📓 学習ノート
📘 部長ノート
無料の学習ツール「AI・クラウド活用ガイドラインラボ」の読み方ガイドです。ラボの応用タブから、実務で迷いやすい論点を選んで、先生と生徒の会話形式で見ていきます。基礎タブの内容は基礎編で扱っています。各行の図はラボの図そのものです。重要な節の最後には、ラボで30秒だけ手を動かす小さな実習を置いています。
📙 応用 📋 処理早見表
はじめに
今日の題材 ── 処理早見表
📍 ラボの場所：応用タブ 📋
ハルカ
先生、基礎編で判定フローと3つの鉄則は分かりました。でも部長に「ルール案には、誰が・いつ・何を確認するかまで書いて」と言われて、手が止まっています。
先生
今日はそこを埋める回だよ。ガイドラインの応用タブは、場面ごとに「区分・使えるツール・必須の措置・同意」を一覧にした早見表から始まる。この表を手元に置いて、ツールの選び方、承認の流れ、定期確認、エージェント、事故のとき、体制、地政学、そして経理部への読み替えの順に見ていこうか。
ハルカ
表の「必須の措置」の列が長いですね。企業版・DPA確認・学習オフ確認・レビュー…。
先生
長く見えるけれど、出どころは3つの鉄則と文書Cの規程ひな型だけなんだ。今日の最後には、この列を自分の部の言葉で書き直せるようになるよ。
ラボの応用タブを開きながら読むと分かりやすいですラボで開く ▶
📙 応用 A ラボの図
応用 A
ツール選定の7項目チェックリスト
📍 ラボの場所：応用タブ A
ハルカ
7項目にチェックを入れると半円のメーターが伸びて、7／7で「区分Aで利用可（推奨項目も充足）」と出ます。
先生
新しいツールを業務で使う前の確認項目なんだ。①ビジネス向け有料プランか、②DPAがあるか、③学習利用オフにできるか。この3つは区分Aで使うなら必須。④保存場所と削除方法、⑤セキュリティ認証、⑥運営元・本店所在地、⑦権利関係は強く推奨だよ。
迷いポイント 7項目のうち6項目を満たしていれば、区分Aで使ってよい？
ハルカ
6／7なら十分高得点です。学習オフの設定だけ見当たらなくても、残りが全部そろっていれば区分Aで申請できますね。
先生
点数ではなく、どの項目が欠けたかなんだ。AI・クラウド活用ガイドラインラボで③のチェックを外すと、6／7なのにメーターが赤くなって「区分Aでは使えない（①②③が必須）」と出る。必須の3つは1つ欠けても、区分B限定か却下になるんだよ。
ハルカ
テストなら6／7は上位の成績なのに、ここでは赤点なんですね。採点基準が厳しい先生です。
先生
採点しているのは私ではなくて、条文なんだ。学習オフがなければ守秘義務の問題がそのまま残るからね。
💡 そうだったのか！
7項目は合計点ではなく、必須3つ＋推奨4つ。確認の情報源はTrust Centerで、結果は様式2に記録します。⏱ 30秒だけラボで試す
- 応用 A の「③ 学習利用オフに設定できるか」のチェックを外す
- 続けて「⑤ セキュリティ認証」も外す
👀 ③を外した時点でメーターが赤くなり「区分Aでは使えない（①②③が必須）」。⑤を外しても、文言は変わらず5／7になるだけです。
ラボを開く ▶📙 応用 B ラボの図
応用 B
事務所内の承認手続きと Shadow IT
📍 ラボの場所：応用タブ B
ハルカ
正しい流れは4ステップですね。7項目を確認 → 様式2で申請 → 管理責任者が承認・却下 → 様式1の台帳に登録。
先生
鍵は最後の台帳なんだ。所員が業務で使えるのは、様式1の管理台帳に載っているツールだけ。載っていなければ、使う前に様式2で申請する（規程第7条）。承認を得るまでは業務に使えないよ。
迷いポイント 便利なAIを見つけたら、まず自分で試してから申請すればよい？
ハルカ
申請書を書く前に、本当に便利かどうか自分で少し試してみるのが筋ですよね。顧問先のデータで試さないと使い勝手は分かりませんし。
先生
それがShadow ITの入口なんだ。AI・クラウド活用ガイドラインラボで「✖ Shadow IT」を押すと、個人契約のツールへ顧問先情報が流れて、DPAも学習オフも確認されないまま外部送信が起きる図になる。試すなら区分Bの情報だけ、業務で使うなら申請が先だよ。
ハルカ
あ、これはニデック会計不正ラボで習った「トップの言葉より、仕組みが発するメッセージのほうが行動を決める」と同じですか？「勝手に使うな」と言うだけでは止まらない、という。
先生
よく覚えていたね。だから鉄則3はルールの策定だけでなく、教育と、組織管理機能のあるプランで利用状況を見える化することまで含んでいるんだ。
💡 そうだったのか！
使えるのは台帳に載ったツールだけ。「ちょっと試す」は区分Bの情報に限り、業務利用は申請が先です。⏱ 30秒だけラボで試す
- 応用 B の「✖ Shadow IT（無断利用）」を押す
👀 図が「職員が個人契約した無料版・個人版のAI → 外部サーバーへ送信（DPAなし・学習オン）」に変わり、右に「年1回の定期確認が働かない」など3つの✖が出ます。
ラボを開く ▶📝 ニデック会計不正ラボ【総合編】（トップの言葉より仕組みが行動を決める）記事を読む ▶
📙 応用 C ラボの図
応用 C
2つの定期確認を年間カレンダーに置く
📍 ラボの場所：応用タブ C
ハルカ
年間カレンダーで、4月・7月・10月・1月に「重点」の札、4月に「年1回」の札。図は7月を開いた状態ですね。
先生
2つの定期確認を、カレンダーに落とした図なんだ。重点対象、つまり区分Aで使う生成AIと重要データを保管するクラウドストレージは、四半期を目安に設定と規約を確認して様式6に記録する。それ以外は年1回か、事業者から更新の通知が来たときだよ。
迷いポイント 定期確認では、何を見れば確認したことになる？
ハルカ
年に4回、管理画面にログインして「まだ動いています」と確認すれば、定期確認は済んだことになりますね。
先生
ログインだけでは足りないんだ。AI・クラウド活用ガイドラインラボで重点の月をクリックすると出るとおり、①学習オフの設定が有効か（スクリーンショットで記録）、②DPA・規約に変更がないか、③サブプロセッサー一覧と透明性レポートの更新、④相当措置が継続しているか、⑤フィードバック機能の無効設定。この確認が第25条の監督と第28条の相当措置の確認を兼ねるんだよ。
💡 そうだったのか！
定期確認は設定・規約・相当措置の確認を記録すること。重点対象は四半期、他は年1回＋更新通知時です。⏱ 30秒だけラボで試す
- 応用 C の「5月」をクリックする
- 続けて「10月」をクリックする
👀 5月は「通常月。更新通知があればその都度確認」、10月は「重点対象の定期確認（様式6）」で確認項目①〜⑤が出ます。
ラボを開く ▶📙 応用 E ラボの図
応用 E
AIエージェント：権限は読み取りから段階的に
📍 ラボの場所：応用タブ E
ハルカ
権限1 読み取り → 権限2 書き込み → 権限3 送信・削除・外部公開。図は権限3まで開いた状態で、「人が最終確認」の黄色い札が付いています。
先生
AIエージェントは、メールやファイルや業務アプリを自律的に操作して複数の手順を続けて実行する。便利な反面、誤りの影響範囲が大きいんだ。だから最小権限の原則で、読み取り専用から始めて、書き込み・送信は必要性を確認してから段階的に付与するんだよ。
迷いポイント エージェントに申告データの送信まで任せれば、一番効率がよい？
ハルカ
どうせ最後は人が見るなら、送信まで自動にして、問題があったときだけ人が出ていく方が効率的ですよね。Human on the loopというやつです。
先生
税理士業務は別なんだ。AI・クラウド活用ガイドラインラボの「避けるべき場面」にあるとおり、税務判断・申告データの自動送信・顧問先への確定的な回答はエージェントに委ねない。重要な操作は必ず人が最終確認する手順を設ける。推奨されるのは、定型データの集計、社内文書の下書き、要約のように、誤っても影響が限定的な業務だよ。
ハルカ
エージェントに「送信はしないで」と頼んでも、外部の文書に「全員に送れ」と書いてあったら従ってしまうんですよね。素直すぎる新人みたいです。
先生
それがプロンプトインジェクションだね。だから外部連携の提供元を確認し、監査ログを残して、不審な動作は直ちに止めるんだ。
💡 そうだったのか！
権限は読み取りから段階的に。送信・削除・外部公開は人が最終確認し、税務判断は委ねません。⏱ 30秒だけラボで試す
- 応用 E の「① 読み取り専用」を押す
- 続けて「③ 送信・削除・外部公開」を押す
👀 ①では権限2・3がグレーになり、③で3つの箱が全部開いて「🔒 人が最終確認（税理士 in the loop）」の札が出ます。
ラボを開く ▶📙 応用 F ラボの図
応用 F
インシデント対応の5段階
📍 ラボの場所：応用タブ F
ハルカ
止める → 記録する → 報告する → 対応する → 再発防止。第1段階が赤、第5段階が緑ですね。
先生
誤入力や漏えいの疑いが生じたときの5段階なんだ。気づいた瞬間に使用をやめて追加入力をしない。内容・日時・ツール名・利用者名をメモし、スクリーンショットを保存する。そして管理責任者へ第一報。ここで大事な決まりが1つあるよ。
迷いポイント 管理責任者への第一報は、記録が残るメールで送るのが正しい？
ハルカ
証拠を残すなら、電話より時刻が残るメールの方が正確ですよね。「本日14時、誤入力しました」と。
先生
第一報は電話または対面で、メールのみは認められないんだ。初動の遅れが被害を広げるから、届いたかどうか分からない手段を使わない。AI・クラウド活用ガイドラインラボで第3段階をクリックすると、様式9の緊急フローの決まりが出るよ。記録はメモとスクリーンショットで残すんだ。
💡 そうだったのか！
初動は止める→記録→電話か対面で報告。削除依頼と顧問先対応は管理責任者の指示で、法定の報告対象事態なら個情委への報告・本人通知の義務に従い、最後に様式5と再発防止です。⏱ 30秒だけラボで試す
- 応用 F の「第4段階 対応する」をクリックする
👀 「管理責任者の指示でツール側へデータ削除を依頼。顧問先への報告要否を管理責任者が判断。個人データの漏えい等で法定の報告対象事態に当たるときは、個人情報保護委員会への報告（速報は概ね3〜5日以内、確報は原則30日以内）と本人への通知の義務に従う。」と出ます。
ラボを開く ▶📙 応用 G ラボの図
応用 G
体制の3役割と導入の4段階：事務所の規模で変わる
📍 ラボの場所：応用タブ G
ハルカ
3役割は管理責任者・運用担当者・品質責任者。図は「職員5名」で、所長・IT担当の職員・担当税理士が並んでいます。
先生
所長ひとりでも職員数十名でも、骨格は同じなんだ。管理責任者は承認と最終意思決定、運用担当者は設定管理と定期確認、品質責任者はレビュー基準と教育。規模に応じて兼任できる。導入は準備する→試す→業務に使う→全員に広げる、の4段階だよ。
迷いポイント 所長ひとりの事務所なら、導入の4段階も規程も不要？
ハルカ
ひとりなら職員教育も周知も要りませんし、規程を作っても読むのは自分だけです。4段階ごと飛ばしてよさそうです。
先生
第4段階は不要になるけれど、第3段階のルール策定は飛ばさないんだ。AI・クラウド活用ガイドラインラボで「所長ひとり」を押すと、3役割が全部「所長（兼任）」になり、第4段階だけが「不要」とグレーになる。ルールは職員のためだけでなく、顧問先に説明するため、そして年1回の見直しの起点になるからだよ。
💡 そうだったのか！
規模で変わるのは兼任と第4段階の要否だけ。第3段階のルール策定はどの規模でも飛ばしません。⏱ 30秒だけラボで試す
- 応用 G の「所長ひとり」を押す
- 続けて「職員30名の税理士法人」を押す
👀 役割の札が「所長（兼任）」×3 → 「代表社員・情報システム担当・品質管理担当の税理士」に変わり、第4段階の「不要」が消えます。
ラボを開く ▶📙 応用 I ラボの図
応用 I
地政学的リスク：どこの国のサービスを選ぶか
📍 ラボの場所：応用タブ I
ハルカ
確認ポイントは4つ。本店所在地・資本関係・政府機関への情報提供方針・データ保管場所。図は「海外リージョン（海外で保存・処理）」です。
先生
規約で「学習しない」とされていても、国家の要請があればデータを提出させられる法制度の国があるんだ。だから機密性の高い情報を扱うほど、どこの国のサービスかを見る。特定の国を一律に禁止するものではなく、慎重に検討するということだよ。
迷いポイント 日本法人があるサービスなら、越境の問題は起きない？
ハルカ
日本法人があって、日本語のサポート窓口もあるサービスなら、データも日本にあるはずです。越境の心配は要りませんね。
先生
「日本法人がある」ことと「日本で処理・保管される」ことは別問題なんだ。AI・クラウド活用ガイドラインラボで「国内リージョン・日本法人」を押すと越境なしの図になるけれど、説明には「上位プラン限定・一部機能のみ・保存は日本でも推論処理は海外」といった制約の注意が付く。保存場所が日本であることに加えて、契約相手・処理場所・再委託先・国外からのアクセスまで国内で完結していると確認できたときに、越境と外的環境把握の論点が外れるんだよ。国内サーバーでも外国の再委託先が取り扱うなら、その国の制度を把握する必要があるんだ。
ハルカ
では、海外のサービスは全部あきらめた方が…。
先生
あきらめなくていいんだ。海外で保存・処理されるなら、まず外国の制度を把握して安全管理措置を講じる（外的環境の把握）。外国の事業者への個人データの提供に当たるなら第28条の要件も見る。現実的にはDPAで委託として整理し、相当措置を年1回確認する、という形になるね。海外サーバーに置くだけで一律に第28条の話になるわけではないけれど、確認の手順は同じだよ。3つの鉄則を守れば実質的な要件のほとんどはクリアできる、というのが文書Bの整理だよ。
💡 そうだったのか！
地政学は4つの確認ポイントで見る。保管も契約相手も処理も再委託先も国内と確認できれば最も軽く、海外なら外国の制度把握＋（外国第三者提供に当たれば）第28条の要件確認で対応します。⏱ 30秒だけラボで試す
- 応用 I の「国内リージョン・日本法人」を押す
👀 矢印が「越境なし（要確認）」の緑になり、日本側の箱が「外的環境把握義務：原則なし※／相当措置の確認：不要※／※契約相手・処理・再委託先・国外アクセスも国内なら」に変わります。
ラボを開く ▶📙 応用 経理部 ラボの図
応用 経理部
事業会社の経理部に当てはめるときの読み替え
📍 ラボの場所：応用タブ 経理部
ハルカ
これが部長に頼まれていた「うちに置き換える」の表ですね。「経理部の言葉に置き換える」を押すと、右の列が緑になります。
先生
この表はtaxjudgeの整理で、原典にはないことを先に言っておくよ。守秘義務の根拠は税理士法から秘密保持契約・就業規則・不正競争防止法へ、守る相手は顧問先から取引先・グループ会社・従業員へ、監督する人は所長税理士から経理部長と情報システム部門、内部統制へ置き換わるんだ。
迷いポイント 経理部には税理士がいないから、「税理士 in the loop」は無視してよい？
ハルカ
最終確認者の行だけは当てはまりませんね。うちに税理士はいませんから、部門責任者の確認で完結させてよさそうです。
先生
完結させてよいけれど、1行だけ足してほしいんだ。経理部が自社の税務処理を判断するのは、他人の求めに応じて行う税理士業務とは別のこと。だから法律上税理士の確認が必須なのではなく、重要な税務判断や解釈が難しい論点は品質管理として顧問税理士に相談する、と書く。変わらないものも大事で、情報区分・3つの鉄則・7項目・インシデント5段階、そしてマイナンバーの扱いはそのまま使えるんだよ。
ハルカ
読み替えの表を見ていたら、ルール案が勝手に書き上がりそうです。部長には「税理士会の知恵を借りました」と正直に言います。
先生
出典を書くのは、いちばん大事な読み替えだね。
💡 そうだったのか！
読み替えで変わるのは根拠・相手・監督者・最終確認者。区分・鉄則・7項目・5段階は変えずに使い、重要・難しい税務判断は顧問税理士に相談します。NDAや周知は、個人データの本人同意が要る場面の代わりにはなりません。⏱ 30秒だけラボで試す
- 応用 経理部 の「経理部の言葉に置き換える」を押す
👀 右の列が緑になり、説明パネルに8項目の対応表（守秘義務の根拠→NDA・就業規則・不正競争防止法 など）が出ます。
ラボを開く ▶今日の内容を、ラボで確かめてみませんか？
この記事の図は、すべてAI・クラウド活用ガイドラインラボの画面そのものです。応用タブを開けば、同じ図を見ながら読み返せます。
AI・クラウド活用ガイドラインラボを開く ▶📝 続けて読む：AI・クラウド活用ガイドラインラボ【設例・区分B編】記事を読む ▶
今日のまとめ ── 迷いポイント早見表
| 迷いポイント | 答え | ラボ |
|---|---|---|
| 7項目のうち6項目で区分Aに使える？ | 合計点ではない。①②③は必須、1つ欠けても区分B限定か却下（文書A 4-1） | 応用A |
| 便利なAIはまず自分で試してから申請？ | それがShadow IT。試すなら区分Bの情報だけ、業務利用は申請が先（文書A 4-2・コラム②） | 応用B |
| 定期確認はログインすれば済む？ | 学習オフ・規約・サブプロセッサー・相当措置・フィードバック機能を確認し様式6に記録（文書C 第15条） | 応用C |
| エージェントに送信まで任せるのが効率的？ | 送信・削除・外部公開は人が最終確認。税務判断・申告データ送信は委ねない（文書A 6-5） | 応用E |
| 第一報は記録が残るメールで？ | 電話または対面。メールのみは不可。記録はメモとスクリーンショット（文書A 第7章） | 応用F |
| 所長ひとりなら規程も4段階も不要？ | 第4段階は不要、3役割は兼任。第3段階のルール策定は飛ばさない（文書A 第5章） | 応用G |
| 日本法人があれば越境は起きない？ | 別問題。保管に加えて契約相手・処理・再委託先・国外アクセスまで国内と確認できたときだけ。確認できなければ委託＋相当措置（文書B 2-4・第7章） | 応用I |
| 経理部に税理士はいないから最終確認は部門責任者で完結？ | 自社の税務処理の判断は税理士業務とは別。部門責任者が確認し、重要・難しい論点は顧問税理士に相談。区分・鉄則・7項目・5段階は変えない（taxjudgeの整理） | 応用 経理部 |
おわりに
今日のふりかえり
先生
今日のまとめだよ。ツールは必須3つ＋推奨4つで選び、台帳に載せてから使う。使い始めたら2つの定期確認を記録し続ける。事故のときは止める・記録・電話で報告。そして経理部に置き換えるなら、根拠と相手と確認者を読み替えて、重要な税務判断は顧問税理士に相談する。この4つを持ち帰ってほしいんだ。
ハルカ
基礎編のときは「入れていいか」ばかり気にしていました。今日は「誰が・いつ・何を記録するか」の方が、ルールを動かし続けるには大事だと分かりました。J-SOXで習った運用評価と同じで、作っただけでは有効にならないんですね。
先生
いい結びつけ方だね。規程は年1回以上見直すこと（第19条）も、J-SOXの運用と同じ発想だよ。
ハルカ
では、うちの部のルール案の最後の条文は「第19条 この規程を作ったことに満足しない」にします。
先生
趣旨は正しいから、文言は「年1回以上見直す」にしておこうか。次の設例・区分B編では、固有名詞を入れない6つの業務シーンを、中心の図で1つずつ歩いていこうか。
参考資料
日本税理士会連合会 デジタル・システム委員会「税理士事務所のためのAI・クラウド活用ガイドライン」Ver1.0（令和8年9月25日公開。文書A 第4章〜第7章・コラム①②、文書B 第2章・第7章・第9章、文書C 規程ひな型 第6条・第7条・第13条・第15条・第16条・第19条、様式1〜10）、総務省・経済産業省「AI事業者ガイドライン 第1.2版」（令和8年3月31日）。確認日：2026年10月14日。原典は日税連の会員専用ページに掲載（2026年9月30日付お知らせ「税理士事務所のためのAI・クラウド活用ガイドラインの策定について」）。「経理部向けの読み替え」はtaxjudgeの整理であり原典にはありません。原典が例示するサービス名は例示であり特定サービスの推奨ではありません。公認会計士が監修しています。
動画で聞く：その入力、どこへ行く？AI・クラウド活用ガイドラインを5つのステップで（YouTube・10分）
シリーズ：AI・クラウド活用ガイドラインラボ【基礎編】／【応用編】（この記事）／【設例・区分B編】／【設例・区分A編】／【設例・困ったとき編】
📖 この論点が、会社で起きると ── 経理財務部の物語
応用B「承認手続きと Shadow IT」と「経理部への読み替え」を、部のルールとして決めるまで。担当者が契約書を個人のAIサービスに入れてしまったところから、止めて報告し、記録を残し、部のルールを決め、AIで読んだ結果の誤りに向き合うまでを描いた連続ストーリーです（舞台は架空の上場会社の経理財務部）。
第1話（9月9日）｜80件の契約書は、誰が読むのか ▶契約書20件を、個人で使っていたAIに入れていた。部長は「いったん止めよう」
第2話（9月28日）｜調査票の空欄 ▶入力が学習に使われる設定だったと分かる。履歴を消し、経緯を記録する
第3話（10月5日）｜決めたことと、聞くこと ▶部会で「外部のAIに入れない4つ」を決める。ルールは仮で、3か月後に見直す
第7話（10月15日）｜二人で読む ▶AIで読んだ1件に、特約の見落とし。AIか人かより、間違いを見つける仕組み
