MCP（Model Context Protocol）は、AIアプリと外部のデータ・ツールをつなぐための共通ルールです。たとえばAIに、社内文書を探してもらう、データベースを調べてもらう、許可された業務ツールを操作してもらう、といった連携を、サービスごとに一から作らずに実現しやすくします。
ただし、MCPは「AIを賢くする魔法」でも「何でも安全に自動化するボタン」でもありません。AIが外部へ触れる入口を標準化する仕組みであり、権限・承認・接続先の信頼性は人が設計するものです。この記事では、AI/DX担当者が知っておきたい基本から、安全な最初の導入までをまとめます。
結論：MCPはAI向けの共通接続規格
MCPは、AIアプリケーションと外部システムをつなぐオープンなプロトコルです。公式ドキュメントでは、AIアプリにとってのUSB-Cのようなものとして説明されています。
USB-Cが機器を同じ形の端子でつなぎやすくしたように、MCPはAIアプリが文書、データベース、検索、社内APIなどと接続するためのやり取りをそろえます。接続先ごとにAIアプリ専用の連携を作るより、再利用や切り替えがしやすくなるのが狙いです。
まず押さえたい3つの登場人物
MCPの構造は、次の3つに分けると理解しやすくなります。
- Host（ホスト）: ユーザーが使うAIアプリ。接続を開始し、全体の体験と権限管理を担います。
- Client（クライアント）: Hostの中で、特定のMCPサーバーとの通信を担当する接続役です。
- Server（サーバー）: AIにデータや機能を提供する側。ローカルのプログラムにも、ネットワーク上のサービスにもなれます。
AIアプリが直接すべての業務システムを理解するのではなく、MCPサーバーが「何を読めるか」「どんな操作ができるか」をAIアプリに伝えます。プロトコルのメッセージ形式にはJSON-RPC 2.0が使われ、接続時に利用可能な機能を確認し合います。
MCPサーバーが提供する主な3機能
MCPでは、サーバーが主に次の機能を提供できます。
Resources：AIが参照する情報
Resources（リソース）は、AIが読むための文脈やデータです。ファイル、ナレッジベース、データベースのレコードなどが該当します。
「最新の営業資料から要点をまとめて」のような依頼では、AIが参照を許された資料を取得し、回答の材料にします。参照できることと、変更してよいことは別の権限として考えましょう。
Tools：AIが実行する操作
Tools（ツール）は、検索、データ取得、チケット作成、API呼び出しなど、AIが呼び出せる処理です。読み取りだけでなく、外部へ影響する操作も含められます。
そのため、ツールは最も注意が必要な入口です。公式仕様でも、ツールは任意のコード実行につながり得るため慎重に扱い、呼び出し前に明示的なユーザー同意を得ることが求められています。
Prompts：再利用できる作業のひな型
Prompts（プロンプト）は、ユーザーが選んで使えるテンプレート化されたメッセージやワークフローです。たとえば「週次レポートを作る」「障害報告を下書きする」といった定型作業の入口をそろえられます。
Resourcesを「読むもの」、Toolsを「動かすもの」、Promptsを「頼み方のひな型」と捉えると、役割を混同しにくくなります。
MCPでできること、できないこと
MCPが向くのは、AIが必要な情報へ安全に近づき、許可された操作を行う場面です。
- 社内文書やナレッジベースを横断して調べる
- データベースや業務システムから必要な情報を取得する
- 検索・計算・ファイル操作などのツールをAIへ提供する
- 同じ連携を複数のMCP対応AIアプリで再利用しやすくする
一方で、MCPそのものは次を保証しません。
- AIの回答が常に正しいこと
- 接続先のデータ品質がよいこと
- 権限設定が安全であること
- 外部システムの操作が業務ルールに適合すること
MCPは配線であって、業務判断やガバナンスの代わりではありません。 回答の検証、データの管理、操作の承認は引き続き必要です。
導入前に決めるべき4つのこと
便利そうなMCPサーバーを見つけてすぐ接続する前に、次の4点を整理してください。
1. 何を解決したいのか
「AIを社内システムにつなぐ」ではなく、「問い合わせ対応で必要な資料を探す時間を減らす」のように、業務の目的で定義します。目的がないまま接続先を増やすと、権限だけが広がります。
2. 読み取りと書き込みを分ける
最初は読み取り専用が基本です。たとえば検索や参照だけを許可し、作成・更新・削除・送信は別のツールに分けます。書き込み操作を導入する場合は、対象・実行条件・承認者を明文化します。
3. 誰の権限で接続するか
個人のアカウント、共有アカウント、専用のサービスアカウントでは、事故が起きたときの影響と追跡方法が異なります。最小権限の原則に従い、用途専用の権限を用意できるか検討しましょう。
4. 結果を誰が確認するか
AIが返す内容の確認者と、操作を承認する人を決めます。特に顧客情報、契約、金額、公開情報に触れる作業では、確認なしの自動実行を避けるのが無難です。
安全に始めるためのチェックリスト
MCPは外部データへのアクセスやツール実行を扱えるため、導入時はセキュリティ確認が欠かせません。
- 接続先の提供元、ソース、更新状況を確認した
- 必要なデータだけに絞り、秘密情報を広く渡していない
- 読み取り・書き込み・削除・外部送信の権限を分けた
- 重要な操作にはユーザーまたは管理者の承認を挟む
- ツールの説明文や外部から取得した内容も、無条件には信用しない
- 利用ログ、停止方法、問い合わせ先を決めた
とくに注意したいのが、プロンプトインジェクションです。外部文書やWebページに含まれる文章が、AIへ「権限を広げる」「秘密を送信する」といった不適切な指示を与えようとすることがあります。外部データは回答の材料であって、AIへの信頼できる命令ではないという前提を、ツール設計と運用の両方に入れてください。
最初のユースケースは「読むだけ」から
最初におすすめなのは、社内の公開済みドキュメントを対象にした検索・要約です。更新や送信が伴わず、どの情報にアクセスしたかも確認しやすいためです。
たとえば次の順序で小さく始めます。
- 対象を1つのナレッジベースに限定する
- 読み取り専用のMCPサーバーまたは接続を用意する
- 5〜10個の実際の質問で、回答の正確さと参照範囲を確認する
- 利用者のフィードバックを集め、権限と説明を見直す
- 効果が確認できてから、対象データやツールを少しずつ広げる
OpenAIの公式ドキュメントでも、MCPサーバーやコネクターを使って外部サービスへ接続できる一方、信頼できるリモートMCPサーバーだけを利用し、リスクを確認するよう案内しています。
よくある誤解
「MCPを入れればRAGはいらない？」
いいえ。RAGは、必要な情報を検索してAIの文脈に渡す設計・手法の総称です。MCPは、AIアプリと外部の情報源・ツールをつなぐためのプロトコルです。MCPを経由してRAG用の検索機能を提供することはできますが、同じものではありません。
「MCPは特定のAIだけの機能？」
MCPはオープンプロトコルです。対応状況や機能範囲はAIアプリごとに異なりますが、特定のAIモデルそのものに閉じた仕組みではありません。実際に使う際は、使うHostがどの接続方式・認証・承認フローに対応するかを確認しましょう。
「承認画面があれば安全？」
承認は重要ですが、それだけでは不十分です。接続先の信頼性、渡すデータの範囲、ツールの最小権限、操作後の監査も合わせて設計する必要があります。
今日の一歩
まずは、自社で「AIに読ませてもよい情報」と「絶対に書き換えさせてはいけない情報」を分けてみてください。その境界が決まると、MCPでつなぐべき対象と必要な承認フローが見えてきます。
MCPを上手に使うコツは、接続数を増やすことではありません。目的に合う小さな接続を、最小権限と確認手順つきで育てることです。
参考資料
※ 記事内の仕様説明は、2026年8月18日時点で公開されている公式ドキュメントをもとにしています。
