経理・会計事務所のAIセキュリティ完全ガイド｜守秘義務と対策5ステップ

2026年5月12日

「ChatGPTやClaudeを使いたいが、顧問先のデータを入れて大丈夫なのか」
「うっかり個人情報を入力してしまったら税理士法違反になるのでは」。

所長や経理部長の方からよく寄せられる、AI活用で最初の壁になる論点です。

本記事では、経理部・会計事務所のAIセキュリティを、税理士法第38条と個人情報保護法に紐づけて整理し、規模別の対策マトリクス、社内ルール文書化の5ステップ、インシデント発生時の48時間対応フローまでをまとめました。

「結局、明日から何をすればいいか」が決められる形で踏み込みます。

解説動画

結論：AIセキュリティは法的リスクとプラン選定の掛け算で設計する

経理・会計事務所のAIセキュリティで成果を出している現場には、共通の3層構造があります。

法的リスクの線引き。
税理士法第38条の守秘義務、個人情報保護法、改正電帳法のどこに触れる行為かを、業務ごとに事前に判定しておく
プランと契約条件の使い分け。
Free、Pro、Team、Enterprise、ZDR契約のどれを、どの情報レベルに使うかを決め切る
運用ルールと教育。
文書化された社内ルールと、最低でも年1回のセキュリティ研修をセットにする

「とりあえずChatGPTを禁止する」で済ませると、シャドーAI（社員が個人で勝手に使うAI）が増えて逆にリスクが高まります。

「とりあえず使って学ぶ」だと、個人情報を入れてしまう事故につながります。3層を一体で設計するのが、現実解です。

なぜ「経理・会計事務所のAIセキュリティ」が経営課題になったのか

2023年のChatGPT普及から、AIで業務効率化を目指す事務所と経理部が一気に増えました。同時に、「うっかり顧客名や金額を入力した」「シャドーAIが横行している」といった現場の不安も広がっています（参考：個人情報保護委員会）。

2024〜2026年に重なった3つの環境変化

第一に、2024年1月の改正電子帳簿保存法で、電子取引データの電子保存が義務化されました（国税庁｜電子帳簿保存法関係）。AIで扱う対象データが一気に増え、セキュリティ要件も上がっています。

第二に、生成AIの普及で、誰もが個人で使える状態になりました。シャドーAIの広がりは、組織にとってのリスクの中心になっています。

第三に、2025年以降のAIエージェント本格化で、AIが自律的にデータを動かすようになり、ブラックボックス化の論点が新たに浮上しました。

法律から見た守秘義務の現状

税理士法第38条は、税理士に正当な理由なく業務上知り得た秘密を漏らすことを禁じています。違反は2年以下の懲役または100万円以下の罰金です。AIに顧客名や財務データを入力する行為が「漏えい」に該当するかは、入力先のサービス仕様（学習に使うか、第三者に共有されるか）によって判断が変わります。

個人情報保護法では、本人の同意なく第三者へ提供することが原則禁止で、AIサービスへの個人情報入力もこの「提供」に該当する可能性があります（参考：個人情報保護委員会｜法令・ガイドライン）。

実務上は、入力前のマスキングと、サービスの利用規約・データ取扱方針の事前確認が必須です。

労働人口の縮小という背景

総務省の見通しでは、生産年齢人口は2030年代半ばまで毎年30〜50万人減少します（総務省｜情報通信白書）。経理人材の採用難でAI活用は止められず、セキュリティ対策と効率化を両立させる設計が、事務所と経理部の経営課題になっています。

業務×リスクマップ：何を、どこまで守るのか

主要業務を「扱う情報の機密度」「想定される主要リスク」「推奨される最低限のプラン」で整理した表が次です。

業務	情報機密度	主要リスク	推奨最低プラン
一般的な税務リサーチ	低（公開情報）	誤情報（ハルシネーション）	Free〜Pro
議事録・案内文の文章化	低〜中（社内秘）	固有名詞の混入	Pro
請求書情報の抽出（顧客名仮名化済）	中（社内秘）	仮名化漏れ	Pro〜Team
仕訳・月次レポートのドラフト	中〜高（顧問先データ）	守秘義務違反	Team以上
個人情報・マイナンバーの取扱	最高	個情法違反、刑事罰	Enterprise／ZDR契約
給与・住所・口座番号	最高	個情法違反	Enterprise／ZDR契約
未公開のM&A・上場準備情報	最高	金商法違反、契約違反	Enterprise／自社モデル
顧問先の経営戦略レビュー	高	競合への流出	Team以上＋NDA確認

全社員に共通する3つのリスク

第一に「誤入力」です。社員が安易に顧客名や金額を入力するパターンで、最も発生頻度が高いのがこのケースです。

第二に「鵜呑み」のリスクで、AIの出力を確認なく業務に反映してしまい、誤情報や法的判断ミスが起きます。

第三に「シャドーAI」で、IT部門の許可なく個人で無料AIを使い、機密情報が外部に流れる経路になります。

会計事務所特有の論点

会計事務所は、税理士法第38条の守秘義務に加え、顧問先ごとのNDA（守秘契約）が存在します。

AIの利用は顧問契約に含まれない可能性があり、新規契約・更新時に「AI利用の有無と範囲」を明文化しておくと安全です。日本税理士会連合会のガイドラインも併せて確認してください。

経理部特有の論点

事業会社の経理部では、社内の情報管理規程との整合が要点です。

特に、未公開のM&A情報や上場準備情報は、AI利用が金商法のインサイダー規制や契約違反に触れる可能性があります。法務部と早めに連携することをおすすめします。

2026〜2030年のAIセキュリティ動向（予測）

ここから先は予測です。市場の動きと規制の方向から推測した、現時点での見通しとしてお読みください。

2026〜2027年：標準化フェーズ

各AIサービスがエンタープライズ向けにZDR契約や独立データホストを標準提供するようになり、選定の選択肢が広がる時期です。経済産業省や個人情報保護委員会から、生成AI活用のガイドラインの精緻化が続くと見込まれます（経済産業省｜デジタルトランスフォーメーション（DX）の推進）。

2028〜2029年：規制強化フェーズ

EUのAI法（AI Act）の運用が本格化し、日本でも金融や会計分野でのAI利用に対する開示要件・監査要件が整理されると予想されます。事務所内で「AI利用ログを残す」「監査時に説明できる」体制を持つことが、選ばれる事務所の条件になりつつあります。

2030年以降：監査対応必須化フェーズ

会計監査・税務調査でAI利用ログの提出を求められる場面が増える可能性があります。今のうちに、業務と紐づいたログ保存と、社内ルール改訂の年次レビュー体制を持っておくと、後から慌てずに済みます。

規模別×情報レベル別の対策マトリクス（3パターン）

所員数とリソースで、現実に取れる対策が変わります。3パターンに分けて整理しました。

項目	A：小規模（1〜5名）	B：中規模（10〜30名）	C：大手（50名以上）
主な狙い	事故ゼロと最低限の運用	標準化と教育の仕組み化	監査対応とガバナンス
推奨プラン	Pro〜Team	Team〜Enterprise	Enterprise＋ZDR契約
必須ルール文書	入力禁止情報リスト1枚	3〜5本の運用ガイド	規程＋手順書＋監査計画
教育頻度	年1回＋新メンバー時	四半期＋オンボーディング	月次＋全社eラーニング
ログ保存	主要業務のみ手動記録	テンプレ化＋月次レビュー	専用ツールで自動記録
インシデント体制	所長＋顧問弁護士	専任窓口＋外部CSIRT	社内CSIRT＋IT部門連携
初期投資	0〜10万円	30〜200万円	500万円〜数千万円

小規模事務所はA、コンサル特化や顧問先30社超ならB、上場会社や顧問先100社超ならC、が大まかな目安です。Aの段階で全社員にPro以上を支給するだけでも、無料プラン経由の漏えいリスクは大幅に下げられます。

明日から始める社内ルール5ステップ

「ルールを文書化する時間がない」と感じるかもしれませんが、5ステップで2〜4週間あれば形にできます。最初から完璧を目指さず、運用しながら更新する前提で進めてください。

ステップ1：入力禁止情報リストを1枚にまとめる

「入れていい情報」と「絶対に入れない情報」を、A4 1枚にまとめます。

例として、入れない情報は以下の5カテゴリです。

「顧客名・取引先名（仮名化前）」
「金額（実額）」
「個人名・住所・電話番号」
「マイナンバー・銀行口座番号」
「未公開の経営情報」

一方で、入れていい情報は

「公開済の税法解釈」
「社内マニュアルの体裁案」
「議事録の文章リライト（個別固有名抜き）」

の3カテゴリ、のように具体例を並べます。

ステップ2：プラン選定と仮名化ルールを決める

会計事務所なら最低Team以上、顧問先データを扱う場合はEnterprise／ZDR契約まで上げる、というプラン基準を決めます。

仮名化ルールは「顧客名は『A社』『B社』に置換」「金額は桁を下げて『100万円→100』に変換」のように、事務所の標準として共有します。

ステップ3：用途別の推奨プロンプトと禁止プロンプトを集める

うまくいったプロンプトをテンプレ化して全員で共有すると、品質と安全性が同時に上がります。「議事録の要約用」「税務質問の論点整理用」「月次レポートのドラフト用」の3〜5個から始めるのが現実的です。

逆に「顧問先名を含めて聞く」「実額を入れて分析させる」のような禁止プロンプト例も併記してください。

ステップ4：年1回の社内研修を設計する

所員5名でも30分の研修を年1回入れるだけで、ルールの浸透度が変わります。内容は「税理士法第38条と個情法の要点」「禁止情報の確認」「過去のインシデント事例」「シャドーAI禁止の周知」の4本で十分です。

新入社員向けには別途、初日のオンボーディングに組み込んでください。

ステップ5：四半期ごとに見直す

AIサービスの仕様は半年で大きく変わります。Free・Pro・Team・Enterpriseの違い、ZDR契約の追加、データ保存期間の改定など、事務所の選定基準が陳腐化していないかを四半期に1回チェックします。

所長または所内DX担当が30分で見直す運用が、実務上は最も続きやすい形です。

インシデント発生時の48時間対応フロー

「もしもの時」をシミュレートしておかないと、実際に起きた時に判断が遅れて被害が拡大します。
会計事務所・経理部で起きうる典型インシデントの48時間フローを整理しました。

時間	やること	誰が
発覚〜1時間	事実確認、AI入力履歴の保全、影響範囲の仮特定	発見者＋直属上長
1〜4時間	所長／部長への報告、暫定的なAI利用停止判断	所長／経理部長
4〜24時間	顧問弁護士への相談、対象顧問先・本人への第一報の準備	所長＋顧問弁護士
24〜48時間	影響を受けた顧問先・本人への通知、個情委への報告検討	所長＋法務
48時間以降	原因分析、再発防止策、社内ルール改訂、必要なら対外公表	全関係者