税理士事務所のAI ログ管理｜利用記録と監査対応の実務

税理士事務所 AI ログ管理とは、所内で誰が・いつ・どの顧問先の業務で・どのAIに・何を入力し・何が出力されたかを記録し、後から追跡できる状態に保つ運用のことです。ルールを定めただけでは、守秘義務違反の疑いが生じたときに「入力していない」ことを示せません。本稿では、記録すべき項目、保管期間、レビューの回し方、インシデント時の使い方まで、5〜50名規模の事務所が無理なく導入できる粒度で整理します。

税理士事務所 AI ログ管理が必要な理由

税理士事務所 AI ログ管理とは、AI利用を「事後に説明できる」状態にするための記録の仕組みです。禁止ルールや研修だけでは、実際の利用実態は見えません。

根拠として押さえたいのは次の3点です。

税理士法第38条:税理士は業務に関して知り得た秘密を他に洩らし、または窃用してはならないと定められています。AIへの入力が「洩らす」に当たるかどうかは、入力内容と提供先の契約条件で変わるため、入力内容の記録が判断材料になります。
個人情報保護法の安全管理措置:顧問先の従業員情報(給与・マイナンバー等)を扱う以上、取扱状況を把握できる体制が求められます。
顧問先からの照会:大企業や金融機関と取引のある顧問先から、委託先管理の一環で「AIを使っているか、どう管理しているか」を問われる場面が増えています。

たとえば所員20名・顧問先80社の事務所で、全員が個別にAIを使い始めた状況を想像してください。所長が把握しているのは、せいぜい数名の利用です。ログがなければ、問題が起きたときに調査範囲を絞れず、全顧問先への説明が必要になりかねません。

記録すべき項目と取得方法

AIログとは、AI利用に関する操作記録の総称です。すべてを保存するとかえって機微情報の保管先が増えるため、「何のために残すか」で項目を決めます。

最低限残す項目

項目	目的
利用日時・利用者ID	誰がいつ使ったかの特定
利用ツール・プラン	学習利用の有無など契約条件の紐づけ
顧問先コード(名称は不可)	影響範囲の特定
業務区分(仕訳・申告書確認・文案作成など)	用途の逸脱検知
入力データの種別(匿名化済み/生データ)	入力ルールの遵守確認
出力の確認者・確認日	税理士による最終確認の証跡

取得方法は3段階で考える

ツール標準の監査ログ:法人向けプランの管理コンソールで、利用者別の履歴やエクスポートが可能なものを選びます。個人向けプランは管理者が履歴を見られないため、業務利用の対象から外す判断も必要です。
MCP・API経由のゲートウェイでの記録:Claude Code/MCPのように社内システムとAIを接続する構成では、呼び出しごとにアクセスしたデータと実行内容を記録できます。ラクゼイで支援した事務所でも、この方式を採ると手作業の記録負担がほぼなくなります。
台帳による手動記録:ツール側で取れない場合の補完です。業務の都度、スプレッドシートに数行入力する程度に絞らないと続きません。

プロンプト全文を保存するかどうかは慎重に判断します。全文保存は追跡には有利ですが、ログ自体が顧問先情報を含む機密資産になります。保存する場合は、ログの閲覧権限を所長と管理担当に限定し、アクセスログも取得してください。

ログの保管期間とアクセス管理

ログの保管期間とは、記録を消去せず検証に使える状態で保持する期間です。法令で一律の年数が定められているわけではないため、事務所の業務実態に合わせて決めます。

実務上の目安は次の考え方です。

利用記録(メタデータ):税務調査や顧問先の監査で説明を求められうる期間を考慮し、業務書類の保存期間に合わせて5〜7年。
プロンプト・出力の全文:インシデント調査に必要な最短期間(たとえば1〜3年)とし、満了時に消去。
改ざん防止:ログの編集権限は付与せず、書き込み専用または別アカウントで管理。

保管場所は、顧問先データを置く環境と同等の統制下に置きます。ログのために別のクラウドサービスを増やすと、委託先管理の対象が増えます。既存のファイルサーバーや契約済みクラウドのアクセス制御配下に置くのが無難です。

月次レビューと内部統制への組み込み

ログレビューとは、取得した記録を定期的に確認し、ルールの逸脱や改善点を見つける作業です。取っただけで見ないログは、事故時以外には役立ちません。

月次15分のチェック項目

未承認ツール(個人アカウント、無料プラン)の利用痕跡がないか
「生データ入力」の件数が増えていないか
出力の確認者欄が空欄の業務がないか
特定の所員・顧問先に利用が偏っていないか

顧問先30社・所員10名の事務所であれば、上記は管理担当者が月15〜30分で確認できる量です。逸脱が見つかった場合は、個人を責めるより、ルールが現場に合っていない可能性を先に疑います。たとえば匿名化の手間が大きいために生データが入力されているなら、匿名化の自動化を検討する方が再発を防げます。

内部統制の全体設計は税理士事務所のAI内部統制で、利用ルールの作り方は税理士事務所のAI利用ガイドラインで整理しています。ISMSなど外部認証との関係は税理士事務所のISMSとAIも参考になります。

インシデント発生時のログ活用と注意点

インシデント対応におけるログとは、影響範囲と原因を特定するための一次資料です。誤入力が判明したとき、次の順で確認します。

該当の利用者・日時・ツールを特定する
当該ツールの契約条件(学習利用の有無、データ保持期間)を確認する
入力内容に含まれた顧問先と情報の種類を特定する
提供元へのデータ削除依頼の要否を判断する
顧問先への説明内容を整理する

ログがあれば、「全顧問先に一斉連絡」ではなく「該当の2社に個別説明」で済むことがあります。顧問先との信頼関係を守る面で、これが最大の効果です。

注意したい限界

ログは抑止と追跡の手段であり、入力そのものを防ぐものではありません。入力前のマスキングやDLP、利用ツールの限定と組み合わせます。
所員の行動を監視する目的が過度になると、現場が利用を隠す方向に動きます。目的は事故の早期発見と説明責任であると所内に周知してください。
所員の閲覧履歴を扱うため、就業規則やガイドラインに記録の目的と範囲を明記しておく必要があります。

AI出力の品質確認の記録についてはAI出力のダブルチェック、全体のセキュリティ論点は税理士のAI活用とセキュリティをご覧ください。

よくある質問

Q. 小規模(5名程度)でもAIログ管理は必要ですか?

必要です。ただし、仕組みは簡素で足ります。法人向けプランの標準履歴と、業務区分・確認者を記入する簡単な台帳があれば、最低限の説明責任は果たせます。

Q. プロンプトの全文は保存すべきですか?

全文保存は追跡には有利ですが、ログ自体が機密情報になります。保存する場合は閲覧権限の限定と保管期間の設定を前提にし、難しければ利用記録(メタデータ)のみを残す選択も合理的です。

Q. 無料版や個人アカウントの利用は、ログで把握できますか?

多くの場合、把握できません。そのため、業務利用は事務所が契約・管理するアカウントに限定する運用を先に定め、ネットワーク側の通信ログや申告制で補完します。

Q. 顧問先から「AIの利用ログを開示してほしい」と求められたら?

他の顧問先の情報が含まれるため、全体の開示は避け、当該顧問先に関する部分のみを抽出して示せる形にしておきます。契約書や業務委託書に、記録の取り扱いを事前に明記しておくと対応が円滑です。

まとめ|ログを「説明できる状態」の根拠にする

税理士事務所 AI ログ管理は、守秘義務を守る仕組みであると同時に、顧問先への説明責任を果たす根拠です。まず利用ツールを事務所契約に限定し、最低限の項目を記録し、月次15分のレビューを回すところから始めてください。

ラクゼイでは、税理士事務所専用に設計したAI導入伴走を提供しています。仕訳業務・月次レポート作成・顧問先対応の自動化に関心がある場合は、無料相談または画面サンプルをご覧ください。