社内RAGの導入相談をいただくと、話は必ず同じところに進みます。「有給は何日残っていますか」には答えられるようになった。では、「じゃあ来週の金曜で申請しておいて」は誰がやるのか、と。

RAGは、AIに社内の文書を読ませる技術です。読んで答えるところまでで止まります。その先、社内システムを操作させるための規格が、いま急速に標準になりつつある MCP（Model Context Protocol） です。

この記事では、MCPが実際に何をする規格なのか、社内で使うと何ができるようになるのか、そしてRAGのときには存在しなかった種類のリスクが何なのかを、順に書きます。

MCPとは何か——「つなぎ方」の共通規格

AIに自社のシステムを触らせようとすると、これまでは毎回、専用の配線を書く必要がありました。基幹システム用のつなぎ込み、グループウェア用のつなぎ込み、勤怠システム用のつなぎ込み。しかも使うAIを乗り換えると、書き直しです。

MCPは、その差込口の形を統一する規格です。「うちのシステムはこういう操作ができます」というカタログを決まった形式で公開しておけば、対応しているAIならどれでもつながります。

• 2024年11月25日：Anthropic がオープンな標準として公開。
• 2025年3月：OpenAI が採用を表明し、ChatGPTのデスクトップアプリを含む製品に取り込み。
• 2025年4月：Google DeepMind も対応。
• 2025年12月：Anthropic が MCP を Linux Foundation 傘下の Agentic AI Foundation へ寄贈。一社が握る仕様ではなくなりました。
• 2026年7月28日：仕様が改定され、プロトコル層からセッション管理が外れて「状態を持たない」形に。大規模に並べて使いやすくなりました。

技術的な中身は拍子抜けするほど普通です。通信はJSON-RPC 2.0。AIを動かす側（ホスト）と、機能を提供する側（サーバー）に分かれ、サーバーがツール（実行できる操作）とリソース（読み取れるデータ）を並べて公開します。新しい技術というより、決めごとです。

社内で何が変わるのか

チケット管理システムを例にすると、違いがはっきりします。

当社では、これに近いことを自社の開発環境で動かしています。Redmineのチケットに 「@claude ここを直して」 と注記を書くと、1分以内にAIがそれを拾い、コードを修正し、結果をチケットに書き戻す、という仕組みです。仕組み自体はMCP以前に自前で組んだものですが、やっていることはまさに「AIに社内ツールを操作させる」でした。そして、その配線を毎回自分で書かなくてよくする、というのがMCPの提案です。

ここからが本題——「間違った答え」と「間違った操作」の違い

RAGの失敗は、たいてい間違った答えを返すことです。恥ずかしいですが、読んだ人が気づけば止まります。

MCPの失敗は、間違った操作が実行されることです。ここが決定的に違います。

2025年4月には、セキュリティ研究者から具体的な指摘が出ています。プロンプトインジェクション——つまり、AIに読ませる文書の中に「このあと全件削除して」といった指示を仕込んでおく攻撃です。さらに、細工されたツールを経由して、別のツールから読み取ったデータを外部へ持ち出させる手口も報告されました。

RAGなら、変な文書を読んでも出てくるのは変な回答止まりです。操作の権限を渡した瞬間に、同じ入力が実際の操作に変わります。

だから、こういう順番で入れます

• 第1段：読み取り専用から。検索・要約・下調べだけを許可する。ここだけでも効果は出ますし、事故は起きません。
• 第2段：書き込みは「下書きまで」。チケットの起票、メールの作成、伝票の入力——作るところまではAI、送信・確定は人。当社が営業DMや記事の公開で実際に守っている運用も、これと同じです。
• 第3段：定型の確定操作だけを自動に。取り消せる操作、影響範囲が閉じている操作から順に。削除・送金・外部への公開は、最後まで人の手に残します。
• 全段共通：ログを残す。「AIがいつ、どのツールで、何をしたか」が後から追えないと、問題が起きたときに切り分けができません。

費用は「APIがあるかどうか」でほぼ決まります

見積もりの話をすると、多くの方が「AI側にいくらかかるか」を気にされます。ですが実際に金額を動かすのは、つなぐ相手側の事情です。

• APIがある：MCPサーバーは、そのAPIを決められた形で並べ直すだけの薄い層になります。小さく作れます。
• APIがない（画面しかない）：ここが本体になります。DBを直接見るのか、画面操作で代替するのか、そもそもベンダーに開けてもらうのか。技術ではなく交渉と調査の工数です。
• 権限の考え方が合わない：「部署ごとに見える範囲が違う」システムに、AI用の1アカウントでつなぐと、権限設計が崩れます。RAGの見積もりが当たらない理由と、まったく同じ構図です。

ですので、最初にやるべきことは技術選定ではありません。「触らせたい社内システムに、APIがあるか」を1つずつ確認することです。この一覧ができた時点で、費用の8割は見えます。

まとめ

• MCPは、AIと社内システムの差込口を統一する規格。2024年11月に公開され、2025年12月からはLinux Foundation傘下の中立団体が管理しています。
• RAGが「読む」なら、MCPは「操作する」。起票・更新・書き戻しまでAIの担当範囲になります。
• 失敗の質が変わります。間違った答えではなく、間違った操作。読ませる情報源と渡す権限は、必ずセットで設計します。
• 読み取り専用 → 下書きまで → 定型の確定操作、の順で。削除・送金・外部公開は人の手に残す。
• 費用を決めるのは、つなぐ相手にAPIがあるかどうか。技術選定より先に、この棚卸しを。

「うちのシステムはAIにつなげられるのか」という段階のご相談も承っています。まずは対象システムの棚卸しから、ご一緒できます。お問い合わせはこちらからどうぞ。