会計事務所のセキュリティ × AI｜守秘義務と両立する選び方完全ガイド
会計事務所が AI を業務に取り入れる際、最初に立ちはだかる壁がセキュリティと守秘義務です。「便利そうだが、顧問先データを AI に入れてもいいのか？」という疑問は、業界全体の共通課題です。本記事では、公認会計士法・倫理規則と AI 利用を両立させるための実務的な選び方とルール設計を、事務所運営の観点から体系的に解説します。
この記事で分かること
- 会計事務所が AI 利用で押さえるべき法的・倫理的フレームワーク
- AI ツール選定時の必須チェックポイント（契約形態・データ保管・第三者提供）
- 事務所内ガイドラインのテンプレート設計
- クライアント承諾の取得・エンゲージメントレターの記載例
- 具体的なツール比較（Enterprise vs API vs 業務特化型）
会計事務所が AI 利用で押さえるべきフレームワーク
AI 利用は、以下 3 つのレイヤーで考える必要があります。
レイヤー | 論点 | 主たる根拠 |
|---|---|---|
① 法律 | 守秘義務違反のリスク | 公認会計士法 第27条、税理士法 第38条 |
② 倫理規則 | 職業倫理上の責任 | JICPA 倫理規程、日税連 綱紀規則 |
③ クライアント契約 | 契約上の守秘義務 | 個別エンゲージメント契約・業務委託契約 |
3 レイヤーすべてで、「クライアント情報を第三者に開示しない」義務が課されます。AI ツールに情報を入力することが「第三者開示」に該当しないかを、契約形態で担保することが、リスク管理の出発点です。
AI ツール選定時の必須チェックポイント
1. データの学習利用に関する契約形態
消費者向けの無料・個人プランでは、入力データが AI モデルの学習に使用される場合があります。会計事務所が業務利用するなら、以下のいずれかが必須です。
- Enterprise / Business / Team プラン：契約上、入力データを学習に使わないことが明文化されている
- API 経由のアクセス：開発者向けの利用契約で学習除外がデフォルト
- 業務特化型 SaaS：業界向けに学習除外契約を組み込んだ設計
OpenAI の Enterprise プランは、入力データを学習に使わないことを契約で担保しています。出典: OpenAI Enterprise privacy。Anthropic の Claude も商用利用時は学習除外が原則です。出典: Anthropic Commercial Terms。
2. データの保管場所・保管期間
- サーバーのリージョン（日本国内 / 米国 / EU）はどこか
- 入力ログ・出力ログはいつまで保管されるか
- 削除依頼を受けてから何日で完全削除されるか
米国・EU リージョンで処理される場合、現地の法域（CLOUD Act・GDPR 等）の影響を受ける可能性があります。クライアントがその点を許容できるか、エンゲージメント契約で確認すべき論点です。
3. 第三者提供の有無
- ベンダーが他社（再委託先）にデータを共有しないか
- サブプロセッサのリストが公開されているか
- サブプロセッサの変更時に通知される仕組みがあるか
4. ログ管理と監査証跡
- 誰が・いつ・何を入力したかが追跡可能か
- 監査ログを所内の管理者がレビューできるか
- 異常使用の検知アラートがあるか
5. 認証・アクセス管理
- SSO・MFA に対応しているか
- ユーザー単位の権限制御ができるか
- 退職者のアクセス即時遮断ができるか
6. JIIMA 認証など第三者認証の有無
電子帳簿保存法対応では JIIMA 認証 が事実上の業界標準です。AI 関連でも、ISMS（ISO 27001）・ISO 27017（クラウドセキュリティ）・SOC 2 Type II 等の認証取得を選定基準に組み込むのが推奨です。
事務所内ガイドラインのテンプレート設計
所員全員が同じルールで AI を使えるよう、事務所として明文化したガイドラインを必ず作成します。最低限含めるべき項目は以下の 7 つ。
1. 利用してよい AI ツール
承認された AI ツールのリストとそのプラン（Enterprise / API 等）を明記。リスト外のツール利用は禁止する旨を明示。
2. 入力してよい情報・してはいけない情報
情報種別 | 入力可否 | 例 |
|---|---|---|
個人名・法人名（実名） | 不可 | 「株式会社○○」「山田太郎様」 |
個人名・法人名（仮名） | 可 | 「A社」「甲社」「乙様」 |
マイナンバー・銀行口座 | 不可 | 個人番号・口座番号 |
金額（実額） | 慎重に | 1,234,567円 → 約120万円に変換推奨 |
金額（比率・概数） | 可 | 「売上の約3%」「1億円規模」 |
家族関係・株主構成 | 仮名化なら可 | 「被相続人男 80代、子2名」 |
3. プロンプト作成時のチェックリスト
- 個別固有名詞を仮名化したか
- 金額情報の必要性を再考したか
- 機密度の高い情報を意識せず混入させていないか
4. AI 出力の検証ルール
- 引用された通達・判例は一次資料で必ず検証
- 計算は別途検算する
- 事務所固有の表現に書き換えてから採用
5. ログ・監査証跡の取扱い
- AI 利用ログはどこに保管するか
- 監査ファイルへの記録方法
- 所内レビュー時のチェック項目
6. インシデント時の対応フロー
- 誤って機密情報を入力してしまった場合の連絡先
- 情報削除依頼の手順
- クライアントへの報告判断基準
7. 教育・更新
- 新入所員向けの AI ガイダンス研修
- 年 1 回のガイドライン見直し
- AI ツールの新機能リリース時のレビュー
クライアント承諾とエンゲージメントレター
AI 利用を本格化する場合、エンゲージメントレターに AI 利用の方針を明記することが、業界の実務的標準になりつつあります。
記載例（エンゲージメントレター抜粋）
「本業務の遂行において、当事務所は業務効率化のために生成 AI（ChatGPT 等の Enterprise プラン、または業務特化型 AI）を補助的に利用する場合があります。AI への入力に際しては、貴社情報を仮名化し、特定の個人・法人を識別可能な情報は入力いたしません。AI への入力データはモデルの学習に使用されない契約形態のサービスのみを利用します。」
このような記載があれば、クライアントの理解を得たうえで AI を活用でき、後日のトラブルを予防できます。
具体的なツール比較
選択肢 | 強み | 導入コスト | 事務所での適合度 |
|---|---|---|---|
ChatGPT Enterprise | 世界最大ユーザー基盤・SSO/監査ログ完備 | 高 | 大手・中堅事務所向け |
Claude for Work | 長文ドキュメント読解に特化 | 中〜高 | 長文契約書を扱う案件向け |
Gemini for Workspace | Google Workspace と統合 | 中 | Google 採用事務所向け |
士業AI（業務特化） | 会計士業務に最適化されたテンプレート | 低〜中 | 中小〜個人事務所向け、初期コスト最小 |
士業AIで安全な業務効率化を実現する
士業AI は、会計士・税理士業務に特化したセキュアな AI アシスタントとして、入力データを学習に使わない契約形態と、日本国内のデータ運用を採用しています。事務所のセキュリティガバナンスと AI による業務効率化を両立できる設計です。
まとめ：守りながら攻める AI 運用
AI を業務に取り入れる際、セキュリティとスピードはトレードオフではないと理解することが重要です。適切なツール選定とガイドライン整備があれば、守秘義務を維持しながら大幅な業務効率化が実現できます。
逆に、ガイドラインなしで個人プランを使い続ける運用は、AI が業務効率化を生む前にセキュリティインシデントを起こすリスクを抱えます。事務所として「守りながら攻める」運用設計こそが、2026 年以降の会計事務所運営の基盤になります。