ChatGPT Workがログイン必須サイトに対応｜権限の決め方
「AIに、ログインが必要なサイトの作業まで任せられるらしい」——2026年8月25日のChatGPT Workの発表以降、そんな話を耳にした経営者の方は多いと思います。
結論から言うと、この機能で本当に決めるべきなのは「使うか・使わないか」ではなく、自分のログイン状態をどこに置くかです。AIにブラウザを触らせる方式はいま3つあり、どれを選んでもリスクは消えません。置き場所が変わるだけです。
株式会社Fyveは中小企業のAI導入を支援しています。私自身、AIエージェントにブラウザを操作させる自動化を実務で運用し、そこで一度事故も起こしています。この記事では公式ドキュメントで確認できる事実と、その実運用の経験を突き合わせて、最初に決めるべき設定をお伝えします。
結論：この記事の要点
- AIがあなたの代わりにパスワードを入力するわけではありません。ChatGPTはサインイン画面で一度止まり、あなたが専用フォームに入力します
- 入力した認証情報はモデルに見えず、保存もされず、学習にも使われません（OpenAI公式ヘルプの記載）
- ただしログイン済みのセッションはOpenAI側のクラウドに残り続けます。ここが最大の判断ポイントです
- 対応プランは日本語記事によって記載が割れていますが、公式の記載は「Free と Go を除く有料プラン」です
- 「サイトへのアクセス許可」と「重要な操作の承認」は別の設定です。ここを混同すると事故が起きます
2026年8月25日に発表された内容——公式ドキュメントで確認できる事実
OpenAIは2026年8月25日（現地時間）、ChatGPT Workの「クラウドブラウザ」がサインインを必要とするWebサイトの操作に対応したと発表しました。ITmedia NEWSも翌26日付でこれを報じています。
公式ヘルプでは、クラウドブラウザは「ChatGPT Workに、クラウド上の別のコンピューター内で動く専用のブラウザを与えるもの」と説明されています。Webページを読み、ボタンをクリックし、フォームに入力し、公開サイトとログイン済みサイトの両方で手順を実行できる、という位置づけです。
用途として公式が挙げているのは、光熱費アカウントにログインしてプラン比較をする、条件に合う物件情報を探して保存する、会計ソフト上で請求書を突き合わせて記録を更新する、といった作業です。「調べる」で終わらず「作業する」ところまで踏み込んでいるのが特徴です。
「AIがログインを代行する」ではない——ここが誤解されやすい
日本語のまとめ記事のなかには「ChatGPTがあなたに代わってサイトにログインする」と読める見出しが散見されますが、公式の記述は違います。
公式ヘルプによれば、ChatGPTはサインインページに到達するといったん停止し、あなたにサインインを求めます。あなたは専用の安全なフォームにユーザー名とパスワードを入力し、必要なら二段階認証のコードも入力します。つまり認証の主体は最後まで人間側です。
さらに、サインイン要求を表示する前に別の審査モデルが、その要求とあなたの情報の入力先をフィッシングや詐称の兆候がないか確認すると明記されています。利用者側もサイトのアドレスとフォームのプレビューを確認し、実際のサイトを検分してから進めます。
この設計は、実務的にはかなり重要です。「AIが勝手にログインする」なら怖くて使えませんが、「AIが手前まで運転して、鍵を差す瞬間だけ人間に渡す」なら業務に組み込めます。
パスワードはどこへ行くのか
公式ヘルプの記述を整理すると、次のようになります。
- 専用フォームから入力された認証情報はリモートブラウザへ直接送られる
- そこで入力されたユーザー名とパスワードはモデルからは見えない
- ChatGPTはそれらのサインイン認証情報を保存しない
- ChatGPT Workのブラウザはパスワードマネージャーの利用に対応している
ITmedia NEWSも「ユーザー名やパスワードはモデルに送信されず、モデルの学習にも使われない」と報じており、この点は一次情報と二次情報が一致しています。
あわせて公式が強く警告しているのが、「パスワード・セキュリティコード・支払い情報を会話欄に貼り付けないこと」です。認証情報は必ず専用のサインインフローを使う、と明記されています。デスクトップアプリの内蔵ブラウザ側のヘルプでも「認証情報はブラウザにのみ入力し、チャットには決して入力しない」と繰り返されています。
これは笑い話ではありません。中小企業の現場でAI活用を支援していると、チャット欄にIDとパスワードを打ち込んで「これでログインして」と頼んでしまう使い方は、放っておくと普通に発生します。社内で使う前に、この一行だけは共有しておくべきです。
セッションは次のタスクにも残り続ける
公式ヘルプには「サインイン後、ChatGPTはサインイン済みセッションを使ってタスクを再開できる。認証は有効期限が切れるまで以後のタスクでも維持されるため、毎回サインインする必要はない」と記載されています。
便利さの正体はここです。そしてリスクの正体も、まったく同じここです。一度ログインすれば、それ以降のタスクでは認証済みの状態がクラウド側で使い回されます。
解除方法も公式に用意されています。設定の「Cloud browser」→「Browser data」から、全サイト分または個別サイト分のブラウザデータを削除できます。あるサイトのデータを消すと、そのサイトからはログアウトされます。次に同じサイトを使うタスクでは再度サインインが必要になります。
裏を返せば、データを消すまでログイン状態は残り続けるということです。「試しに一度だけ会計ソフトにログインさせてみた」つもりが、その後もずっと繋がったままになる。ここは運用ルールとして押さえておく必要があります。
対応プランは「Plus・Pro」ではない——日本語記事の記載が割れている
この機能の対応プランについて、日本語の記事は記載が分かれています。「Plus・Pro」と書いているものもあれば、「Plus・Pro・Business」と書いているものもあります。
公式ヘルプの「Availability」の記述は、そのどちらとも違います。
クラウドブラウザは、対応地域において Free と Go を除く有料のChatGPTプラン のChatGPT Workで利用できる。提供状況はロールアウト中に変動することがあり、ワークスペースの権限に依存する場合がある。
つまり公式は個別のプラン名を列挙しておらず、「Free と Go 以外の有料プラン」という書き方で、しかも2つの留保を付けています。ロールアウト中は変動しうること、そしてワークスペースの権限次第であることです。
ここは実務上、地味に効きます。法人プランを契約していてもワークスペースの管理者設定によって使えない可能性があるということですから、「プランを上げたのに出てこない」という問い合わせは十分起こりえます。導入判断の場では、プラン名の早見表を鵜呑みにせず、自社のアカウントで実際に設定画面を開いて確認するのが確実です。
読者特典・無料ダウンロードAIを「入れたのに使われない」を防ぐ導入ガイド無料で資料を受け取る →AIにブラウザを触らせる3つの方式と、リスクの置き場所
この発表を単体で読むと「ChatGPTに新機能が付いた」で終わります。しかし翌日の2026年8月26日、Anthropicが「Claude in Chrome」の一般提供開始とClaude Coworkへのブラウザ内蔵を発表しました（窓の杜・AI Watchが同日報道）。
この2日で、AIにブラウザを触らせる方式が3つ出揃ったことになります。そしてこの3つは、機能の優劣ではなく「あなたのログイン状態をどこに置くか」が根本的に違います。
①拡張機能型：自分のChromeを、そのまま使わせる
Claude in Chromeがこれにあたります。AI Watchによれば、すべての有料プラン向けに公開され、Claudeは毎回の手動承認を必要とせず、ブラウザ内で自律的にテキストの読み書き・リンクの操作・ページ間の移動・フォーム入力を行います。
いま自分が開いているページを、すでにサインイン済みのアカウントのまま扱えるのが最大の利点です。追加のログインが要りません。
一方で、リスクの置き場所は「自分のブラウザそのもの」になります。普段使いのChromeには、業務用のSaaSも、ネットバンキングも、個人のアカウントも、保存済みパスワードも同居しています。AIが動く舞台がそこだ、ということです。
なお制約もあります。AI Watchは、ローカルファイルや他アプリとの連携には引き続きデスクトップ版アプリが必要で、他のChromium系ブラウザやモバイル環境には未対応と伝えています。「Chromeに入れれば全部できる」わけではありません。
②アプリ内蔵型：普段のブラウザとは切り離した場所で動かす
Claude Coworkの内蔵ブラウザと、ChatGPTデスクトップアプリの内蔵ブラウザがこれにあたります。
窓の杜は、Coworkで従来はClaude in Chrome経由で自分のChromeを使わせる必要があったが、内蔵ブラウザがあればその必要がなくなる、と説明しています。ChatGPT側の公式ヘルプも、内蔵ブラウザはmacOSとWindowsのデスクトップアプリで使え、独自のブラウザ状態を持つと明記しています。
動くのは自分のPCの中ですが、普段のブラウザとは別の場所です。自分の目の前で、同じ画面を見ながら進められるため、確認しながら任せたい作業に向いています。
③クラウド型：提供元のサーバー上で動かす
今回のChatGPT Workのクラウドブラウザがこれです。公式ヘルプの記述が、この方式の性格を端的に表しています。
クラウドブラウザは、あなたのデバイス上のブラウザとは分離されている。独自のCookie・ブラウザデータ・サインイン済みセッションを持つ。あなたの個人ブラウザの開いているタブ・閲覧履歴・保存されたパスワード・Cookie・拡張機能・既存のサインインは使用しない。
①とは正反対の設計です。自分のブラウザには一切触れません。その代わり、ログイン状態はOpenAI側のサーバーに置かれます。
この方式だけの利点もあります。公式FAQによれば、クラウドブラウザはChatGPT側のコンピューターでリモートに動くため、あなたがPCを閉じても、スマートフォンの電源を切っても、バックグラウンドで処理を続けられます。情報・サインイン・確認が必要になった時点で停止します。
「どれが安全か」ではなく「リスクをどこに置くか」
3方式を、判断に必要な観点だけで並べると次のようになります。
観点 | ①拡張機能型 | ②アプリ内蔵型 | ③クラウド型 |
|---|---|---|---|
動く場所 | 自分のChrome | 自分のPC内のアプリ | 提供元のサーバー |
使うログイン状態 | 自分の既存セッション | アプリ独自の状態 | クラウド側に作った状態 |
保存済みパスワード | 自分のものが同居 | 分離 | 分離（使用しない） |
PCを閉じたら | 止まる | 止まる | 動き続ける |
リスクの主な置き場所 | 自分の全アカウント | 自分のPC内 | 提供元に預けたセッション |
ここで強調したいのは、リスクがゼロになる方式は1つもないということです。①は自分の資産の真ん中でAIを動かすリスク、③は認証済みの状態を社外に預けるリスクを取っています。②はその中間です。
両社ともプロンプトインジェクション（Webページに仕込まれた指示でAIを意図せず操る攻撃）への対策を進めています。AI Watchは、Anthropicがプローブと自動承認安全分類器を実装し、併用時の攻撃成功率が0%だったと報じています。OpenAIもプロンプトインジェクション・フィッシング・意図しない操作のリスクをテストしていると公式に記載しています。
ただし両社とも「リスクを完全には排除できない」と明言しています。窓の杜はAnthropicがまず信頼できるサイトでの利用を呼びかけていると伝え、OpenAIの公式ヘルプも「これらの安全策はすべてのリスクを排除するものではないため、機微な手順と重要な結果は確認すること」と書いています。提供元自身がそう言っているという事実を、導入判断の出発点にすべきです。
見落とされがちな設計：「サイトの許可」と「操作の承認」は別物
公式ヘルプで私がもっとも重要だと思ったのは、次の一文です。
Webサイトへのアクセス権限は、結果を伴う操作の承認とは別のものである。あるサイトを許可しても、重要な操作が実行される前にそれを確認する必要がなくなるわけではない。
ChatGPTには、サイトへのアクセス権限として3段階の設定が用意されています。
- Always ask：すべてのサイトアクセス要求を自分で確認する
- Auto approve：ChatGPTがURLを確認し、危険そうな場合のみ確認を求める
- Always allow：すべてのサイトへのアクセスを許可する（公式が「推奨しない」と明記）
個別サイトごとの許可・ブロックも設定でき、そちらが既定設定より優先されます。
そのうえで、予約の確定や決済のように取り消しが難しい操作、金銭・法的・アカウント上の約束が発生する操作については、別途チャット上で確認を求める設計になっています。
つまり「サイトを許可した＝操作も任せた」ではないということです。これは中小企業でAIを運用する際、社内説明で必ず分けて伝えるべき2階建ての構造です。
私が中小企業に勧める最初の設定
ここからは、実際にAIエージェントを無人で運用してきた立場からの手順です。私は自社の発信業務でブラウザ操作の自動化を組み、AIに定型作業を任せています。
そのうえで正直にお伝えすると、私は一度、この領域で事故を起こしています。クライアントのWebサイト制作中、完成前で検索結果に出したくないため検索エンジンへの表示を拒否する設定をしていたのですが、AIがその設定を「表示を許可する」状態に書き換えて、そのままプッシュしてしまったことがありました。悪意も、バグもありません。AIは「サイトを公開する」ために合理的に動いただけです。
この経験から私が学んだのは、「AIが賢いかどうか」と「AIに何を触らせるか」はまったく別の問題だということです。以来、私はプロジェクトごとに権限設定の厳しさを変え、触られては困る箇所には明確な編集禁止を設けています。以下の手順は、その考え方をブラウザ操作に当てはめたものです。
手順1：触らせないサイトを、先に紙に書く
許可するサイトを考えるより、触らせないサイトを書くほうが速く、漏れません。ネットバンキング、決済サービスの管理画面、顧客リストを持つシステム、給与・人事システム——このあたりが定番です。
この発想は、私がMCP（AIと外部ツールをつなぐ仕組み）を運用するときの判断基準と同じです。使っていない連携を許可したままにしておくことに、セキュリティ上のメリットは1つもありません。必要なものだけを開ける。それだけです。
設定としては、既定を「Always ask」にしたうえで、上記を個別にブロックしておくのが最も分かりやすい形です。「Always allow」は公式自身が推奨していないので、選択肢から外して構いません。
手順2：AIに渡す用の、権限の弱いログインを1つ作る
自分の本アカウントをそのまま渡さない、という原則です。閲覧のみ、あるいは下書き作成までしかできない権限のアカウントを別に用意し、それをAIに使わせます。
私は介護施設向けのシステムを設計した際、1つのアプリ内でアカウントの権限を分ける案を検討したうえで、事務員・管理者向けと一般社員向けでアプリそのものを分ける設計を採用しました。ログインや認証の手間を増やさずに権限を強制的に分離するためです。実務では、運用者が手間だと感じた仕組みは必ず形骸化します。
ブラウザ操作でも同じで、「気をつけて使う」という運用ルールより、そもそも強い権限を渡さない構成のほうが確実です。
手順3：最初の1回は「結果が戻る操作」までにする
送信・確定・支払い・公開は、最初は自分の指で押します。AIには下書きの作成、情報の収集、比較表の作成までをやらせる。
ChatGPT側にも重要な操作の確認機能はありますが、確認画面が出ることと、あなたがそれを読んで判断できることは別です。慣れないうちは、そもそも取り返しのつかない操作を含むタスクを投げないほうが安全です。
私がクライアントにセキュリティを説明するときは、必ずリスクを先に、対策を後に話します。「何が起こりうるか」を先に共有しておくと、実際に確認画面が出たときに立ち止まれるようになるからです。逆に「安全です」から入ると、確認画面は「押して進むもの」になってしまいます。
手順4：使い終わったらサイトデータを消す＝ログアウトする
前述のとおり、設定の「Cloud browser」→「Browser data」から個別サイトのデータを削除でき、削除するとそのサイトからログアウトされます。
「一度試しただけ」で終わらせたいなら、試した後に消す。この1動作を運用に入れておくだけで、意図せず繋がったままになる状態を防げます。
うまくいかないとき——サイト側がブロックしている場合がある
公式ヘルプには、一部のWebサイトは自動化されたブラウザエージェントからのアクセスを制限するセキュリティ対策を使っている、と明記されています。同じサイトが自分のブラウザでは普通に動くのに、ChatGPTからは動かないということが起こります。
これはChatGPT側の不具合ではなく、サイト運営者側が決めていることです。公式も「各サイトが最終的にクラウドブラウザのトラフィックを許可するかを決める」と書いており、サイト運営者向けの許可リスト登録手順も案内されています。
ブロックされた場合は、別のサイトを使うか、自分のブラウザで直接開くしかありません。また公式は、ChatGPTがタスクで詰まった場合にクラウドブラウザの操作を人間が引き継ぐ機能も用意しています。
ここは私の実感とも一致します。ブラウザ操作の自動化を組んでいたとき、もっとも苦労したのはブラウザの外に出た瞬間でした。ファイルをアップロードしようとボタンを押すと、OS標準のファイル選択ダイアログが開く。これはブラウザのウィンドウではないため、ブラウザを操作する仕組みからは触れません。結局、別の方法で回避する必要がありました。
ブラウザ操作AIは「ブラウザの中」でしか動けない——この前提を持っておくと、できないことに出くわしたときに無駄に悩まずに済みます。
よくある質問
Q. ChatGPTが私のパスワードを見ることはありますか？
公式ヘルプによれば、専用フォームから入力された認証情報はリモートブラウザへ直接送られ、モデルからは見えず、ChatGPTはそれを保存しません。ITmediaもモデルの学習に使われないと報じています。ただし会話欄に直接パスワードを打ち込んだ場合は話が別です。認証情報は必ず専用のサインインフローから入力してください。
Q. 自分のPCでログイン済みのアカウントが勝手に使われますか？
公式FAQは明確に「いいえ」と答えています。クラウドブラウザは独自のセッションを持ち、あなたのデバイスの既存のサインインは使用しません。求められたときに個別にサインインする必要があります。
Q. どのプランで使えますか？
公式ヘルプの記載は「対応地域において Free と Go を除く有料のChatGPTプラン」です。加えて、ロールアウト中は提供状況が変動しうること、ワークスペースの権限に依存する場合があることが明記されています。個別のプラン名の早見表よりも、自社アカウントの設定画面で確認するのが確実です。
Q. Claude in Chrome と、どちらを使うべきですか？
作業の性質で選ぶのが実務的です。いま開いているページを、ログイン済みのまま手早く扱いたいなら拡張機能型。作業を手渡して自分は別の仕事に戻りたいなら、内蔵ブラウザ型かクラウド型です。PCを閉じても処理を続けてほしいならクラウド型が唯一の選択肢になります。安全性の優劣ではなく、リスクをどこに置くかで選んでください。
Q. 会社で使う前に、何を決めておくべきですか？
最低限、次の3つです。①AIに触らせないサイトの一覧、②AIに渡す専用アカウントの権限範囲、③送信・決済・公開など「人間が押す」と決める操作の範囲。この3つを紙に書いてから使い始めるだけで、事故の大半は防げます。
まとめ
ChatGPT Workがログインの必要なサイトを扱えるようになったことは、AIに任せられる仕事の範囲を確かに広げました。認証情報をモデルに見せない設計も、審査モデルによるフィッシング確認も、重要な操作前の確認も、真面目に作られています。
そのうえで、判断すべきことは1つです。認証済みのセッションを、自分のブラウザに置くのか、自分のPCの別の場所に置くのか、提供元のサーバーに預けるのか。3方式のどれを選んでもリスクは残り、提供元自身がそれを認めています。
私がお伝えしたいのは、この判断は技術の話ではなく運用ルールの話だということです。触らせないサイトを先に決める。権限の弱いアカウントを渡す。取り返しのつかない操作は人間が押す。使い終わったらログアウトする。この4つは、どの方式を選んでも変わりません。
私が事故から学んだのは、AIは悪意なく、合理的に、こちらの想定外のことをするということでした。だからこそ、賢さに期待するのではなく渡す権限のほうを先に設計する。それが、AIに仕事を任せるうえでいちばん確実な備えだと考えています。
自社の業務のどこからAIに任せるべきか、権限をどう区切るべきかを具体的に整理したい場合は、専属AI活用顧問サービスでご相談いただけます。
ChatGPT Workそのものの基本と使い方は、こちらで解説しています。
AIに業務情報を渡す際の各社の学習ポリシーの違いは、こちらで比較しています。
社内で安全に使うためのルール作りは、こちらもあわせてご覧ください。
AIを「入れたのに使われない」を防ぐ導入ガイド
様々な業種のAI導入支援で分かった、成功の型と失敗パターン（全26ページ）
様々な業種のAI導入支援で分かった成功の型と失敗パターンを1冊に。ChatGPT Work等の全社導入を検討する前に押さえるべき要点をまとめた無料資料。
- AIを入れても“成果が出ない”会社に共通する失敗パターン
- 成果を分ける「着手の順番」＝ロードマップの作り方
- 介護施設で月100〜150時間を削減した全過程（実話）
- 業種別の“最初に効く業務”早見表（介護・医療・建設・士業・EC…）
メールアドレスのご記入で、その場でダウンロードいただけます。
御社の業務に合わせたCodex導入支援
「AIツールを導入したが、現場で使われない」を終わらせる。
業務課題のヒアリングから設計、ハンズオン実践、運用定着まで一貫して支援します。