分析だけしたいときに、個人を特定できない形にして渡す。