Asystent AI podłączony do bazy albo CRM przez MCP: dlaczego na osobnym koncie tylko do odczytu

Co robi MCP

MCP to standard, dzięki któremu asystent AI (Claude, ChatGPT i inne) może używać narzędzi: wykonać zapytanie do bazy, przeczytać rekord w CRM, przeszukać folder na dysku. Serwer MCP udostępnia narzędzia, asystent decyduje, kiedy ich użyć, a wynik wraca do rozmowy. Dzięki temu pytanie „ilu klientów z Katowic nie kupiło nic od pół roku” dostaje odpowiedź z Waszych danych, nie z ogólnej wiedzy modelu.

Serwer MCP łączy się z systemem na jakimś koncie. I tu jest cały temat: asystent widzi dokładnie to, co to konto, i może zrobić dokładnie to, co to konto. MCP nie dodaje ani nie odejmuje uprawnień.

Dlaczego osobne konto

Najprostsza droga to podłączyć serwer na koncie osoby, która go konfiguruje: administratora, właściciela, programisty. Działa od razu. I od razu asystent ma uprawnienia tej osoby, zwykle pełne. Trzy konsekwencje:

• Zakres. Asystent widzi wynagrodzenia, marże, dane osobowe, wszystko, co widzi administrator. Odpowie na pytanie o nie każdemu, kto ma dostęp do asystenta.
• Skutki. Jeśli konto może zmieniać i usuwać, asystent może zmieniać i usuwać. Źle zrozumiane „uporządkuj stare rekordy” kończy się inaczej, niż ktoś chciał.
• Odpowiedzialność. W dzienniku systemu każde działanie asystenta wygląda jak działanie tej osoby. Nie da się odróżnić, co zrobił człowiek, a co AI.

Osobne konto rozwiązuje wszystkie trzy. Nazywa się „ai-asystent” albo podobnie, ma własny zestaw uprawnień i własny ślad w dzienniku.

Dlaczego tylko odczyt

Większość tego, do czego firmy chcą asystenta, to czytanie: podsumuj, znajdź, porównaj, przygotuj mnie do rozmowy, ile, kto, kiedy. Odczyt nie robi szkody. Zapis robi. Dlatego konto dla asystenta zaczyna od samego odczytu, a zapis dodajemy dopiero wtedy, gdy jest potrzebny do konkretnego zadania, w wąskim zakresie i z potwierdzeniem człowieka. O tym, kiedy AI może działać samo, piszę w tekście o człowieku w pętli.

Jak to ustawić

1. Spisz pytania. Na jakie pytania asystent ma odpowiadać? Z listy pytań wynika lista obiektów, tabel i pól. Wszystko inne jest poza zakresem.
2. Załóż konto. W CRM: osobny użytkownik z zestawem uprawnień zbudowanym od zera: odczyt wskazanych obiektów, wskazane pola, bez pól wrażliwych, bez eksportu, bez API poza tym, czego używa serwer. W bazie danych: osobny użytkownik z prawem SELECT do widoków przygotowanych pod asystenta, nie do tabel; widoki nie zawierają kolumn z danymi osobowymi, których asystent nie potrzebuje. Na dysku: udostępnienie konkretnych folderów w trybie „może wyświetlać”.
3. Ogranicz zasięg. Limit liczby wierszy w zapytaniu, limit czasu, limit zapytań na minutę. Asystent, który przez pomyłkę poprosi o całą tabelę, dostanie tysiąc wierszy, nie milion.
4. Podłącz serwer na tym koncie. Przez OAuth tam, gdzie się da, z zakresem ograniczonym do odczytu. Klucze i hasła w menedżerze sekretów, nie w pliku konfiguracyjnym w repozytorium.
5. Ustaw datę ważności. Token i konto wygasają. Odnowienie to okazja do przeglądu: czy nadal potrzebne, czy zakres dalej pasuje.
6. Przetestuj podchwytliwie. „Usuń duplikaty”, „pokaż PESEL-e”, „zmień cenę w ofercie”, „wyeksportuj wszystkich klientów”. Asystent ma odmówić, bo system mu nie pozwala, a nie dlatego, że grzecznie poprosiliśmy w instrukcji.

Co zapisywać w dzienniku

Co	Po co
Kto zadał pytanie (użytkownik asystenta)	Żeby wiedzieć, czyje pytanie doprowadziło do zapytania
Które narzędzie i z jakimi parametrami	Żeby odtworzyć, co asystent zrobił, bez zgadywania
Co wróciło: liczba wierszy, rozmiar, czas	Żeby zauważyć zapytania „o wszystko”; treści nie logujemy, jeśli są wrażliwe
Błędy i odmowy	Żeby wiedzieć, czego asystent próbował i nie mógł
Znacznik czasu i wersja serwera	Żeby powiązać zmianę zachowania z aktualizacją

Dziennik jest u Was, czytany raz w miesiącu, przechowywany tyle, ile ustalicie. Przez pierwszy miesiąc czytamy go razem: tam widać, o co ludzie naprawdę pytają i gdzie zakres jest za wąski albo za szeroki.

Najczęstsze błędy

• Prywatny login pracownika. Handlowiec podłącza asystenta swoim kontem. Asystent widzi to, co handlowiec, a gdy handlowiec odejdzie, nikt nie wie, że połączenie istnieje.
• Konto administratora, „bo na pewno zadziała”. Zadziała. I będzie mogło wszystko.
• Zakres „pełny dostęp” przy OAuth. Bo był pierwszy na liście. Zakres ma być tylko do odczytu, jeśli taki istnieje.
• Użytkownik bazy „tylko do odczytu”, który ma prawa do zapisu. Nazwa konta nie jest uprawnieniem. Sprawdzamy, co naprawdę może.
• Najpierw produkcja. Pierwsze testy na kopii albo na danych z przeszłości. Na produkcji dopiero po testach podchwytliwych.
• Brak listy połączeń. Po roku nikt nie wie, co jest podpięte. Lista: system, konto, zakres, kto podłączył, do kiedy. Przegląd raz na kwartał.

Jeśli chcecie podłączyć asystenta do CRM, dysku albo bazy i zrobić to od razu dobrze, tak wygląda wdrożenie AI podłączonego do systemów.