ZapierとAIのつなぎ方：Zapier MCP、AI by Zapier、SDK、Next Gen Zapsを、公式が運営するものと第三者のものに分けて、データの流れ先まで確かめる

3行でいうと

外のAIからZapierを使うには、公式の「Zapier MCP」を使います。接続先は、公式の資料に https://mcp.zapier.com/api/v1/connect と書かれています。対応は「Streamable HTTP」のクライアントで、SSEだけのクライアントは接続できません。
Zapier MCPは、成功したツール呼び出し1回につき2タスクを使います。失敗した呼び出しは数えません。別料金ではなく、プランのタスクから引かれます。
AIが触れるのは、Zapier側でつないだアプリの権限の範囲です。Zapierがアプリの認証情報を持ち、AIアプリ側はサードパーティのAPIキーを扱いません。
公式の資料で「ベータ」「アーリーアクセス」と書かれているのは、Zapier SDK（open beta）、Next Gen Zaps（early access）、Copilot（Beta）です。エージェント（Agents）は、AI by Zapierへ移行中です。
公式の資料に、コミュニティ製や第三者製のZapier連携の一覧は、読んだ範囲では見つかりませんでした。公式は、MCPのツールはZapierが管理し、ユーザーは第三者のツールを足せない、と書いています。

この記事は、公式の資料を2026年10月23日に読んでまとめたものです。この記事は、実際に使って確かめた記録ではありません。メニュー名、ツール名、アドレスは公式の表記を写しています。公式ページは要約の形で取得したため、読めていない部分は「公式の資料では確認できていない」と書き、長い引用はせず言い換えています。

先に結論

向き1：Zapierのなかに、AIを足す。 AI by Zapier（Zapのステップ）、Copilot（組み立ての手伝い）、AI Guardrails（検査のステップ）があります。使うAIのモデルは、OpenAI、Anthropic、Google Gemini、Azure OpenAI、Amazon Bedrockなどから選びます。
向き2：外のAIが、Zapierをツールとして使う。 公式の「Zapier MCP」です。Zapier側でアプリをつなぎ、使わせるアクションを選びます。
向き3：コードから使う。 Zapier SDK（TypeScript、open beta）とCLIです。AIコーディングエージェント向けのプラグインやスキルも、公式のGitHubに用意されています。
向き4：AIに作らせて配置する。 Next Gen Zaps（early access）。ClaudeやChatGPT、Cursorなどのクライアントから、言葉で説明すると、Zapを作って配置します。Freeでは使えません。
安全の要は「絞ること」。 公式のブログも、有効にするのは必要なアクションだけ（たとえば、下書きは許すが送信は許さない）と勧めています。

前提：用語をそろえる

MCP（Model Context Protocol）：AIアプリと外のサービスをつなぐ共通の決まりです。
MCPサーバー：公式の資料では、AIが使えるアプリ、アクション、スキルを入れておく入れ物です。
MCPクライアント：サーバーにつなぐ側のAIアプリです。公式の資料は、Claude、ChatGPT、Cursor、Grok Bot、VS Codeなどを挙げています（クイックスタートには、Claude Code、Codex、Windsurf、Antigravity、Slack、Gemini Enterpriseなど多数のクライアントが載っています。Gemini CLIは載っていませんでした）。
ツール（tool）：クライアントが呼び出せる1つ1つの機能です。
エージェント型（agentic）モードと、管理型（managed）モード：公式の説明では、エージェント型は、AIが会話の途中でアクションを足せる形です。管理型は、自分が選んだ固定のアクションだけを出す形です。
OAuth：パスワードを渡さずに、「このアプリにここまで許可する」と本人が承認する方式です。
接続トークン（connection token）：公式の資料では、一覧にないクライアントやコード向けの、長く使えるトークンです。持っている人は、そのサーバーのツールを動かせます。
プロンプトインジェクション：AIに読ませる文書やメールの中に隠した命令で、AIを操ろうとする攻撃です。

たとえ話：事務所の「受付」と「鍵」

Zapierを、鍵の束を持つ受付係だとします。外のAI（ClaudeやChatGPT）は、受付に「この書類を、あのキャビネットに入れてください」と頼む来客です。来客は、キャビネットの鍵そのものは受け取りません。鍵（アプリの認証情報）は、受付が持っています。だから、来客が頼める範囲は、受付に預けた鍵（つないだアプリ）と、「やってよい仕事の一覧」（有効にしたアクション）で決まります。一覧に「送信」まで入れるか、「下書き」までにするかは、あなたが決めます。これは僕らのたとえで、公式の表現ではありません。

向き1：Zapierのなかで、AIを使う（公式が運営）

部品	公式に書かれていること	データの流れ先
AI by Zapier	Zapのステップにする。モデルの段階はStandard（1x）、Advanced（3x）、Premium（5x）と、自分のキーで使う Bring Your Own Key（1x）	Zapier提供のモデルの場合、Zapierの「AI Functionality Subprocessors」のモデルを通る。自分のキーなら、自分のプロバイダ
Copilot（Beta）	ZapやForms、Tablesなどの中で、言葉で伝えて組み立てを手伝わせるチャット	公式のヘルプには、データやプライバシーの説明は、読んだ範囲では見つからなかった
AI Guardrails by Zapier	個人情報（PII）、感情、不適切な表現、プロンプトへの攻撃を検査するステップ。PIIの検出は英語とスペイン語だけ	AWS ComprehendやAmazon Bedrockを使うと、ヘルプに書かれている
Bring Your Own AI（Enterprise）	管理者が、Admin CenterでAWS Bedrockをつなぐ。Agentsなどの推論が自分のクラウドを通る	自分のクラウド。Zapierが保存する認証情報は暗号化される

AI by Zapierのデータの扱い（公式のヘルプ）。 「AI by Zapierは過去の動作から学ばない」と書かれています。Zapierのモデルでは、内容の検査（モデレーション）が既定で入り、切れません。自分のキーなら切れます。知識のソースは、削除するまでZapierのアカウントに残ります。分析する画像は、公開されたURLである必要があります。

Bring Your Own AIのプラン。 公式のヘルプは、「Zapier Enterprise」だけで使え、Free、Professional、Teamでは使えない、と書いています。サポートされるプロバイダは、AWS Bedrockだけです（Google Vertex AI、Microsoft AI Foundryは未対応と書かれています）。

向き2：外のAIがZapierに入る（Zapier MCP）

公式の説明

公式の「Zapier MCP」の説明によると、AIが、9,000以上のアプリ、40,000以上のアクションを使える入口です。アクションは、Zapierの既存の管理（ワークスペースの権限、ユーザーの権限、監査の記録）の下で動きます。なお、公式ブログの記事の題名は「30,000+ actions」と書いていて、数字が資料によって違います。

接続のしかた

項目	公式の資料に書かれていること
接続先	全クライアントが1つのエンドポイント（接続先のアドレス） `https://mcp.zapier.com/api/v1/connect` に接続する。Streamable HTTPだけ
標準の認証	OAuth。クライアントの中で、Zapierをコネクタとして足してサインインする。初回に、既定のサーバーが自動でできる
初期設定	サインイン後、すでにつないであるアプリのアクションが、自動で有効になる。アプリがなければ空のサーバーから始まる
接続トークン	一覧にないクライアントやコード向け。mcp.zapier.com でサーバーを作ってトークンを出す。トークンは一度しか表示されず、再発行すると古いものは無効になる。ヘッダ（Authorization: Bearer）での利用が勧められている
管理画面	mcp.zapier.com（Connectタブ、Historyタブ、Skillsタブなど）
Claudeの場合	公式の「Claude」のページには、claude.ai/settings/integrations → 「Organization integrations」→「Add integration」で、名前とIntegration URLを入れる手順が書かれている。組織のオーナーだけが設定できる、とある。一方、クイックスタートは、クライアントの中でZapierをコネクタとして足す方法を標準としている。どちらが最新かは、公式の資料では確認できていない
ChatGPTの場合	公式の「ChatGPTワークスペースへの展開」のページは、ChatGPT Business、Enterprise、Edu、オーナーの役割（管理者では足りない、と明記）、ZapierのEnterpriseアカウントが条件、と書く。このページには「Developer Mode」の記述は、読んだ範囲では見つからなかった
Cursorの場合	mcp.zapier.com でサーバーを作り、「Add to Cursor」か、設定のJSONを貼る。サーバーのアドレスには秘密のキーが含まれるので、公開しない、と書かれている

2つのモード

公式の「Switch between agentic and managed mode」と「How Zapier MCP tools work」によると、次のとおりです。

エージェント型（既定）：決まった16のメタツールが出る。AIが、discover_zapier_actions でアクションを探し、enable_zapier_action で有効にする。読み取りと書き込みで、実行のツールが分かれている。
管理型：有効にしたアクションが、1つずつのツールになる。AIは新しいアクションを足せない。項目の値を固定できる。
切り替えたら、クライアントのツール一覧を更新してください、と書かれています。

アクションの設定（公式の「Configure your actions」）

項目ごとに、値の決め方を選べます。「Fixed value」（常に決めた値）、「AI-generated」（AIが毎回決める）、「AI-selected from choices」（選択肢からAIが選ぶ。書き込みのドロップダウンだけ）、「Use default」、「Leave empty」です。変更はすぐに効きます。

スキル（Skills）

公式の「Create and manage Zapier MCP skills」によると、スキルは、繰り返す複数手順の作業を、Markdownで保存しておく仕組みです。サーバーに紐づき、そのサーバーにつながる全クライアントが使えます。エージェント型のサーバーでだけ使えます。ベータの表記は、そのページには書かれていませんでした。

ツールを絞る方法：ツールバンドル

公式の「Tool bundles」によると、共有リンクで、アプリとアクションの組を渡せます。受け取る人は、自分のサーバーに追加し、自分のアプリのアカウントをつなぎます。送り手のサーバーやアカウント、データには触れません。どのプランでも使えます。サーバー自体を同僚に共有するには、TeamかEnterpriseが必要です。

使用量

公式の「Usage」によると、成功したツール呼び出し1回が2タスクです。アプリに触れる操作が対象で、ツール一覧の取得や設定は数えません。テストの呼び出しも数えます。たとえば、スプレッドシートに5行足すなら、5回の呼び出しで10タスクです。タスクの上限に達したとき、従量課金がオフ（またはプランに含まれない）なら、呼び出しはエラーを返します。オンなら、上限（cap）まで続けて動き、超えた分は課金されます。

向き3：コードから使う（Zapier SDKとCLI）

Zapier SDK：TypeScriptのライブラリで、9,000以上のアプリの連携を、コードから呼び出します。公式の資料は「open beta」と表示し、Permissionsは実験的（experimental）と表示され、直接API呼び出しのガバナンスは今後の予定（roadmap）と書かれています。Node.js 20以上が条件です。
安全面：組織のアプリとアクションの制限は、あらかじめ用意されたアクションに自動で効きます。.fetch() による直接のAPI呼び出しには、まだ効きません。公式ブログは、SOC 2 Type IIの認証は、open betaのSDKには及ばない、と書いています。
料金：ベータの期間は無料で、請求の変更はない、と書かれています。Enterpriseは既定ではオフで、利用には問い合わせが要ると書かれています（Teamについては、読んだ範囲では見つかりませんでした）。
公式のGitHub：zapier/sdk のリポジトリは、MITライセンスのコードで、Claude Code、OpenAI Codex、GitHub Copilot CLI向けのプラグインと、Cursorなどで使えるスキルが入っている、と書かれています。サービスの利用は、別途ZapierのTerms of Serviceに従います。

向き4：AIにZapを作らせる（Next Gen Zaps）

公式のヘルプによると、MCPクライアント（Claude、ChatGPT、Cursorなど）か、ワークフローマネージャーのAIアシスタントに言葉で説明すると、AIが接続を選び、手順を作って、Zapierに配置します。配置後は、チャット画面を開いていなくても、トリガーやスケジュールで動きます。

区別：「early access by request」です。「limited availability and is in active development」と書かれていて、「beta」の語は使っていません。Freeでは使えません。アーリーアクセスの間は無料で、のちにタスクの課金が始まる、と書かれています。
制限：サブZapは未対応、編集できるのは所有者や管理者だけ、など。Zapierは、最も機密性の高い処理は、アーリーアクセスの間は通さないよう勧めています。
Agentic Management：配置後のZapを見張り、失敗を診断して直す案を作る機能です。直す前にテストし、新しい版として公開します。失敗した実行は、最大5回まで再試行します。自動で直すかどうかは、設定で選べます。ただし、できることを増やす変更などは、常に人の承認が要ります。

エージェント（Agents）の移行

公式のヘルプ「Migrating from Agents to AI by Zapier」（2026年10月1日更新）によると、standaloneのAgents（agents.zapier.com）は、Zapエディタの中のAI by Zapierのステップに移っていきます。Zapierが各エージェントをZapに変換する仕組みがありますが、自動ではなく、1つずつ自分で「Migrate your Zap」のリンクから始め、確認して公開します。停止の日付は「まだ決めていない」と書かれていて、メールで事前に知らせる、とあります。公式ブログ（2026年10月6日）も、同じ趣旨です。

料金ページには、いまもAgentsの欄（Freeは月400アクティビティ、Proは「$400 billed annually」）が表示されています。移行の記事は、別のAgents用の購読料はなくなり、使い方は通常のタスクの課金になる、と書いています。この2つの書き方の関係は、読んだ範囲では確認できていません。

公式が運営するものと、第三者のもの

区分	何か	運営と責任
公式が運営	Zapier MCPのサーバー（mcp.zapier.com）、AI by Zapier、Copilot、AI Guardrails、Next Gen Zaps、Zapier SDKとCLI、公式のGitHub（`zapier/sdk`）	Zapier。公式のセキュリティの資料の対象（ただしSDKはSOC 2の対象外と書かれている）
第三者の製品（公式が対応クライアントとして名前を挙げる）	Claude、ChatGPT、Cursor、Grok Bot、VS Code	それぞれの会社。接続の設定画面、プランの条件、データの扱いは、その会社の規約による
第三者のモデルの提供元	OpenAI、Anthropic、Google Gemini、Azure OpenAI、Amazon Bedrock	それぞれの会社。AI by Zapierで選ぶと、プロンプトがそこで処理される
第三者のサービス	つないだアプリ（Gmail、Slack、スプレッドシートなど）	それぞれの会社。Zapierを通じて、読み書きされる
コミュニティ製・第三者製のZapier連携	公式の資料に一覧は、読んだ範囲では見つからなかった	公式の資料では確認できていない。公式は、MCPのツールは、第三者のものを足せない仕組みで、ツールの汚染（tool poisoning）を防ぐ、と書いている

公式のコミュニティ（community.zapier.com）には、ユーザーの投稿があります。これは利用者の書き込みで、公式の説明ではないので、この記事の根拠には使っていません。

データはどこへ流れるか

MCPの場合：AIアプリ → Zapierのサーバー（mcp.zapier.com）→ つないだアプリ。公式は、AIアプリがサードパーティのAPIキーを扱わない、と書いています。AIの返答に出た内容は、そのAIアプリの会社に渡ります。
AI by Zapierの場合：Zapの中のデータ（プロンプトに入れた項目）→ 選んだモデルの提供元。Zapierのモデルなら、Zapierの委託先。自分のキーなら、自分の契約の先です。
保存場所：公式のMCPのセキュリティの資料は、顧客データはAWS US-East 1に保存され、地域を指定した保存は、別の合意がなければ使えない、と書いています。
学習への利用：公式のセキュリティのページは、お客様のワークフローを流れるデータで、AIモデルを学習させることはしない（どのプランでも）、と書いています。ワークフローの「構造」から学ぶことはあり、Enterpriseは自動で対象外、他のプランは申請フォームで外せる、とも書かれています。MCPのセキュリティの資料は、Enterpriseのデータは、既定で学習から除かれる、と書いています。プライバシーのページは、学習について何も書いていません。3つの書き方は少しずつ違うため、気になる場合は、契約と公式の最新の文書で確かめてください。
記録：MCPの管理画面のHistoryタブに、ユーザーごとのツール呼び出しが残ります。Enterpriseでは、アカウントの監査ログにも出ます。

安全に使うために（公式の注意）

接続トークンは、パスワードと同じ。 環境変数やシークレット管理に置く、と書かれています。
絞る。 公式のブログは、必要なアクションだけ有効にし、最初は狭く始め、慣れてから広げる、と勧めています。
MCPは、セキュリティの検査ではない。 公式のブログは、Zapier MCPは「つなぐ層」で、プロンプトインジェクションへの備えは、自分のワークフローに入れる必要がある、と書いています。AI Guardrailsなどの検査のステップが紹介されています。公式のMCPのセキュリティのページには、プロンプトインジェクションの記述は、読んだ範囲では見つかりませんでした。
自分のAI側の安全は、自分の責任。 同じブログは、Zapierが管理するのは、Zapierを流れる部分だけだ、と書いています。
Enterpriseの既定。 MCPのセキュリティの資料と使用量の資料は、MCPは、Enterpriseも含め、すべてのアカウントで既定で有効、と書いています。一方、ブログは、Enterpriseは既定では無効で、管理者が有効にする、と書いています。どちらが最新かは、公式の資料では確認できていません。

今日からできること

まず、つなぐアプリを1つ（練習用のアカウント）に絞って、MCPのクイックスタートを読む。
有効にするアクションは「読む」だけから始め、書き込みは、必要になってから足す。
「AI-selected from choices」や「Fixed value」で、AIに任せる項目を減らす。
使用量（MCPの管理画面の「Plan Tasks」「MCP Tasks」）を、はじめの数日は見る。

気をつけること

この記事は、実際に使って確かめた記録ではありません。公式の説明を写したものです。
画面名や手順は、資料によって違うところ（Claudeの接続の手順、Enterpriseの既定、アクション数）があります。最新の状態は、公式の画面と資料で確かめてください。
ベータ、アーリーアクセス、移行中のものがあります。これらは、変更や終了があるものとして読んでください。
公式のブログは、自社の製品を紹介する文章でもあります。数字や例は、事実の確認としてではなく、公式の説明として読んでください。
取得した資料の中に、AIへの指示のような文が書かれたものがありましたが、この記事では従っていません。
規約や契約、個人情報の解釈は、専門家や公式に確認してください。この記事は法律の助言ではありません。