会計事務所のAIツール選定セキュリティチェックシート｜ベンダーに送る質問票

AIツールの営業資料に「セキュリティ対策は万全」とあっても、顧問先に説明できるほど具体的な情報はなかなか出てきません。何をどう質問すればよいか、迷うことも多いのではないでしょうか。

この記事では、会計事務所・記帳代行がAIツールや導入支援会社（開発会社）を選定するときに確認すべきセキュリティ項目を法令・ガイドラインの根拠と一緒に整理し、送付用に転記して使える質問票と回答の読み方までまとめます。

質問票へ移動する

AIツールの質問票を送る前に決める3つのこと

前提が決まっていないと、ベンダーは一般論で答えるしかありません。送る前に次の3点を事務所内で決め、質問票に添えます。

決めること1：扱うデータの区分

例えば、顧問先の帳簿・証憑、個人顧問先の所得や家族の情報、マイナンバー、会計ソフトのIDや連携情報、事務所の内部資料などに分け、どの区分をツールに入れる予定かを書き出します。区分の考え方は会計事務所の生成AIセキュリティ対策、入力してよいかの判断は税理士の守秘義務と生成AIで解説しています。

決めること2：AIに任せる範囲（読む・提案する・反映する）

AIに任せる範囲は「読む」「提案する」「反映する」の3段階で考えます。段階が上がるほど、確認すべき項目が増えます。

決めること3：契約の形

汎用サービスか、カスタマイズ・新規開発かを明記します。組み込まれるAIサービスの規約も確認し、個別開発・導入支援ではK区分を使います。

AIツール選定セキュリティチェックシート｜ベンダーに送る質問票テンプレート

対象段階に応じて選び、送付用に転記する11区分・42問の確認項目です。DPAはデータ処理の付属合意を指します。「全段階」は読み取りだけでも確認し、会計ソフトに反映しない場合は反映段階の項目を省けます。個別開発・導入支援はK区分も使います。

開発・導入支援では、現場で業務を確認する作業者が触れる情報も確認します。運営元の導入事例も現場確認を含むため、K区分の確認対象になります。質問票は次の手順で送ります。

会計事務所がAIベンダーに確認すべき理由｜委託先の監督と守秘義務

国内委託、外国第三者への提供、事業者が取り扱わないクラウドを分け、契約と実態で判断します（法27・28条、Q&A 7-53・7-54）。

詳細は守秘義務と入力可否の判断表、許諾の書類は顧問先への同意・通知の整理を参照してください。条番号は確認日時点の現行法で、公布済み改正は個人情報保護法の改正で施行状況を確認します。

学習利用・保持期間・ベンダー側の閲覧を確認する

入力・出力・添付ファイル・中間生成物・各種ログ・バックアップを分け、学習や品質改善への利用、既定設定、保持期間と根拠条項を確認します（B1〜B5）。学習済みモデルからの情報除去は一般に困難なため、不要な情報を入れないことが基本です（経産省チェックリスト4.2.1）。

「学習しない」と「保存しない」は別の問い

学習の対象外でも、サービスの利用記録や不正監視、バックアップ等で保存される場合があります。入力・出力・ログを一括して「保存しない」と扱わず、対象と期間、例外、削除方法を契約で確認します。

ベンダー側の人が内容を見る場面

障害対応・不正監視・品質確認時に、誰が何を閲覧できるか、その承認と記録を確認します（B4）。

保存場所と処理地域を分けて確認する｜外国にある第三者との関係

「国内データセンターです」だけでは足りません。保存地域、AIの処理（推論＝入力に対して結果を計算すること）を行う地域、運用・サポートの拠点、アカウント情報などシステムデータの所在を分けて質問します（C1〜C4）。

事業者が個人データを取り扱わない場合でも、外国で取り扱うデータの安全管理措置にはその国の制度の把握が必要です（Q&A 12-3）。外国にある第三者への提供に当たる場合は、EU・英国など法令上の同等国や基準適合体制の例外を除き原則本人同意が必要です。基準適合体制による場合も法28条3項の措置と本人への情報提供が必要です。保存国だけで判断せず、判断表に沿って契約と実態を確認します。

顧問先単位のデータ境界と会計ソフトの認証情報

事務所・顧問先単位の分離と権限

事務所間・顧問先間で証憑、仕訳ルール、AI入力、検索対象が混ざらないかを確認します。権限、多要素認証、退職者の無効化、入力情報の最小化と番号の除外も対象です（D1〜D5）。

会計ソフト連携の方式と認証情報

会計ソフトとの連携には、公式のAPI連携（ソフト同士が決められた手順でデータをやり取りする仕組み）、CSV取込、画面操作の自動化などの方式があり、権限も読み取りのみか登録までかで異なります。認証情報の保管と暗号化、画面や処理記録に表示しないこと、AIに渡さないこと、事務所側で連携を解除する手順を確認します（E1〜E3）。方式ごとの違いは会計ソフトとAIの連携方法を比較で解説しています。

IDとパスワードを預けて代わりにログインしてもらう方式なら、会計ソフトの利用規約で認められた方法かも確認します。

承認と反映の区別・処理記録・漏えい時の連絡

候補の承認と会計ソフトへの反映を分けて記録する

AIが作った候補を担当者が確認・修正・却下・承認でき、誰がいつ承認したかが残るか（F1）、ツール内の承認と会計ソフトへの反映完了を別に記録し、反映失敗を成功扱いにしないか（F2）を確認します。例えば、二重登録や別の顧問先への登録、承認済みなのに未反映といった事態を防ぐためです。

処理記録の保存と取得

利用・認証・アクセス・操作のログについて、管理者・開発者の操作を含む保存期間と取得方法を聞きます（F3）。

漏えい時の通知の目安を契約で決める

法26条・施行規則7条の報告対象は要配慮個人情報、財産的被害、不正目的、本人1,000人超の漏えい等です。高度な暗号化等の除外と本人通知の例外もあります。委託先が委託元へ通知する場合の報告免除を踏まえ、役割を定めます。

通則編の通知・速報の目安は概ね3〜5日以内、確報は30日以内（不正目的は60日以内）です。法令上の目安と契約の期限を区別し、連絡経路と調査協力も決めます（H1・H2）。

運営元のZeimeeは、候補の承認と会計ソフトへの反映を別段階として記録する方針をセキュリティページで公開しています。学習利用・保持期間・処理地域は同ページに記載がないため、質問票で確認してください。

再委託先・第三者認証・契約終了時の削除

再委託先の一覧と変更時の通知

基盤モデルの提供者、クラウド基盤、OCR（文字の読み取り）、サポートの委託先など、再委託先の一覧と所在国、変更時の通知・承認の方法を確認します（G1）。マイナンバーを扱う処理を再委託する場合は、最初の委託者である顧問先の許諾を得る手続きへの協力を確認します（G2、番号法10条）。

第三者認証は登録範囲と対象サービスで読む

いずれも組織の管理の仕組みを評価するもので、AIへの入力データの扱いを個別に保証するものではありません。認証があっても、学習利用や処理地域などの質問は省略しません（G3）。経済産業省のチェックリストは、構成資料やSBOM（ソフトウェアの部品表）、脆弱性の修正履歴の確認、監査条項を契約に入れることも挙げています（G4）。

契約終了時の返却・削除と規約変更

契約終了時は、データの返却形式と期限、削除の期限と対象（バックアップを含むか）、削除証明の発行を確認します（I1・I2）。経済産業省のチェックリスト（A-3-4）や、IPA『中小企業の情報セキュリティ対策ガイドライン』第4.0版の付録7（No.13）も同じ観点を挙げています。

規約変更の通知方法を聞き、年1回と改定時に再確認します。定型約款は一定要件で個別合意なく変更されるため（民法548条の4）、変更履歴も残します。

業務面の確認｜例外処理・顧問先の追加・改修の範囲

業務面では、例外処理を人に戻す条件、顧問先の追加や会計ソフト変更時の作業と費用、改修の範囲と事前通知を聞いておくと、導入後の想定外を減らせます（J1〜J3）。

精度は数値の約束を求めるより、評価方法（対象の帳票と確認工程）を聞くほうが実態をつかめます。AIの出力は誤りを含みうるため、人の確認を前提に工程を設計します。内製・外注・パッケージの選び方は会計事務所のAI導入は内製・外注・パッケージのどれ？で比較しています。

回答の読み方と契約への落とし込み

回答の断定の強さではなく、求めた範囲を根拠資料が裏付けるかで判定します。

口頭の回答は書面にしてもらい、契約書・利用規約・DPAと食い違う点は契約前に解消します。回答が得られない項目があれば、(1)マイナンバーや個人顧問先の所得情報など機密性の高い情報を入力対象から外す、(2)AIに任せる範囲を「提案」までにとどめる、(3)見送る、のいずれかで判断します。ベンダーが回答を断った場合も、公開されている規約や資料で代わりに確認したうえで同じように判断します。

受託側として回答を用意する場合は記帳代行・経理BPOのセキュリティ対策を、回答の内容を所内の規程に反映する場合は税理士事務所の生成AI利用規程の作り方を参照してください。

よくある質問

まとめ

AIツールの選定は、前提（扱うデータ・AIに任せる範囲・契約の形）を決め、対象段階に合う質問を送り、根拠資料と契約条項で裏を取り、定期的に見直す流れで進めます。

一般的なIT項目だけでなく、顧問先単位の分離、会計ソフトの認証情報、承認と反映の区別、マイナンバー業務の再委託許諾という会計事務所に固有の4項目を必ず確認してください。全体像は会計事務所の生成AIセキュリティ対策、入力可否の整理は税理士の守秘義務と生成AI、令和8年改正は個人情報保護法の令和8年改正で解説しています。