税理士事務所の情報漏洩対策をAI利用で固めるチェックリスト

税理士事務所の情報漏洩対策をAI利用の場面で機能させる要点は、「入力してよい情報の線引き」「AIサービス側の契約・設定」「利用ログの確認」「事故時の初動」の4点を、書面のチェックリストとして所内に固定することです。便利さを理由に個々のスタッフが判断する運用では、顧問先の財務・給与・相続情報という最も機微なデータが、所長の知らないところで外部サービスに渡るおそれがあります。

本記事では、税理士事務所のAI利用における情報漏洩リスクを整理し、そのまま所内で使えるチェックリストとして5つの観点に分けて解説します。

税理士事務所の情報漏洩とAIリスクの全体像

税理士事務所の情報漏洩とAIリスクとは、AIサービスへの入力・連携・出力の各段階で、顧問先の秘密が意図せず事務所の管理外に出てしまう可能性を指します。

根拠となる規律は、税理士法第38条（税理士は、正当な理由がなくて、税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならない）です。同条は税理士でなくなった後も適用され、同法第54条に罰則が置かれています。さらに、事務所の使用人その他の従業者についても同法第41条の2が秘密保持義務を定めています。AIに入力する行為が「他に洩らす」に当たるかは、サービスの利用条件や設定次第であり、入力前に確認する責任は事務所側にあります。

実務で漏洩が起きやすい経路は、次の4つです。

個人契約の無料AIへの貼り付け：スタッフが私物アカウントで試算表や源泉徴収票の文面を入力する
学習利用の初期設定：入力内容がモデル改善に使われる設定のまま業務利用する
連携ツールの権限過多：会計ソフトとAIを接続した際、不要な顧問先まで参照できる
出力物の誤送付：AIが作成した文書に別の顧問先の情報が混入したまま送る

なお、2026年10月時点で、国税庁や日本税理士会連合会からAI利用に特化した新たな守秘義務の見解が出ているかは、確認できた範囲では見当たりませんでした。当面は既存の税理士法と個人情報保護法の枠内で、事務所が自主ルールを持つ必要があります。

チェックリスト1：入力情報の線引きルール

入力情報の線引きとは、AIに入れてよいデータと入れてはならないデータを、事前にランク分けして文書化することです。

次のような3段階が運用しやすい分類です。

ランク	例	AI入力
禁止	マイナンバー、口座番号、パスワード、相続人の個人情報	入力しない
条件付き	試算表、仕訳データ、給与額	匿名化し、承認済みの環境のみ
可	公開済みの法令・通達、一般的な文面の添削	制限なし

確認項目は次のとおりです。

禁止情報の一覧を文書化し、全員に周知している
顧問先名・個人名を記号に置換する匿名化手順がある
画像・PDFを読み込ませる場合も同じランクを適用している
新入職員の研修に線引きルールの説明を含めている

たとえば顧問先30社の事務所では、「顧問先名は社コード（C-012など）に置換してから入力する」と決めるだけで、誤送付や外部流出時の影響範囲を大きく下げられます。匿名化は万能ではなく、金額や業種の組み合わせで特定されうるため、条件付きランクは承認環境に限定してください。

チェックリスト2：AIサービスの契約・設定確認

契約・設定確認とは、利用するAIサービスが入力データを学習に使うか、どこに保管するか、誰がアクセスできるかを、導入前に利用規約と管理画面で確認する作業です。

法人向けプラン（またはAPI）を契約し、個人アカウントでの業務利用を禁止している
入力データがモデル学習に使われない設定になっていることを管理画面と規約で確認した
データの保存期間と削除方法を把握している
二要素認証とシングルサインオンを有効化している
再委託先・データ保管リージョンを確認し、顧問先への説明に使える形で記録した
規約変更の通知を受け取る担当者を決めている

学習への不使用設定は、サービスごとに名称も場所も異なります。詳しい手順はAIオプトアウト設定の解説で整理しています。設定は一度行えば終わりではなく、規約改定やプラン変更で既定値が変わることがあるため、半期に1度は再確認する運用を勧めます。

チェックリスト3：権限管理とログ・監査体制

権限管理とログ監査とは、誰がいつどの顧問先データをAIに渡したかを後から追跡できる状態を保つことです。

顧問先ごとにAIが参照できる範囲を分離している（担当外のデータは見えない）
会計ソフト等との連携は読み取り専用から始め、書き込み権限は個別に承認する
利用ログ（利用者・日時・対象）を最低1年保存している
月1回、所長または情報管理責任者がログをサンプル確認している
退職者・異動者のアカウントを当日中に無効化する手順がある

ログ設計の具体例はAI利用ログの管理方法にまとめています。ラクゼイで支援した事務所では、導入時に「顧問先単位の参照範囲」を先に設計し、その後に自動化範囲を広げる順序を採っています。順序が逆になると、便利さが先行して権限が広がったままになりがちです。

チェックリスト4：出力物の確認と顧問先への説明

出力物の確認とは、AIが生成した文書・数値を、送付や申告に使う前に人が検証する工程です。漏洩対策とハルシネーション対策は同じ工程で担保できます。

送付前に宛先と文中の顧問先名・金額を人が照合している
他の顧問先の情報が混入していないかを確認する項目がチェックシートにある
AI利用を顧問契約書や重要事項説明に記載し、顧問先に説明している
最終判断は税理士が行い、確認者を記録している

顧問先への説明では、「何のデータを」「どのサービスで」「学習に使わせず」「誰が確認して」扱うかの4点を伝えられるようにしておくと、守秘義務に関する質問にも一貫して回答できます。社内ルール全体の骨子はAI利用ガイドラインの作り方を参照してください。

チェックリスト5：インシデント発生時の初動

初動対応とは、漏洩やその疑いを把握してから最初の24〜72時間に行う、事実確認・封じ込め・通知の手順です。

発見者が報告する先（情報管理責任者）と連絡手段が決まっている
該当アカウントの停止、共有リンクの無効化、パスワード変更を即時実施できる
漏洩した可能性のある顧問先と情報項目を、ログから特定できる
個人情報保護法に基づく個人情報保護委員会への報告・本人通知の要否を判断する手順がある（要配慮個人情報や一定規模以上の漏洩は報告対象）
顧問先への連絡文のひな形がある
再発防止策を記録し、ルールに反映する

年に1回、「スタッフが誤って禁止情報を入力した」想定の机上訓練を行うと、報告が遅れる原因が見えてきます。

よくある質問

Q1. 有料の法人向けAIなら情報漏洩の心配はありませんか。

法人向けプランは学習不使用や管理機能が整っていることが多い一方、設定の有無と運用で結果が変わります。契約しただけで安全とは言えず、本記事のチェックリスト2〜3の確認が必要です。リスクをゼロにはできないため、禁止情報の線引きは併用してください。

Q2. 匿名化すれば顧問先の同意は不要ですか。

匿名化の程度によります。金額・業種・地域の組み合わせで顧問先が特定できる場合は、実質的に秘密情報の提供となりえます。顧問契約書でAI利用の方針を明示し、同意の取り方を事務所として統一しておくのが安全です。

Q3. 小規模事務所でも文書化は必要ですか。

必要です。5名規模でも、私物アカウントの利用は起こります。A4で1〜2枚の文書でも、線引き・利用可能なサービス・報告先が書かれていれば、事故時の説明責任を果たしやすくなります。

Q4. まず何から着手すればよいですか。

現状把握として、スタッフが実際に使っているAIサービスを無記名アンケートで洗い出すことをお勧めします。その結果をもとに、禁止情報の一覧と承認サービスの一覧を作ると、チェックリストが現実に合った内容になります。

まとめ｜AI利用の漏洩対策は「線引き・設定・ログ・初動」を書面で固定する

税理士法第38条の守秘義務は、AIを使う場面でも変わりません。入力情報の線引き、契約・設定、権限とログ、出力確認、初動対応の5つを書面化し、半期ごとに見直すことで、AIの効率化と守秘義務を両立しやすくなります。包括的な対策は税理士事務所のAIセキュリティも合わせてご覧ください。

ラクゼイでは、税理士事務所専用に設計したAI導入伴走を提供しています。仕訳業務・月次レポート作成・顧問先対応の自動化に関心がある場合は、無料相談または画面サンプルをご覧ください。