税理士のAI利用と個人情報保護法対応｜事務所が整える5つの実務

税理士事務所がAIを業務で使うとき、まず確認すべきなのは税理士法第38条の守秘義務と、個人情報保護法上の取扱いの二つです。結論として、税理士のAI利用と個人情報保護法対応は「入力する情報の範囲を決める」「提供元が入力データをどう扱うかを契約と設定で確認する」「利用目的と安全管理措置を文書に残す」の3点に集約できます。本記事では、事務所が実際に整えるべき5つの実務を、条文との対応関係とともに整理します。

税理士 AI 個人情報保護の前提｜2つの義務を分けて考える

税理士のAI利用における個人情報保護とは、顧問先や従業員、関与先の取引先に関する個人情報を、AIサービスへ入力・保存・出力する過程で、法令上の義務を果たしながら取り扱うことを指します。

事務所には性質の異なる義務が二重にかかります。

• 税理士法第38条: 業務上知り得た秘密を正当な理由なく漏らし、または盗用してはならない義務です。個人情報に限らず、法人の財務情報や取引条件も対象になります。違反には同法の罰則規定があり、退職後も義務は続きます。
• 個人情報保護法: 事務所は個人情報取扱事業者として、利用目的の特定(第17条)、安全管理措置(第23条)、従業者の監督(第24条)、委託先の監督(第25条)、第三者提供の制限(第27条)、外国にある第三者への提供の制限(第28条)などを負います。

守秘義務は「秘密」全般、個人情報保護法は「個人に関する情報」が対象という違いがあり、AIツールの選定ではどちらにも抵触しないかを別々に点検する必要があります。

個人情報保護委員会は2023年6月に生成AIサービスの利用に関する注意喚起を公表しています。個人情報を含むプロンプトを入力する場合は、特定した利用目的の達成に必要な範囲に限ること、入力情報が機械学習に利用され、他の出力に反映されるおそれがあることを確認するよう求めています。

最新動向｜個人情報保護法の改正法案とAI

2026年4月に個人情報保護法等の改正法案が閣議決定されたと、法律事務所の解説資料(三宅法律事務所、2026年5月)などで紹介されています。生成AIを名指しで規制する内容ではないものの、学習データの収集や外部委託、SaaS提供に広く影響し得ると整理されています。また「統計作成等」に関する特例の検討も論点です。

事務所として注意したいのは、こうした特例の議論は主にAI開発側の話であり、税理士が業務で顧問先の個人情報をAIに入力する場面にそのまま適用されるわけではない点です。施行時期や細目は変わり得るため、個人情報保護委員会の公表資料と官報で最新状況を確認してください。

第三者提供と委託の整理｜AIに入力すると何になるのか

AI利用における「第三者提供」と「委託」の整理とは、AIサービスへの入力が法的にどの類型に当たるかを判断する作業です。ここが最も実務で迷いやすい論点です。

個人情報保護委員会のQ&Aでは、クラウドサービス事業者が契約上、個人データを取り扱わないこととされ、適切にアクセス制御されている場合は、第三者提供や委託に該当しないという考え方が示されています。AI提供元の規約を見るときは、次の点を確認します。

1. 入力データを学習に使うか: 学習に使う設定が既定の場合、オプトアウト設定や法人向けプランが必要になります。詳しくはAIオプトアウト設定の解説をご覧ください。
2. データの保管場所と保持期間: 海外サーバーに保存される場合、第28条の外国にある第三者への提供の整理が必要です。
3. 提供元社員によるアクセス可否: 不具合対応などで人が閲覧する可能性の有無を確認します。
4. 委託契約・DPA(データ処理契約)の有無: 委託と整理するなら、第25条に基づく委託先監督が必要です。

規約が不明確なサービスに顧問先の個人データを入力することは、避けるのが無難です。

特に注意する情報｜マイナンバーと要配慮個人情報

税理士事務所が扱う情報のうち、AI入力の可否を最初に線引きしたいのが次の3類型です。

• マイナンバー(特定個人情報): 番号法により利用・提供・保管が厳しく制限されます。生成AIへの入力は原則しない運用が安全です。OCR前処理で番号欄をマスキングする方法もあります。
• 要配慮個人情報: 医療費控除に関する病歴、障害の情報などです。取得時の本人同意など別段の扱いがあるため、AI入力の前に必要性を検討します。
• 口座番号・クレジット番号など金融情報: 漏えい時の被害が大きく、匿名化してから分析に使うのが現実的です。

たとえば顧問先30社の事務所で、月次レポートの文章生成にAIを使う場合は、氏名や口座番号を除いた「科目別の増減データ」だけを渡す設計にすれば、リスクを大きく下げられます。実際に、入力前の匿名化(固有名詞を「A社」「取引先B」に置換)を標準手順にしている事務所は少なくありません。

事務所が整える5つの実務

税理士事務所が整える個人情報保護対応とは、ツール導入前後に文書化しておく管理体制の総称です。次の5点を順に整えます。

1. 利用目的の見直し: プライバシーポリシーや顧問契約書に、業務効率化のためAI等のシステムを利用する旨を明記するか検討します。
2. 入力可否の3区分ルール: 「入力可」「匿名化すれば可」「入力禁止」に情報を分類し、一覧にします。ルール作りはAI利用ガイドラインの作り方が参考になります。
3. ツール台帳と契約確認: 利用中のAIサービス名、プラン、学習利用の有無、保管場所を台帳化し、年1回見直します。
4. アクセス制御とログ管理: 担当者単位の権限設定と、利用履歴の保存を行います。個人アカウントでの業務利用(シャドーAI)の禁止も明文化します。
5. インシデント対応手順: 誤入力や漏えい疑いが生じた際の報告ルートを決めます。個人データの漏えいで要配慮個人情報が含まれる場合などは、個人情報保護委員会への報告と本人通知が義務になる類型があるため、判断者を事前に決めておきます。

全体のリスク設計は税理士事務所のAIセキュリティ対策、顧問先データ入力の具体的リスクは顧問先データをChatGPTに入力するリスクで詳しく扱っています。

よくある質問

顧問先の同意なしにAIで仕訳処理をしてよいですか?

業務委託を受けた範囲内での利用であれば、利用目的の範囲内と整理できる場合が多いと考えられます。ただし、外部サービスへの委託や海外保管が伴う場合は、顧問契約書や通知で説明しておく方が、後のトラブルを避けられます。個別事情は弁護士や個人情報保護委員会の相談窓口で確認してください。

無料版のChatGPTに顧問先の情報を入力しても問題ありませんか?

推奨できません。無料版や個人向けプランでは入力内容が学習に使われる設定が既定の場合があり、守秘義務の観点でも説明が困難になります。法人向けプランでの学習無効化と、入力ルールの整備が前提です。

匿名化すれば個人情報保護法の対象外になりますか?

氏名を消しても、他の情報と容易に照合して個人を識別できる場合は個人情報のままです。金額や取引先名の組み合わせで特定できないか、確認が必要です。

従業員が個人のAIアカウントを使っていた場合は?

事務所の安全管理措置・従業者監督の問題になります。利用実態のヒアリングと、承認ツール以外の業務利用禁止を規程に明記することから始めます。

まとめ｜AI利用を「入力範囲・契約・文書化」の3点で管理する

税理士のAI利用で求められる個人情報保護対応は、特別な技術より、入力範囲の線引き、提供元との契約確認、規程と台帳による文書化です。最新の法改正動向は個人情報保護委員会の公表で継続的に確認し、年1回はツール台帳とルールを見直すことをおすすめします。

ラクゼイでは、税理士事務所専用に設計したAI導入伴走を提供しています。仕訳業務・月次レポート作成・顧問先対応の自動化に関心がある場合は、無料相談 または 画面サンプル をご覧ください。