2026 年、AI エージェントは「質問に答える道具」から「画面を操作して仕事を片づける同僚」へ変わりました。ファイルを整理し、フォームを埋め、メールの下書きを作り、複数アプリをまたいで手順を実行します。便利な反面、無防備に任せると誤送信・情報漏洩・暴走といった事故が起きます。この記事は、業務を任せる前に必ず確認すべき項目を、いまの現実に合わせて具体的に整理したチェックリストです。
大前提を一つ。2026 年時点でもプロンプトインジェクション（外部から紛れ込んだ指示にエージェントが従ってしまう攻撃）を完全に防ぐ方法は存在しません。だからこそ「攻撃をゼロにする」発想ではなく、権限を絞り、人の承認を挟み、いつでも止められるという封じ込めの設計が安全の柱になります。料金・機能・製品名は変動が激しいので、本記事の数値や名称は方向性として読み、運用時は必ず公式情報で確認してください。
01そもそも「エージェントに任せる」とは何か
従来のチャットは、あなたが読んで判断し、手で実行していました。エージェントは違います。目標を渡すと、自分で手順を分解し、ツールを呼び、結果を見て次の手を打つ——これを何度も繰り返します。画面操作型（Computer Use）のエージェントは、スクリーンショットを撮る → 画面を読む → 次の操作を決める → クリック/入力する、というループで動きます。
FIG.1 チャットは「答え→人が実行」。エージェントは「読む→決める→操作→確認」を自走する
2026 年に実際に使われている代表例を挙げると、ローカルのファイル操作（PDF を読む・フォルダを整理する）に強い Claude Cowork、ブラウザ作業を ChatGPT に統合した ChatGPT Agent（単体の Operator は 2025 年に統合・終了）、長時間の多段タスク向けの Manus、Google の Gemini Agent（実験プロジェクト Project Mariner は 2026 年に終了し統合）などがあります。製品の入れ替わりは速いので、「どの製品か」より「どう任せるか」を身につけるのが本質です。
02委任前チェックリスト：7 つの確認
任せる前に、次の 7 項目を上から順に確認します。1 つでも「いいえ」があれば、その範囲は任せないか、人の確認を挟む設定にします。
目的とゴールは明確か
成果物の形と「完了の条件」を言葉で定義したか。「いい感じにして」ではなく「この 30 件を◯◯形式の表にまとめ、最後に件数を報告」のように、判定できる粒度で渡す。
禁止事項を明示したか
決済・送信・削除・購入・申込など不可逆な操作はさせないと明記。指示文に「メール送信や課金は行わず、必ず下書き／提案で止める」と書く。
権限は最小か（最小権限）
渡すアカウント・データ・ツールを、その仕事に必要な分だけに絞る。管理者権限の常用は避け、できれば短命で範囲限定の権限を使う。読み取りで足りるなら書き込み権限は渡さない。
機密の境界を確認したか
そのデータをエージェント（＝多くは外部サービス）に投入してよいか。個人情報・顧客情報・未公開情報は、社内規約とサービスの利用条件の両方で確認する。迷うなら入れない。
承認ゲートを置いたか
対外アクション（送信・公開・連絡）と不可逆アクション（削除・支払い・本番反映）には、実行直前に人の承認を挟む。「やってから報告」ではなく「やる前に確認」を既定にする。
検証手段を決めたか
エージェントの出力はもっともらしく間違える（ハルシネーション）前提で扱う。数字・固有名詞・引用は一次情報で裏取りする手順を決めておく。「出典 URL を併記させる」だけでも事故は減る。
ロールバック手段はあるか
誤作動に気づいたとき、即座に止める「キルスイッチ」と、変更を元に戻す手順（バックアップ・履歴・取り消し）を先に用意する。止め方を知らないまま走らせない。
03権限は「最小」から始める
最大の事故源は権限の渡しすぎです。基本はすべて拒否から始め、必要な分だけ開ける（デフォルト拒否＋最小権限）。多くのツールには権限レベルがあり、たとえば「毎回許可なしで実行（Always allow）」と「実行前に毎回確認（Needs approval）」を選べます。
