3行でいうと
- 向きは2つです。①Notion AIが外のアプリ（Slack、Google Drive、Gmailなど）を読む「AIコネクタ」。②外のAIアプリがNotionに入る「Notion MCP」。
- Notion MCPは、Notionが運営する遠隔のサーバーです。公式の開発者向け資料の接続先は
https://mcp.notion.com/mcp（Streamable HTTP、推奨）です。接続は、ふつうOAuthで本人が許可します。 - 外から入ったAIは、本人と同じアクセス権で動きます。公式は、読んだ内容が悪意のある指示を含みうること、データがNotionの外へ出うることを、はっきり警告しています。
- 外部エージェント（Claude、Cursor）は、公式のヘルプで「beta」と書かれています。Notionのzero data retentionの約束（AI提供元が、処理のあとにデータを保持しないという約束）は、これらには及ばない、とも書かれています。
- コミュニティ製・第三者製のものの一覧は、公式の資料では読めていません。第三者が作るのは、AIアプリ側（クライアント）や、API経由の連携です。
この記事は、公式の資料を2026年10月23日に読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。運営者はNotionを入れていますが、使い心地はこの記事には書いていません。メニュー名、コマンド、URLは公式の表記を写しています。公式ページは要約の形で取得したため、読めていない箇所は「確認できていない」と書いています。
先に結論
- 「公式が運営する」とは、Notionのサーバーや機能のこと。 Notion MCPのサーバー、AIコネクタ、Custom Agents、API自体はNotionが運営します。一方、ClaudeやCursorのアプリ、そしてAPIで作る連携ツールは、それぞれ別の会社や個人のものです。
- MCPで入ったAIは「あなたの代わり」。 公式は、接続したAIは、あなたがアクセスできるものすべてにアクセスできる、と書いています。権限を超えることはありませんが、あなたの権限の範囲は丸ごと見えます。
- データの流れ先は、つなぎ方で違う。 AIコネクタは索引がNotionの委託先に置かれ、AIミーティングノートは音声が処理を委託された会社へ送られ、外部エージェントは相手の会社の基盤で動きます。下の表にまとめます。
- まずは読み取りから。 公式の安全の資料は、エージェントには必要最小限のページだけ、できれば読み取り専用で渡し、変更を伴う操作には人の確認を入れるよう勧めています。
前提：用語をそろえる
- MCP（Model Context Protocol）：AIアプリと外のサービスをつなぐ共通の決まりです。公式の開発者向け資料は、Notion MCPを「Notionが運営する遠隔のMCPサーバー」と説明しています。
- OAuth：パスワードを渡さずに「このアプリにここまで許可する」と本人が承認する方式です。
- コネクタ（AI connector）：Notion AIが外のアプリを検索、要約するための接続です。
- コネクション（connection）：公式のヘルプでは、NotionのAPIで作ったカスタムの連携のことを指します（内部のものはトークンで、公開のものはOAuthで認証します）。
- プロンプトインジェクション：読ませた文書の中に隠した命令で、AIを操ろうとする攻撃です。
たとえ話：合鍵の渡し方
Notionを、あなたの家だとします。AIコネクタは「家の人（Notion AI）が、近所の店（Slackなど）に聞きに行く」こと。MCPは「外の業者（ClaudeやCursor）に、あなたの合鍵を預ける」ことです。合鍵は、あなたが入れる部屋にしか入れませんが、あなたが入れる部屋はぜんぶ見えます。だから、預ける業者を選ぶこと、預けたあとに何をしているかを見られるようにすることが大切、という見方ができます。これは僕らのたとえで、公式の表現ではありません。
向き1：Notion AIが外のアプリを読む（公式が運営）
AIコネクタ
公式の「Notion AI Connectors」によると、次のとおりです。
| 項目 | 公式に書かれていること |
|---|---|
| できること | Notionのワークスペースと外のアプリの内容を、出典つきで検索、要約する。Slackなど一部は、エージェントが投稿などの操作もできる |
| 対応するアプリ | チャット：Slack、Microsoft Teams。知識：Google Drive、Microsoft SharePoint と OneDrive。プロジェクト：Jira（beta）、GitHub、Linear。メールと予定：Gmail、Microsoft Outlook、Google Calendar |
| プラン | 外のアプリをつなぐにはBusinessまたはEnterprise。ページには、個人のGmailのAIコネクタはすべてのプランで無料、とも書かれている |
| 権限 | 既存のアクセス制御を守り、本人が見られる内容だけが結果に出る |
| 設定する人 | ワークスペースのオーナーが設定する。設定場所は Settings → Notion AI。外のアプリ側でも管理者の権限が要る |
| 索引の時間 | 最初の取り込みは最長36時間、新しい内容が検索に出るまで最長3時間、とされている。対象はおおむね設定日から約1年分 |
| 切断したとき | 検索できなくなる（コネクタによっては最長1時間）。データは1日以内に削除される |
データの扱いについて、公式は、顧客データは機能の提供のためだけに使い、Notionと委託先のモデルの学習には使わない、と書いています。外のアプリの内容の数値表現（embedding）は、Turbopufferが運営するベクトルデータベースに保存される、とも書かれています（Turbopufferは SOC 2 Type II の認証を持つ、と記載）。
なお、Gmailについて、コネクタの記事の題名は「Business & Enterprise」と書き、概要のページは「個人のGmailのコネクタはすべてのプランで無料」と書いています。公式のコネクタの記事は、外のアプリをつなぐにはBusinessかEnterpriseが必要と書いたうえで、個人のGmailのコネクタだけは全プランで無料と書いており、例外として両方が成り立ちます。
Notion Agentが使うつなぎ先
公式の「Notion Agent」は、Slack、Gmail、カレンダー、そして別のMCPサーバーにつなげる、と書いています。
- Slack：つないだあとは、チャンネルやメッセージの検索、スレッドへの投稿、自分の投稿の編集ができる。投稿は、本人が書いたものとして表示される。
- Gmail：検索、下書き、送信、整理ができる。送信などの書き込みは、本人の確認が要る。
- カレンダー：空き時間探し、予定の作成、予定の確認。主催していない予定の編集や取り消しはできない。
- MCPサーバー：認証したあと、ほかのアプリの情報を調べたり、操作したりできる。モバイルでは、新しいMCPサーバーをつなげない、と書かれている。
AIミーティングノートの音声
公式の「Take AI Meeting Notes in Notion」によると、デスクトップとブラウザでは、音声が、処理を委託された会社（OpenAI、Anthropic、AssemblyAIなどが例に挙がっている）へ直接送られ、リアルタイムに文字起こしされます。委託先は保存しない、と書かれています。端末には一時的なコピーが残り、処理が成功したあと、または24時間以内に消えます。処理に失敗した場合は、音声がNotionへアップロードされ、最長3日間保存されます。モバイルでは、音声はNotionのサーバーへアップロードされ、処理が成功したあとすぐ消えます。
外部エージェント（beta）
公式のヘルプには、「External Agents」というカテゴリがあり、「Use Claude agents in Notion (beta)」と「Use Cursor in Notion (beta)」の2つの記事があります（確認できたのはこの2つだけです）。
| 項目 | Claude agents in Notion（beta） | Cursor in Notion（beta） |
|---|---|---|
| 何か | Notionの中でClaudeのエージェントと話し、仕事を任せて、結果を見る。Notionの中でClaudeのエージェントを使う機能。Notionが窓口で、Anthropicの基盤の上で動く（公式ヘルプは「Anthropic runs the agent behind the scenes」と書く）。Anthropicのアカウントは不要 | Cursorのコーディングエージェントをワークスペースにつなぐ。Cursorの基盤で動く |
| プラン | BusinessとEnterprise。EnterpriseとHIPAAのワークスペースでは既定でオフで、オーナーが有効にする | BusinessとEnterpriseで、Cursorのアカウントと、利用者のAPIキーが要る。デスクトップのみ |
| 費用 | Notion creditsで、実行ごとに課金。Claudeの契約やAPIキーは不要。自分のAnthropicアカウントは使えない、と書かれている | 公式のヘルプによると、betaの間は、プランに追加料金なしで含まれる。利用料はCursor側に請求される。Notion creditsは使わない |
| 設定の入口 | サイドバーの Agents → New Agent → Claude | サイドバーの Agents → New Agent → Cursor。Cursorの個人のAPIキーを入力する |
| データの流れ | エージェントは共有されたものだけを見る。権限はエージェントごとに設定され、実行を始めた人から引き継がれない。Anthropic がセッションのデータを保持するので、Notionのzero data retentionの約束は及ばない | セッションはCursorの基盤で完結する。個人のAPIキーに結びつく。Notionのzero data retentionの約束は及ばず、Cursorのデータ方針に従う |
| 止め方 | Settings → Notion AI → Agent → Manage external agents（Claude） | Settings → Notion AI → Agents → Manage external agents（Cursor） |
どちらも公式のヘルプが「beta」「段階的に提供」と書いています。表示されない場合は、まだ自分のワークスペースに来ていない可能性があります。
向き2：外のAIがNotionに入る（Notion MCP）
公式の説明
公式の開発者向け資料は、Notion MCPを「Notionが運営する遠隔のMCPサーバー」と説明しています。クライアントは、OAuthで許可を受けたあと、あなたがアクセスできる内容を検索、読み取り、作成、更新できます。公式のヘルプ（「Notion MCP」）は、Claude Desktop、Claude.ai、Cursor、ChatGPT Pro を名前で挙げ、MCPに対応するAIアプリならつなげる、と書いています。開発者向けの資料の別の記事は、例として Claude Code、Cursor、Codex を挙げています。
接続先と設定（開発者向け資料の「Get started」）
| 項目 | 公式の記載 |
|---|---|
| 推奨（Streamable HTTP） | https://mcp.notion.com/mcp |
| 予備（SSE） | https://mcp.notion.com/sse（Streamable HTTPに対応しないクライアントだけ） |
| 遠隔に対応しないクライアント | npx -y mcp-remote https://mcp.notion.com/mcp（STDIOの橋渡し） |
| Claude Code | claude mcp add --transport http notion https://mcp.notion.com/mcp のあと、/mcp でOAuthを完了する |
| Codex | ~/.codex/config.toml に [mcp_servers.notion] と url を書き、codex mcp login notion を実行する |
| Cursor | .cursor/mcp.json に設定を書き、Customizeから有効化してOAuthを完了する |
| VS Code（Copilot） | .vscode/mcp.json に "type": "http" とURLを書き、「MCP: List Servers」から起動する |
ほかにもクライアントごとの手順が書かれていますが、ここでは省いています。公式のヘルプは、ワンクリックで接続できる「Notion MCP Gallery」にも触れていますが、ギャラリーの中身は読めていません。
認証の方法（開発者向け資料）
| 方法 | 公式の記載 |
|---|---|
| 対話的なOAuth | ほとんどのクライアントで既定。ブラウザで、ワークスペースの許可を完了する |
| MCPトークン | BusinessとEnterpriseのみ、と開発者向け資料（Notion MCPの案内ページ）に書かれています。ワークスペースのオーナーがDeveloperのポータルで作り、クライアントがベアラートークンとして送る |
| Enterprise管理の認可 | SAML SSOつきのEnterprise。IDプロバイダーが許可を出す |
| インテグレーショントークン | オープンソースの notion-mcp-server だけで使う。この版は、積極的には保守されていない、と書かれている |
つまり、以前のローカルで動かす版（オープンソースの notion-mcp-server）は、公式の資料では「積極的に保守されていない」と書かれ、現在の主流は、Notionが運営する遠隔サーバーです。ワークスペースのゲストは、Notion MCPに接続できません（接続しようとすると認可が拒否される）、と開発者向け資料に書かれています。
できること（公式の「Supported tools」）
公式は、MCPのツールを、検索、読み取り、作成と編集、削除と復元、コメント、Skills、Custom Agentのセッション、カレンダー、に分けて並べています。たとえば、ページやデータベース、ビューの作成、更新、移動があり、削除に当たる操作（ごみ箱へ移す）には、user_confirmed: true が必要と書かれています。ファイルのアップロードは、1ファイル20 MiBまでです。
プランによる差もあります。notion-search と、ビューでのデータベースの問い合わせはすべてのプラン、外部のコネクタの検索や複数のデータベースにまたがるSQLの問い合わせは、Notion AIつきのBusinessまたはEnterpriseが要る、と書かれています。Notion MCPの呼び出しは、標準のAPIのリクエスト制限に数えられる、と書かれています（APIの制限はプランで違います。下のAPIの項を参照）。
管理者の設定
- 開発者向け資料：ワークスペースのオーナーは Settings → Notion MCP → Manage workspace clients で、クライアントのアクセスを管理する。メンバーが接続できるクライアントの制限はEnterpriseだけ。組織のオーナーは、Admin APIで、メンバーのMCP接続を一覧、取り消せる。
- ヘルプ（Notion MCP）：Enterpriseの管理者は、Settings → Connections → Permissions → AI apps で「Restrict AI apps members can connect」を「Only from approved list」にできる。「Disconnect All Users」で、すべての外部接続を切れる。ただし、ツール1つだけを切ることや、ユーザーごとのツール利用の可視化はできない、と書かれている。
2つの資料で、設定の画面名が違って書かれています。どちらが現行の画面かは、読んだ範囲では確認できていません。
安全の注意（公式）
公式の「Security best practices」は、次の点を警告しています。
- ツールが返す内容は、信頼できないものとして扱う。読んだ内容に、AIを操る隠れた指示が入っていることがある。
- 接続したクライアントは、あなたが見られるものを読める。クライアントが外へ送れば、データはNotionの外へ出うる。
- 信頼できるクライアントだけをつなぐ。第三者のマーケットプレイスからクライアントを入れる前に、マーケットプレイスとサーバーのURLを確かめる。
- 内容を変える操作は、実行前に確認が出るようにする。
公式の「How Notion protects against prompt injection」は、完全に防ぐ仕組みはなく、残るリスクがある、と書いています。大きなモデルを機微なデータに使う、エージェントに渡す範囲を最小にする、読み取り専用を優先する、信頼できる外部のMCPサーバーだけにする、といった使い方の案内もあります。
向き3：プログラムから呼ぶ（API）
公式の開発者向け資料は、NotionのAPIを、ワークスペースのほぼすべてを読み書きできるREST APIと説明しています。
| 種類 | 公式の記載 |
|---|---|
| 内部のコネクション（internal） | 1つのワークスペース専用。内部のAPIトークンで認証する。自分のチームの自動化向け |
| 公開のコネクション（public） | OAuth 2.0を使い、どのワークスペースにも、選んだワークスペースだけにも入れられる。Marketplaceに載せられるのは公開のものだけで、Notionのセキュリティ審査が要る |
| 個人のアクセストークン（PAT） | 作った本人として動く固定のトークン。本人の権限の範囲に及ぶ |
- 作り方。 ヘルプによると、Settings の Connections タブ（ワークスペースのオーナーだけに表示）から「+ New connection」を選び、名前を決めます。Developer Mode は、個人のアクセストークンを開くために Settings から入れる、とも書かれています。コネクションを作れるのは、ワークスペースのオーナーだけ、と書かれています。
- ページへの追加。 コネクションは、渡されたページとデータベースだけにアクセスできます。ページの「•••」→「More」→「Add connections」で追加し、「Disconnect」で外します（PATは共有の操作が不要）。
- 権限の種類。 内容の読み取り、書き込み、挿入と、ユーザー情報（なし、メールなし、メールあり）を選ぶ、と書かれています。
- レート制限。 1つのコネクションあたり、BusinessとEnterpriseは1分に600リクエスト、ほかのプランは1分に180リクエストです。超えると、HTTP 429が返ります。1つのワークスペースの全コネクションで共有する別の上限もあり、各コネクションが上限内でも制限されることがあります。1リクエストの大きさにも上限（ブロック1,000個、500 KBなど）があります。
- Webhook。 ページの更新、プロパティの変更、新しいコメントなどを、ポーリングなしで受け取れる、と書かれています。
APIのベースURLやバージョンの指定の仕方は、今回の取得では読めていません。
公式が運営するものと、第三者のもの
| 区分 | 例 | 運営するのは | 公式の資料での扱い |
|---|---|---|---|
| 公式が運営 | Notion MCPのサーバー、AIコネクタ、Notion Agent、Custom Agents、API、Webhook | Notion | ヘルプと開発者向け資料に仕様が書かれている |
| 公式が運営（外部の基盤で動く） | Claude agents in Notion（beta）、Cursor in Notion（beta） | Notionが窓口で、実行は Anthropic、Cursor の基盤 | ヘルプにbetaと明記。ZDRの約束は及ばない |
| 第三者のクライアント | Claude、ChatGPT、Cursor、Codex、VS Codeなど、Notion MCPに接続するAIアプリ | それぞれの会社 | 公式のヘルプと資料が名前を挙げるが、動作や保存はそれぞれの会社の方針による |
| 第三者の連携 | 公開コネクションでMarketplaceに載るもの、APIで作る自作の連携 | 作った会社や個人 | Marketplaceに載せるにはNotionのセキュリティ審査が要る、と書かれている。載っていないもの（コミュニティ製）の一覧は、公式の資料では確認できていない |
| Notionの開発者向け資料が扱う古いオープンソース版 | notion-mcp-server（インテグレーショントークンを使う版） |
公開されているコード | 積極的には保守されていない、と書かれている |
コミュニティが作った連携や、外のサイトのまとめは、この記事の根拠にはしていません。使う場合は、作者と、データがどこへ送られるかを、自分で確かめてください。
データはどこへ流れるか
| つなぎ方 | 流れ先（公式の記載） |
|---|---|
| Notion AIのチャット、検索 | Notionが索引とembeddingを作り、関連するページを、依頼とともにLLMの提供元へ送る。学習には使わない、と書かれている |
| AIコネクタ | 外のアプリの内容のembeddingが、Turbopufferのベクトルデータベースへ |
| AIミーティングノート | 音声が、処理を委託された会社へ送られ、リアルタイムで文字起こしされる（モバイルはNotionのサーバー経由） |
| Notion MCP | 接続したAIアプリへ。アプリが外へ送れば、Notionの外へ出うる |
| Claude agents in Notion（beta） | Anthropicの基盤へ。セッションのデータは、リクエストの間、Anthropicが保存する |
| Cursor in Notion（beta） | Cursorの基盤へ |
| API | 作ったコネクションと、その動かし先へ |
気をつけること
- この記事は、実際に使って確かめた記録ではありません。運営者はNotionを入れていますが、使い心地はこの記事には書いていません。公式の説明を読んだ範囲です。
- 公式の資料同士で、画面名や対応するクライアントの書き方が違うところ（MCPの管理画面、ChatGPTやVS Codeの扱い）がありました。確かめられなかったところは、そう書きました。
- 外部エージェントは、betaと書かれ、段階的に提供されています。名前や条件は変わる可能性があります。
- つなぐ前に、渡す範囲（ページ、データベース）、書き込みを許すか、誰が管理者かを決めておくと安心です（見立て）。
- 規約やデータの扱いの解釈は、専門家や公式に確認してください。この記事は法律の助言ではありません。
出典
- Notion MCP（Notion Help Center、Notion、確認日 2026-10-23）
- Notion MCP（Notion Docs、Notion、確認日 2026-10-23）
- Get started with Notion MCP（Notion Docs、Notion、確認日 2026-10-23）
- Supported tools（Notion Docs、Notion、確認日 2026-10-23）
- Security best practices（Notion Docs、Notion、確認日 2026-10-23）
- How Notion protects against prompt injection（Notion Help Center、Notion、確認日 2026-10-23）
- Notion AI Connectors（Notion Help Center、Notion、確認日 2026-10-23）
- Notion Help Center：Notion AI Connectors カテゴリ（Notion、確認日 2026-10-23）
- Notion Agent（Notion Help Center、Notion、確認日 2026-10-23）
- Take AI Meeting Notes in Notion（Notion Help Center、Notion、確認日 2026-10-23）
- Notion Help Center：External Agents カテゴリ（Notion、確認日 2026-10-23）
- Use Claude agents in Notion (beta)（Notion Help Center、Notion、確認日 2026-10-23）
- Use Cursor in Notion (beta)（Notion Help Center、Notion、確認日 2026-10-23）
- Notion AI security & privacy practices（Notion Help Center、Notion、確認日 2026-10-23）
- Custom Agents in Notion（Notion Help Center、Notion、確認日 2026-10-23）
- Getting started（Notion Docs、Notion、確認日 2026-10-23）
- Request limits（Notion Docs、Notion、確認日 2026-10-23）
- Notion API connections（Notion Help Center、Notion、確認日 2026-10-23）
- Add & manage connections（Notion Help Center、Notion、確認日 2026-10-23）