AI利用に顧問先の同意は必要？同意書・顧問契約書・個人情報保護方針の見直し方

会計事務所がAIを使う際に、顧問先へ何を、どの書類で説明するかを整理します。

この記事では、同意書・通知書・個人情報保護方針・顧問契約書のそれぞれに何を書くかを表で整理し、既存の顧問先への展開手順と記録の残し方まで解説します。同意が法的に必要かどうかの詳しい整理は税理士の守秘義務と生成AIに譲ります。

顧問先へのAI利用の説明・同意が今、論点になっている理由

TKC全国会は同意書・通知書・保護方針・契約書の4つの対応を示した

TKC全国会は2026年6月3日に基本方針を公表し、顧問先の同意、人の最終判断、AI利用の見える化を運用原則としました。会員向けの対応は同意書の取得、困難な場合の通知書、保護方針と顧問契約書へのAI利用の追加です。法令上の義務とは区別しますが、書類を整理する枠組みとして参考になります。

日税連もAI・クラウド活用ガイドラインを策定した

日本税理士会連合会（日税連）のデジタル・システム委員会は2026年9月に「税理士事務所のためのAI・クラウド活用ガイドライン」を策定し、9月30日付で会員専用ページに掲載しました。本文は会員専用のため、本記事では内容を確認できていません。各種の指針は税理士のAIガイドライン一覧で整理しています。

個人情報保護委員会と国の指針も「確認」と「説明」を求めている

PPCの注意喚起（2023年6月2日）は、入力が利用目的内か、本人同意なく入力する個人データが機械学習等に使われないかの確認を求めています。AI事業者ガイドライン第1.2版（2026年3月31日、U-7のi）は事前の情報提供と問合せ窓口を挙げます。一律の同意義務を意味するものではなく、説明内容を決める際に参照します。

AI利用に顧問先の同意は必要か｜法的な整理の要点

同意が要るかどうかは、使うAIの形態と扱う情報で変わります。詳しい整理と判断表は税理士の守秘義務と生成AIに譲り、ここでは書類づくりに必要な要点だけを表にします。

外国にある第三者に当たるかは、サーバの所在地ではなく取り扱う事業者で判断します。外国事業者のサーバでも、事業者が個人データを取り扱わない契約・アクセス制御なら提供には当たりませんが、その国の制度を把握して安全管理措置を講じます（Q&A 12-3）。サーバが国内でも、外国事業者がデータを取り扱う場合は原則として外国にある第三者への提供に当たります。ただし、その事業者が日本国内でデータを取り扱い、国内で個人情報データベース等を事業に使っていると認められる場合は当たりません（Q&A 12-4）。使うサービスがどの形態かは、提供事業者に確認します。

法人の情報と個人データを分けて考える

個人情報保護法の「個人情報」は生存する個人に関する情報で（法2条1項）、法人そのものの情報は含まれません。一方、法人顧問先の売上や取引条件は税理士法38条の秘密に当たり得ます（基本通達38-2）。役員・従業員・個人の取引先の情報は個人データで、「本人」はその個人です。書類では、守秘義務の対象として顧問先に説明する部分と、個人データとして扱う部分を分けて書きます。

同意と通知の違いと、顧問先ごとの書類の選び方

PPCの通則編ガイドラインでは、「本人に通知」は本人に直接知らせること（2-14）、「公表」は広く一般に知らせること（2-15）、「本人の同意」は事業者が示した取扱方法を承諾する意思表示（2-16）です。同意の方法として、口頭、書面（電磁的記録を含む）、メール、確認欄へのチェック、ボタンのクリックなどが例示されています。後から説明できるよう、記録が残る方法をおすすめします。

4つの書類が向く場面

通知書を送るだけで第三者提供が適法になるわけではありません。通知で足りると整理できるのは、取扱いの委託や事業者が個人データを取り扱わないクラウドなどの範囲で、守秘義務上の許諾も別に確認します。本人同意による外国への提供や番号法の再委託許諾は通知では足りません。

顧問先の区分ごとの組み合わせ例

AI利用の同意書・通知書に書く項目チェックリスト

同意書と通知書に書く項目はほぼ共通で、違いは顧問先が承諾を示す欄（署名やチェック）の有無です。

同意書・通知書の骨子（構成の例）

文例ではなく書面の構成例です。マイナンバーの再委託許諾を得る場合は、対象と許諾の範囲を別欄にします。

書く前に、導入するAIサービスの説明資料をそろえる

入力する情報、処理・保存の場所、学習への利用、人による確認の仕組みは、提供事業者の説明資料がそろって初めて正確に書けます。例えばZeimeeはセキュリティと承認のページで、顧問先ごとの処理を事業所単位で分ける、AI処理では必要な情報に絞る、AIの候補は担当者が確認・修正・却下・承認する、承認と会計ソフトへの反映を別の段階として記録する、といった基本方針を公開しています。どのベンダーにも同じ観点で資料を求めると比べやすくなります。質問の項目はAIツール選定セキュリティチェックシートにまとめています。

個人情報保護方針（プライバシーポリシー）にAI利用を追記する項目

個人情報保護法32条1項と施行令10条は、利用目的や安全管理のために講じた措置（支障があるものを除く）、苦情の申出先などを本人の知り得る状態に置くよう求めています。対象は事務所の保有個人データです。委託で扱うデータは契約の実態によって顧問先側の保有個人データになる場合があります（通則編2-7）。保護方針にこれらを載せている場合、AI利用もこの枠組みで追記します。

「ガイドラインに沿って実施」だけでは足りない

通則編3-8-1は、「ガイドラインに沿って安全管理措置を実施」と掲載するだけでは適切でないとしています。入力してよい情報の区分や出力の確認手順など、実際の措置を書きます。外国で個人データを取り扱う場合は、その国の制度を把握したうえで措置を講じる必要があり（10-7）、外国の名称は本人が合理的に認識できる形で示す必要があり、その国の制度も本人の知り得る状態に置くことが望ましいとされています（3-8-1の※8）。

利用目的の欄はAIのために書き換えるとは限らない

利用目的は、本人が一般的かつ合理的に想定できる程度に具体的に特定することが望ましいとされています（通則編3-1-1）。AIは記帳などの目的を達成する手段なので、通常は安全管理措置や委託先の監督の欄で手当てすると考えられます。ただし、AIで本人の行動や関心などを分析するなら、本人が予測・想定できる程度に利用目的を特定する必要があります（3-1-1の※1）。

なお、通則編の「中小規模事業者」（従業員100人以下）からは、委託を受けて個人データを取り扱う者などが除かれます。給与計算などを受託する事務所は、簡易な手法を前提にしないよう注意します。

顧問契約書にAI条項を入れるときの論点

条項の書き方は契約全体との整合や個別の事情で変わるため、本記事では文例は示さず、決めておく論点を整理します。

既存の契約を変えるには、契約で定めた変更手続きに従うか顧問先と合意するのが一般的です。更新時に改定版を示すか、覚書で追加するかを決めておきます。

既存の顧問先への展開手順と、同意の記録の残し方

同意・通知の記録台帳に残す項目

番号法のQ&A 3-10は、再委託の許諾を書面など記録として残る形で得ることが望ましいとしています。ほかの同意や通知も同じ考え方で記録しておくと、問われたときに説明できます。

事務所内のルールは生成AI利用規程の作り方、導入前のセキュリティ対策は生成AIセキュリティ対策の7項目で解説しています。顧問先への書類と内容をそろえておくと、説明に食い違いが出にくくなります。

令和8年改正個人情報保護法で見直す可能性のある箇所

令和8年法律第56号は2026年7月10日に成立、7月17日に公布されました。本体は公布から2年以内の政令で定める日に施行され、2026年10月10日時点で未施行です。改正後の内容を今の書類に先取りしないよう注意します。

具体的な範囲は規則で定められます。公表されたら委託に関する部分から見直してください。詳しくは個人情報保護法の令和8年改正と会計事務所のAI利用で解説しています。

よくある質問

まとめ

同意が法的に必要かの判断は税理士の守秘義務と生成AIで、その結果を書類に落とし込む方法を本記事で整理しました。

• 同意書・通知書：利用目的、入力する情報としない情報、AIサービスと処理場所、学習利用、人の確認、不同意時の扱い、窓口を書く。外国への本人同意による提供とマイナンバーの許諾は通知では足りない。
• 個人情報保護方針：講じている安全管理措置、外的環境の把握、AI事業者を含む委託先の監督を具体的に書く。
• 顧問契約書：再委託、漏えい時の連絡、学習利用の禁止、終了時の削除を論点として整理し、条項は弁護士に確認する。
• 既存顧問先へは、AIの棚卸し→区分→書類の送付・回収→台帳への記録の順で進める。

どの書類も、AIサービスの説明資料がそろって初めて正確に書けます。どの情報をAIに渡すかは、業務の流れを確認すると特定しやすくなります。