AIに絶対触らせてはいけない5つの領域【個人開発者のための実運用ガイド】

AIツールで開発速度が上がった一方で、「やらかし」の報告も増えています。

この記事では、個人開発・小規模チームがAIを使う上で絶対に人間が担当しなければならない領域と、その理由を整理します。

前提：AIは「優秀なインターン」

まずこの認識を持ってください。

AI = acceleration（提案・補助・加速）
Human = accountability（責任・承認・決裁）

AIは驚くほど優秀です。でも責任を取れません。
意思決定の最終判断は常に人間が行う必要があります。

最も危険な領域です。

AIにStripeのAPI操作を任せると何が起きるか。返金処理、プラン変更、価格設定——一度間違えると金銭的な損失が即座に発生します。

❌ AIにbilling関連のコードを本番適用させる
❌ AIにStripe/決済APIのシークレットキーを渡す
✅ billingロジックは必ず人間がレビューしてから適用

認証周りのバグはセキュリティインシデント直結です。

AIが生成したJWT検証コードに脆弱性があった事例、middleware設定のミスで認証バイパスが可能になった事例——これらはAIが「動くコード」を生成してもセキュリティ的に壊れているケースです。

❌ AI生成の認証コードをレビューなしで本番適用
❌ IAMロールの設定をAIに委ねる
✅ auth変更は必ずセキュリティレビューを経る

これをやった人の話を複数回聞きました。

「AIにデータ修正を頼んだら、WHERE句のないUPDATEを実行した」

本番DBへのAIの直接接続は事故前提です。

❌ AIに本番DBへの接続情報を渡す
❌ AI生成のmigrationをレビューなしで実行
✅ 必ずstaging環境で確認してから本番適用
✅ 本番操作前にバックアップを確認

DNS設定のミスはサービス全体の停止につながります。

AIはドキュメントを読んで設定値を提案しますが、実際の環境依存の部分で間違えることがあります。TTL、Aレコード、CNAMEの扱いは人間が確認必須です。

❌ AIの提案したDNS設定をそのまま適用
✅ 変更前後の状態を自分で理解してから実行
✅ 変更はTTLを短くしてから、問題時にすぐ戻せる準備を

AIは法的責任を負えません。

利用規約、プライバシーポリシー、税務処理——AIが生成した文書は**「それっぽく見えるだけ」**の可能性があります。特に個人情報保護法、適格請求書（インボイス）対応などは専門家に確認が必要です。

❌ AI生成の利用規約をそのままサービスに掲載
❌ AIの税務アドバイスをそのまま実行
✅ 法務・税務は専門家（または公式ドキュメント）を参照

これらを防ぐための最小構成です。

dev環境    → AIに開放可
staging環境 → 読み取りのみ
production  → AI完全禁止（人間のみ）

加えて、AIには最小権限のみ付与することが原則です。

「AIを信用しすぎない人が最後に残る」

この原則のもとで作ったテンプレートキット（CLAUDE.md / AGENTS.md / SECURITY.md）を公開しています。プロジェクトのルートに置くだけで、AIへの権限分離ルールがすぐに使えます。

個人開発でAIを安全に使うためのTipsを発信しています。
X: @sabatora_