税理士の守秘義務と生成AI｜顧問先情報を入力してよいかの整理と判断表

税理士の守秘義務（税理士法38条）と生成AIの利用は、入力する顧問先情報と、送信先での取扱いを分けて判断する必要があります。顧問先の決算書や通帳を読み取らせるときに何を確認するか、事務所の運用を決める材料を整理します。

守秘義務（税理士法）と個人情報保護法を分けて整理し、入力先と情報の種類を掛け合わせた判断表で、事務所として判断する材料をまとめます。

税理士の守秘義務とAI：まず「法人の秘密」と「個人データ」を分けて考える

入力してよいかは、次の2つの軸を分けると整理しやすくなります。

軸1：税理士法の守秘義務は法人・個人を問わない

守秘義務の対象は、税理士業務に関して知り得た「秘密」です。税理士法基本通達38-2は、依頼人の陳述や自己の判断で知り得た事実のうち、一般に知られていない事項と、関係者が他言を禁じた事項を秘密としています。法人顧問先の売上や取引条件も対象になり得ます。

軸2：個人情報保護法は個人データが対象

個人情報保護委員会の通則編ガイドライン（2-1）は、法人などの団体そのものの情報は個人情報に当たらない一方、役員や従業員等に関する情報は個人情報に当たるとしています。法人顧問先の資料でも、代表者名や従業員の給与が含まれればその部分は個人情報保護法の問題です。個人事業主は生存する個人のため、本人を識別できる帳簿や通帳の情報は個人情報に当たると考えられます。

マイナンバーには番号法の別のルールがかかり、同意があれば足りる仕組みではありません。

判断表：入力先×情報の種類で顧問先情報を入力してよいかを整理する

入力先と情報の種類で整理します。一般的な考え方で、個別の適否を保証するものではありません。

• A：守秘義務上の顧問先の許諾と、その対象・範囲を確認する。
• B：学習利用、保持・削除、人のレビュー、再委託先を契約と設定で確認する。
• C：委託か第三者提供か、外国提供（28条）の同意・例外、委託元の承認を確認する。法人プランだけで同意不要にはならない。
• D：事務所承認、情報の最小化、出力確認、記録の手順を満たす。加工した情報も再識別できないか確認する。秘密や個人データが残れば元の情報区分でA・Cも確認する。

「条件付き検討」は適法性を保証する判定ではありません。会計ツールや専用システムがAPIで基盤モデルを使う場合も、モデル提供者を再委託先として確認します。マイナンバーは全入力先で同じ基本線とし、例外的に扱う業務は番号法上の提供根拠・委託者の許諾・監督と安全管理を別途確認します。AIが番号を処理する以上、Q&A3-12の「取り扱わない」契約には当てはめにくいため、専用システムも自動的な例外にはしません。

加工（匿名化）しても安心とは限らない

顧問先名を消しても、取引先名・金額・日付の組合せで特定できる場合があり、法人の秘密としての性質も残り得ます。ここでいう加工は、個人情報保護法上の「匿名加工情報」とは別物です。

• 顧問先名・代表者名・住所・取引先名・口座番号
• 法人番号・インボイス登録番号（法人を特定できる番号）
• 特徴的な金額・日付、ファイル名、PDFのメタ情報

例えば架空の「A商店、2026年9月28日、取引先B社、3,487,219円」という取引を使うなら、名前を伏せるだけでなく「架空事業者、期間1、売上100万円」のように必要な構造だけを残して作り直す方法があります。実額が必要な分析ではこの加工が使えないため、承認した入力先での条件確認が必要です。

専用システムの列で確認する点

• 事務所単位・顧問先単位でデータの境界が分かれているか
• AIへ渡す情報を、目的に必要な範囲へ絞る設計か
• AIが作った候補を、担当者が確認・承認してから使う設計か
• 基盤モデルの提供者での学習利用、保持期間、所在国

専用システムというだけで安全とはいえず、上の点の確認が前提です。Zeimeeが仕組みを設計するときの基本方針はセキュリティ方針に掲載しています。

判断が分かれる点

• AIへの入力が38条の「他に洩らし」に当たるか（公的な解釈は確認できなかった）
• 法人向けプランやAPIが、Q&A7-53のクラウド例外に当たるか（契約・設定・実態による）

税理士法38条・54条の守秘義務と「正当な理由」

条文と通達の要点

• 38条：税理士は、正当な理由がなくて、税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならない。税理士でなくなった後も同様です。
• 54条：使用人その他の従業者にも同じ義務（漏らし・盗用の禁止）があり、退職後も続きます。
• 税理士法基本通達（令和7年6月1日現在）：38-1は「正当な理由」を本人の許諾又は法令に基づく義務があること、38-3は「窃用」を自ら又は第三者のために利用することとしています。

AIへの入力は「他に洩らし」に当たるのか

AIサービスへの入力が38条の「他に洩らし」に当たるかを直接示した公的な解釈は、e-Govの条文、国税庁の通達、財務省告示、日本税理士会連合会の一般公開ページの範囲では確認できませんでした。通達の第38条関係（38-1〜38-4）にもAIへの言及はなく、判断は分かれ得ます。会員の方は日税連のAI・クラウド活用ガイドライン本文もあわせて確認してください。

検討の視点としては、外部の事業者へ送信して第三者が内容を知り得る状態に置くため「洩らし」に当たり得るとする見方と、目的外利用をしない契約下での処理を既存のクラウド会計・メール・オンラインストレージと同様に整理できるとする見方があります。いずれも本記事の論点整理で、公的な結論ではありません。実務では、例えば次の3つを組み合わせて説明できる状態にしておくことが考えられます。

1. 顧問先の許諾を得る（通達38-1の「本人の許諾」）。
2. 入力先で第三者が内容を取り扱わない、目的外に使わない契約と設定かを確認する。
3. 入力する情報を、目的に必要な範囲に絞る。

どこまで行えば足りるかは、所属の税理士会や弁護士に確認してください。許諾の取り方は顧問先の同意書・顧問契約書の見直し方で解説しています。

職員の個人アカウント利用は所長の監督の問題にもなる

事務所が認めていないAIを職員が個人アカウントで使う、いわゆるシャドーAIは、職員本人の54条に加え、所長の監督義務（41条の2）の問題にもなり得ます。通達41の2-1は、事務を行う場所で監督義務が変わらない旨を示したもので、AI利用に直接言及したものではありません。使ってよいサービスと入力の区分は生成AI利用規程として文書にしておくのが現実的です。

罰則と懲戒

• 刑事罰：38条・54条の違反は2年以下の拘禁刑又は100万円以下の罰金で（59条1項3号）、告訴がなければ公訴を提起できない親告罪です（同条2項）。「懲役」は2025年6月1日施行の改正で「拘禁刑」に改められています。
• 懲戒：財務省告示「懲戒処分等の考え方」は、38条違反を2年以内の業務停止又は業務禁止、41条の2違反を戒告又は1年以内の業務停止としています。使用人等の不正行為を認識していた場合や、内部管理体制の不備などで認識できなかったことに相当の責任がある場合も、税理士が懲戒の対象になるとしています。

個人情報保護法：委託・クラウド例外・外国にある第三者の整理

個人データを入力する場面は、次の3つのどれに当たるかで対応が変わります。

生成AIにクラウド例外をそのまま当てはめない

Q&A7-53は、事業者が保存データを「取り扱わない」ことが前提です。生成AIは入力内容を処理して応答を返すため、法人向けプランやAPIであることだけでクラウド例外に当たるとはいえず、契約、学習利用、人によるレビューやアクセス制御の実態によると考えられます。個人情報保護委員会も2024年3月25日の注意喚起で、利用規約やアクセス制御の実態からクラウド事業者を委託先と判断した事例を示しています。

同委員会の2023年6月2日の注意喚起は、本人の同意なく入力した個人データが応答結果の出力以外の目的で取り扱われる場合は法違反となる可能性があるとして、機械学習に利用しないこと等の確認を求めています。入力を一律に禁止した内容ではありません。

外国にある第三者への提供（28条）

海外の事業者のサービスでは28条も確認します。Q&A12-1は、外国の事業者への委託でも原則として28条の本人同意が必要で、例外は同等水準の国（Q&A記載の令和3年9月時点ではEU・英国）、基準に適合する体制を整備した事業者、27条1項各号の場合としています。Q&A12-3は取り扱わない契約とアクセス制御があれば提供に当たらないとしつつ外国の制度を踏まえた安全管理措置を求め、Q&A12-4はサーバが国内でも外国事業者が保存データを取り扱えば該当するとしています。国内リージョンを選ぶだけで28条の問題がなくなるとは限りません。

顧問先から委託を受けている場合は再委託になり得る

給与計算や年末調整などで顧問先から個人データの取扱いを委託されている場面では、AI事業者は再委託先の位置づけになり得ます。通則編3-4-4は、再委託の際に委託元が事前報告を受け又は承認を行うこと等が望ましいとしています。顧問先との契約で再委託の扱いを決めておきましょう（記帳代行・経理BPOのセキュリティ対策も参照）。

現行法では、委員会の命令（148条）に違反すると1年以下の拘禁刑又は100万円以下の罰金（178条）、法人には1億円以下の罰金（184条1項1号）が科され得ます。

マイナンバー（特定個人情報）は番号法で別に考える

マイナンバーを含む個人情報は特定個人情報と呼ばれ、番号法の規律が加わります。個人情報保護委員会の事業者編ガイドラインは、源泉徴収票作成事務の委託を受けた税理士等も「個人番号関係事務実施者」に当たるとしています。

• 提供の制限：提供できる場面は19条の限定列挙で、本人の同意があれば提供できる仕組みではありません（収集・保管も20条で制限）。
• 再委託：委託者の許諾を得た場合に限り再委託できます（10条1項）。顧問先から源泉徴収票作成などの個人番号関係事務の委託を受けている場合、AI事業者が番号を処理することが再委託に当たり得て、委託元の許諾が必要です。
• クラウド：事業者が番号を含むデータを取り扱わない契約とし、適切にアクセス制御していれば、番号法上の委託に当たりません（番号法Q&A3-12）。

汎用の生成AIサービスは入力内容を処理して応答を返すため、マイナンバーは入力しない運用を基本にするのが妥当と考えられます。例えば、番号が写った書類は番号部分を隠してから扱う手順を決めておきます。年末調整での注意点は年末調整でAIを使える工程・使えない工程で解説しています。

生成AIの学習利用の扱いと確認ポイント（2026年10月10日確認）

各社の公式情報の要点です（資料名は参考資料に記載）。

学習オフで見落としやすい点

• 学習に使わない設定でも、一定期間の保持はある
• 職員の個人アカウントの設定は、事務所が管理できない
• 学習オフでも、委託該当性・28条・38条の許諾の論点は残る

入力先の契約・設定で確認する7項目

• 契約主体・所在国
• 学習利用の既定値とフィードバックの扱い
• 保持期間・削除の条件
• 人によるレビューとアクセス
• 再委託先・基盤モデル提供者
• 管理者によるアカウント・設定管理
• 入力・出力のログと確認記録

基本の運用設計は生成AIセキュリティ対策の7項目、ベンダーへの質問票はAIツール選定セキュリティチェックシートにまとめています。各社の規約や設定は変わるため、四半期ごとに見直すことをおすすめします。

令和8年改正個人情報保護法で変わる点（主要部分は未施行）

令和8年改正法は2026年7月10日に成立し、7月17日に公布されました。施行は原則として公布日から2年を超えない範囲内で政令で定める日、罰則の強化部分は2027年1月17日です。2026年10月10日時点では主要部分は未施行で、公布日施行の附則の一部とは区別します。

• 受託者の義務（新30条の3）：委託を受けた事業者は、委託業務の遂行に必要な範囲を超えて取り扱ってはならないとされます。
• 漏えい等：本人通知の緩和（26条2項）。概要資料では、違法な第三者提供を漏えい等報告の対象にする方向も示されています（規則で定める想定）。
• 課徴金制度の導入（148条の3〜148条の17）。

確認日時点で政令・規則は検討段階で、施行日を定める政令は確認できませんでした。現行法で運用しつつ、委託契約で取扱いの範囲を明確にし、記録を残しておくのが現実的です。詳しくは個人情報保護法の令和8年改正と会計事務所のAI利用をご覧ください。

TKC全国会の方針と日税連のガイドラインの位置づけ

TKC全国会の方針（2026年6月3日）

TKC全国会の「AIの活用に関する基本方針および会計事務所における必要な対応」は、会員事務所向けの自主ルールです。関与先情報を入力する場合の事前の同意書の取得、困難な場合の通知書による通知、個人情報保護方針と顧問契約書の改定を必須対応としています。

通知で対応する場合は、委託として整理できるか、又は27条2項の要件（本人の提供停止の求めへの対応、所定事項の通知等と個人情報保護委員会への届出。要配慮個人情報等は対象外）を満たすかを個別に確認します。これは一般的な法令上の確認点です。

日税連のガイドライン（2026年9月）

日本税理士会連合会は2026年9月30日付の会員向けお知らせで「税理士事務所のためのAI・クラウド活用ガイドライン」の策定を告知しています。同会サイトではデジタル・システム委員会の資料として掲載されています。本文は会員専用で確認できませんでした。会員は本文を確認し、事務所の規程と照合してください。国の「AI事業者ガイドライン」第1.2版（2026年3月31日）を含む一覧は税理士のAIガイドライン一覧で整理しています。

公認会計士の守秘義務と生成AI（公認会計士法27条）

公認会計士法27条は、正当な理由なく業務上取り扱ったことについて知り得た秘密を漏らし、又は盗用することを禁じ、公認会計士でなくなった後も同様としています。特定社員（34条の10の16）、使用人等（49条の2）にも同旨の規定があり、違反は2年以下の拘禁刑又は100万円以下の罰金で、告訴が必要です（52条）。

日本公認会計士協会の「公認会計士業務における情報セキュリティの指針」（最終改正2022年10月13日）は、事務所が許可したクラウドサービス以外は利用しないこと、ウェブ翻訳サービスでは入力データが提供者に収集されることに注意することなどを示しています。公認会計士は税理士となる資格を有し（税理士法3条1項4号）、税理士登録をして税理士業務を行う場合は、税理士法38条も関係します。

税理士事務所として決めておくこと（チェックリスト）

• 業務で使ってよいAIサービスと、個人アカウント利用の可否
• 判断表の5つの情報区分ごとの可否
• 顧問先の許諾・同意・通知の要否と書類（同意書・顧問契約書の見直し方）
• 利用規程・誓約書・職員教育（生成AI利用規程の作り方）
• 入力先の契約・設定の確認日と、どの顧問先の何を入れたかの記録

誤って入力したときの初動

通則編3-5-1-2は、自らの意図で第三者に提供した場合は漏えいではなく第三者提供の問題と整理します。事務所が認めた入力と、認めていないサービスへの誤入力では事実関係が異なり得ます。削除だけで問題が解消したとせず、個人情報保護委員会や専門家に確認してください。

業務に合わせて情報の範囲と承認を設計する選択肢

汎用の生成AIに資料を貼り付けるほかに、AIへ渡す情報の範囲や担当者の確認・承認の手順を業務に合わせて設計した仕組みを使う方法もあります。Zeimeeでは、エンジニアが事務所の業務を確認して帳票の読み取りや仕訳候補の作成などの仕組みを設計・実装し、AIの候補は担当者が確認・修正・却下・承認する設計にしています。現場で業務を確認しながら開発した例は導入事例で紹介しています。制度の調べものなど顧問先情報を入れない用途だけなら、汎用サービスの法人向けプランで足りる場合もあります。業務別の使い分けはAI活用の12業務の早見表や生成AIの業務別プロンプト例も参考にしてください。

よくある質問

まとめ

• 守秘義務（法人・個人を問わない秘密）と個人情報保護法（個人データ）の2つの軸に、入力先を掛け合わせて判断します。
• 顧問先の許諾、契約と設定の確認、情報の絞り込みを組み合わせ、判断が分かれる点は専門家に確認します。
• 法人向けプランやAPIでも、クラウド例外や同意不要が当然に成り立つわけではありません。28条と再委託も確認します。
• 令和8年改正の主要部分は未施行です。現行法で運用しつつ、委託契約と記録を整えておきます。

まずは使ってよいサービスと情報の区分を決め、判断表を職員と共有するところから始めましょう。