AI導入のセキュリティチェックリスト｜士業事務所の確認項目と質問例

AI導入前のセキュリティ確認では、何を入力するか、契約上どう扱われるか、誰が見られるか、問題が起きたときに何を確認できるかを、利用するプランと設定に結び付けて点検します。料金表に「法人向け」と書かれていることだけで判断せず、下の確認表に回答と根拠を残してください。

この記事は、税理士・社労士・弁護士などの事務所が、AIサービスの契約や試用範囲を決めるための確認用です。以下の項目数は当社の整理であり、法令適合や事故防止を保証する認証基準ではありません。2026年9月30日に、アカウント管理・ログの運用手順への参照を追加しました。

AI導入前に何を確認すればよいか

次の表を社内回覧やベンダーへの確認に使えます。「確認済み」だけで終わらせず、右欄に規約の該当箇所、設定画面、社内ルールのいずれで確かめたかを記録します。

確認表でアカウント管理やログの担当が決まらない場合は、個別IDへの移行手順とAI利用ログの記録例を使い、利用者・保存先・確認担当を具体化してください。

「学習に使われない」なら顧問先情報を入力してよいか

学習利用の確認に加え、入力目的、保存、提供先での取扱い、権限を確認してください。「学習に使うか」と「保存・閲覧・削除をどう扱うか」は、質問を分けて回答を求めます。

個人情報保護委員会は、個人情報を含むプロンプトの入力について、特定した利用目的の達成に必要な範囲かを確認するよう注意喚起しています。また、あらかじめ本人の同意を得ずに個人データを入力し、応答出力以外の目的で取り扱われる場合には、個人情報保護法の規定に違反する可能性があるとして、学習への利用等を十分確認するよう求めています。生成AIサービスの利用に関する注意喚起等

顧問先との契約、職業上の守秘義務、個人情報の取扱いを別々に確認し、許容範囲が確かめられない情報は試用対象から外してください。法的な扱いは、具体的なデータと利用方法に即して判断します。

個人情報と要配慮個人情報はどう分けるか

顧問先に関する情報を一括して「要配慮個人情報」と分類しないでください。個人情報保護委員会の通則編は、病歴、一定の健康診断等の結果などを要配慮個人情報として挙げています。氏名や連絡先、財務情報があるという理由だけで、すべてがこの区分になるわけではありません。通則編・要配慮個人情報

確認表には、実際に含まれる項目を書き出します。氏名を消す場合も、案件の組合せから本人や顧問先を識別できないかを確認し、単なる置換を法令上の「匿名加工情報」と決めつけない運用にしてください。

ベンダーにはどのように質問すればよいか

次の文面を、利用予定のサービス名・プラン名と一緒に送る確認案として使えます。

当事務所が利用予定のプランについて、入力文、添付ファイル、出力、利用ログそれぞれの学習利用・保存期間・閲覧可能者・削除条件を教えてください。回答の根拠となる規約または公式仕様の該当箇所と、適用に必要な設定も示してください。

「安全です」「学習には使いません」という回答だけでは、表の全項目は埋まりません。未回答の項目を具体的に返し、提供会社の回答と事務所側で決める運用を分けて記録します。

すべて整備するまでAIを試せないか

まず公開資料や、実在の顧問先を含まない検証用データを使う範囲を決める方法があります。その範囲でも利用規約と利用者の権限を確認し、顧問先データを扱う段階では改めて可否を判断してください。

試用の終了条件には「回答が便利だった」だけでなく、出典を確認できたか、権限のない情報が見えなかったか、誤入力時の連絡先が分かるかを含めます。確認が済んでいない項目には担当者を付け、その情報を使う前に確認を終える進め方を提案します。

AI導入全体の進め方は税理士事務所のAI導入ガイド、社内ルールの整理は士業事務所のAIセキュリティも参照してください。