税理士事務所のISMS・情報セキュリティ認証とAI利用ルールの整備方法

税理士事務所でISMS（情報セキュリティマネジメントシステム）の考え方を取り入れ、AI利用ルールを整備しておくと、守秘義務への対応と顧問先への説明の両方がしやすくなります。認証取得そのものが目的ではなく、「AIに何を入力してよいか」「誰が承認し、何を記録するか」を管理策として文書化することが要点です。本記事では、認証取得の要否の判断から、AI利用ルールの具体的な項目、運用の回し方までを整理します。

税理士事務所のISMSとAI利用ルールの関係

ISMSとは、組織が情報資産の機密性・完全性・可用性を維持するために、リスクを評価し、管理策を決めて継続的に改善する仕組みのことです。国際規格はISO/IEC 27001、国内版はJIS Q 27001で、第三者機関の審査を受けると認証を取得できます。

税理士事務所には、税理士法第38条が定める守秘義務があり、違反には同法第54条の罰則が定められています。さらに個人情報保護法の安全管理措置の義務も負います。ISMSはこれらを「仕組み」として運用するための枠組みと位置づけられます。

AI利用は、このISMSの対象に新しい情報の流れを追加します。顧問先の資料をプロンプトとして外部サービスに送る行為は、委託先管理や情報の持ち出しの論点と同じ構造だからです。ISO/IEC 27001:2022の附属書Aには、供給者関係（外部サービスの管理）、クラウドサービス利用、ログ取得、データ漏洩防止といった管理策があり、AI利用のルールはこれらに対応づけて整理できます。

なお、AIそのものを対象とするマネジメントシステム規格として、2023年にISO/IEC 42001（AIマネジメントシステム）が発行されています。小規模事務所がすぐに取得を目指す対象ではありませんが、ルール設計の参考になります。

認証取得は必要か｜事務所規模別の判断基準

ISMS認証とは、第三者の審査機関が、事務所の情報セキュリティ管理体制が規格に適合していることを確認し、登録する制度です。取得には審査費用に加え、文書整備と内部監査、マネジメントレビューの運用負担が継続的に発生します。

判断の目安は次のとおりです。

所員5〜15名程度: 認証取得よりも、認証の管理策を参考にした自主ルール整備を優先する方が費用対効果は高い傾向です。
所員20〜50名・大口法人顧問先や金融機関系の顧問先がある: 顧問先からセキュリティチェックシートの提出を求められる場面が増え、認証が営業上の説明材料になります。
自治体・大企業の業務委託を受ける: 入札や取引条件に認証が含まれることがあるため、取得を検討する価値があります。

認証を取らない場合でも、「ISMSの管理策に沿って運用している」と説明できる状態をつくれば、チェックシートへの回答が楽になります。たとえば顧問先30社の事務所で、年に数件のチェックシートが届くなら、AI利用ルールの文書があるだけで回答の根拠が揃います。

AI利用ルールに盛り込む6つの項目

AI利用ルールとは、所員が生成AIや業務自動化ツールを使う際の入力可否・承認手順・記録方法を定めた社内規程のことです。次の6項目を押さえると、監査にも顧問先説明にも耐える内容になります。

利用可能ツールの限定: 事務所が承認したツールのみ使用し、個人アカウントや無料版の利用は禁止します。
入力情報の区分: 氏名・マイナンバー・口座情報・申告データなどを「入力禁止」「匿名化すれば可」「入力可」に分類します。
学習利用の設定: 入力データがモデル学習に使われない設定（オプトアウトやAPI・法人向けプラン）を確認し、記録します。設定方法はAIの学習オプトアウト設定の解説も参考になります。
出力の確認責任: AIの出力は税理士または有資格者が確認してから使用し、確認者を記録します。
ログと記録の保存: 誰がいつ何の目的で使ったかを残します。
インシデント時の連絡: 誤入力や漏洩の疑いがあった際の報告先と、顧問先への連絡判断の手順を決めます。

ルールの全体像は税理士事務所のAI利用ガイドラインに、リスクの具体例は顧問先データのリスク整理にまとめています。

外部AIサービスの選定と委託先評価

AIサービスの委託先評価とは、ISMSの供給者管理にあたる手続きで、サービス提供者の情報管理体制を導入前に確認することです。次の観点をチェックリスト化しておくと、ツールを追加するたびに同じ基準で判断できます。

データの保存場所（国内・海外リージョン）と保存期間
入力データの学習利用の有無と、無効化できるか
SOC 2やISO/IEC 27001など第三者認証の取得状況
利用規約上の再委託先の範囲
管理者によるアカウント管理・ログ取得機能の有無
契約終了時のデータ削除方法

ツールが認証を取得していても、事務所側の責任が免除されるわけではありません。税理士法上の守秘義務は事務所が負うため、入力情報の区分ルールと組み合わせて運用します。セキュリティ全般の考え方は税理士事務所のAIセキュリティ解説で整理しています。

運用を回す仕組み｜年間スケジュールの例

ISMSの運用の中心はPDCAです。AI利用に絞った場合、小規模事務所でも次のような年間スケジュールで運用できます。

四半期ごと: 承認ツール一覧と利用ログの確認（所長または情報管理担当、1回30〜60分）
半期ごと: 所員への研修（30分程度）と、入力禁止情報の誤入力がなかったかの自己点検
年1回: リスク評価の見直し、ツール規約変更の確認、ルール改訂

繁忙期の2〜3月と5月は点検を避け、閑散期の6月や9月に集中させると形骸化しにくくなります。ラクゼイで支援した事務所では、情報管理担当を1名決めて点検をチェックリスト化し、点検作業を月1時間以内に収める運用が定着しやすい傾向がありました。

よくある質問

ISMS認証を取得していないと、AIを業務で使えませんか。

使えます。ISMS認証は法的な要件ではありません。ただし、税理士法第38条の守秘義務と個人情報保護法の安全管理措置は認証の有無にかかわらず課されるため、AI利用ルールの整備は必要です。

無料版の生成AIに顧問先の資料を入力しても問題ありませんか。

推奨できません。無料版は入力データの扱いが法人向けプランと異なる場合があり、管理者によるログ取得もできません。入力する情報は、承認済みの法人向け環境に限定し、個人情報は匿名化してから扱う運用が安全です。

ISMS認証の取得にはどの程度の期間がかかりますか。

事務所の状況によりますが、文書整備と運用実績の積み上げに半年から1年程度を見込むケースが多く、審査機関によって異なります。具体的な期間と費用は、複数の審査機関に見積もりを取って確認してください。

所員が許可なくAIを使っていた場合はどう対応しますか。

まず利用実態を責めずに把握し、入力された情報の範囲を確認します。その上で、承認ツールを提供し、ルールを周知するのが再発防止につながります。禁止だけを強化すると、かえって隠れた利用が増えるためです。

まとめ｜ISMSの管理策でAI利用ルールを「説明できる状態」にする

ISMS認証の取得は必須ではありませんが、管理策の考え方を借りてAI利用ルールを整備すると、守秘義務の遵守と顧問先への説明を両立できます。ツールの限定、入力情報の区分、学習設定の確認、出力の確認責任、ログ保存、インシデント対応の6項目から着手するのが現実的です。

ラクゼイでは、税理士事務所専用に設計したAI導入伴走を提供しています。仕訳業務・月次レポート作成・顧問先対応の自動化に関心がある場合は、無料相談または画面サンプルをご覧ください。