無料ChatGPTが最新モデルになった事務所のシャドーAI規程7見直し

シャドーAIとは、事務所が把握しないまま職員が業務で使う生成AIのことです。

事務所のAI利用規程が実態に追いつかなくなる引き金は、新機能の追加ではなく、無料枠の拡張です。本記事では、無料プランの標準モデルが最新世代に切り替わったという事実を一次情報で確認したうえで、士業事務所の生成AI利用規程を見直す7つの手順を整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。OpenAIは2026年8月6日、Free／GoプランでGPT-5.6 Lunaを標準モデルとし、発表翌週からテキストチャットを無制限に利用できるようにすると発表しました（出典: gihyo.jp ChatGPT、モデル構成を更新）。

無料枠の拡張が、事務所の規程にとって新機能より重い理由

まず事実の確認からです。技術評論社のgihyo.jpによれば、今回の更新でPlusおよびProプランには改良版のGPT-5.6 Solが展開され、即答向けのInstantから深い推論までを同じモデルが処理するようになりました。一方、Free／Goプランは標準モデルがGPT-5.6 Lunaに切り替わり、悪用防止策の範囲内でテキストチャットが無制限になります。無制限の対象はテキストチャットに限られ、ファイルのアップロード、画像、その他のツールには引き続き利用上限が適用されると同記事は説明しています（出典は前掲のgihyo.jp記事）。

事務所の管理者として押さえておきたいのは、この変更が職員の行動に与える影響です。これまで無料プランには回数制限があり、業務で継続的に使うには不便でした。その不便さが、結果として職員の私物アカウント利用を抑える働きをしていた面があります。テキストチャットの制限が外れると、この抑止力が弱まります。

もう1つ効いてくるのが精度です。gihyo.jpは8月版のシステムカードの内容として、金融・医療・法律の難しい質問において、少なくとも1つの事実誤りを含む回答がGPT-5.5 Instantより少なく、減少率はGPT-5.6 Lunaで約62％、GPT-5.6 Solで約68％だったと伝えています。同記事は、これが評価用に選んだ難しい質問に対する結果であり、通常の利用で生じる誤りの割合を示す数値ではないと注記しています（出典は前掲のgihyo.jp記事）。この注記は重要です。ただ、無料で使えるモデルが法律分野の質問で以前より妥当な答えを返しやすくなったという印象を職員が持てば、業務での利用は確実性の議論を待たずに広がります。

つまり、規程の見直しを促しているのは新しい機能ではありません。無料で、回数を気にせず、それなりの精度で使える環境が整ったという、条件の変化です。事務所が有料アカウントを配っていても、私物端末の無料アカウントのほうが手軽であれば、そちらが使われます。ここが今回の論点です。

守秘義務の根拠条文も置いておきます。弁護士については弁護士法第23条、税理士については税理士法第38条、社会保険労務士については社会保険労務士法第21条が、それぞれ業務上知り得た秘密の取扱いを定めています。事務所が把握していない経路で顧客情報が外部サービスへ渡る状態は、これらの条文との関係で論点になり得ます。生成AIと守秘義務の関係は士業と生成AIの守秘義務で整理しています。

事務所の生成AI利用規程を見直す7手順

手順1は実態の把握です。規程を書き直す前に、職員が今どのAIを何に使っているかを確認します。禁止を前提にした聞き方をすると正直な答えが返らないので、業務改善のための調査という位置づけで、匿名の記述式アンケートにするのが現実的です。聞く項目は、使っているサービス名、アカウントの種類（事務所配布か個人か）、使っている業務、入力している情報の種類、この4点で足ります。回答が集まったら、業務ごとに使用率を並べてみてください。多くの事務所で、文章の言い換えと調べ物が上位に来ます。この2つは顧客情報を入れずに済む用途なので、事務所配布アカウントへ誘導しやすい領域です。逆に、下書き作成や資料の要約が上位に来ている場合は、案件の中身が入力されている可能性が高く、優先して手当てする対象になります。

手順2は禁止と許可の線を引き直すことです。従来の規程が、事務所の契約したアカウント以外の使用を禁止する、という一文だけで済ませていた場合、その一文は実態を止められていません。禁止の対象を、アカウントの種類ではなく入力する情報の種類で定義し直すほうが機能します。顧客の氏名・住所・生年月日・マイナンバー・個別の取引金額といった特定につながる情報は入力しない、条文の一般的な調べ物や文章の言い換えは事務所配布アカウントで行う、といった粒度です。情報の種類で定義しておくと、職員が新しいサービスを見つけたときにも判断が効きます。アカウント種別で定義した規程は、サービスが増えるたびに書き足しが発生し、追いつかなくなります。

手順3は事務所配布アカウントの使い勝手を上げることです。禁止だけでは私物利用は止まりません。職員が私物アカウントに逃げる理由の多くは、配布アカウントの入り口が遠いことです。ブラウザのブックマーク配置、ログインの一元化、よく使うプロンプトの共有、この3点を整えるだけで利用先の移動はかなり減ります。

手順4はモデル別のデータ取扱いの確認と周知です。同じサービスでもプランによって入力データの扱いが変わります。事務所が使っているプランで、入力内容が学習に使われるか、保存期間はどれくらいか、管理者がログを見られるかを文書で押さえ、職員に周知します。設定手順はChatGPTに学習させない設定方法にまとめています。ベンダーへの確認項目はAIツールのベンダーに何を聞くか士業事務所の確認7項目と質問文を使ってください。

手順5は記録の設計です。誰が、いつ、どの案件で、どのAIに何を入力したか。これを案件記録に紐づけて残す仕組みがないと、後から検証ができません。ログの保管設計は事務所のAI利用ログを監査証跡にする保管設計7項目と説明の型で扱っています。

手順6は規程本文の改定です。以下は、改定案の骨子を生成AIに下書きさせるときのプロンプト例です。事務所名や顧客情報は入れず、架空の設定で使います。

あなたは事務所の内部規程の作成を補助するアシスタントです。
以下の条件で、生成AI利用規程の改定案の骨子を作成してください。

前提（架空のB事務所）:
- 士業事務所 / 有資格者3名 / 補助者7名
- 事務所配布の有料AIアカウントあり（管理者ログ閲覧可）
- 職員の私物端末からの業務利用が一部で発生している
- 無料プランでも高性能モデルが使える環境になっている

出力の条件:
1. 条・項の形式で、10条以内にまとめる
2. 禁止事項は「入力してよい情報の種類」で定義する（アカウント種別だけで定義しない）
3. 違反時の対応は段階的に書く（是正指導→再発時の措置）
4. 記録・監査に関する条を必ず含める
5. 法的評価や条文の当てはめは書かない。運用ルールの記述にとどめる
6. 事務所の状況が不明な箇所は【要確認】と明記する

手順7は周知と教育です。規程を配って終わりにすると、半年後には元の状態に戻ります。周知の場では、禁止の理由を守秘義務の条文と紐づけて説明したほうが定着します。以下は、職員向けの説明資料を作るプロンプト例です。

次の規程改定案をもとに、事務所の補助者向けの説明資料の骨子を作成してください。

条件:
- スライド8枚以内の構成にする
- 1枚目は「なぜ今見直すのか」を、環境の変化として説明する
- 禁止事項は「やってはいけないこと」の羅列ではなく、
  具体的な業務シーンでの可否の例で示す
- 罰則を強調しない。事務所と顧客を守る枠組みとして説明する
- 元の規程案に無い内容を足さない

【ここに手順6の出力を貼る】

有資格者の最終確認は手順6と手順7の両方に置きます。規程の文言と、職員に伝わる説明の中身は別物なので、どちらも所長または担当の有資格者が目を通す構成にします。

私物端末の無料アカウントを、規程でどう扱うか

ここが今回のテーマの中心です。私物端末の利用を全面禁止にするか、条件付きで認めるか。事務所によって答えが分かれる論点なので、判断の材料を整理します。

全面禁止を採る場合の難しさは、実効性の担保にあります。事務所の管理外にある端末で、職員が個人アカウントに何を入力したかを事務所が知る手段はありません。禁止規定を置いても、違反の検知ができなければ、規程は形だけのものになります。検知できない禁止を積み重ねると、規程全体の信頼性が下がるという副作用もあります。

条件付きで認める場合は、入力してよい情報の範囲を明確にする作業がすべてです。顧客が特定できない一般的な調べ物、たとえば制度の概要を調べる、日本語の言い回しを整える、といった用途に限定し、案件に紐づく情報は事務所配布アカウントに限る。この線引きであれば、職員も判断できます。あわせて、私物端末で使ってよい用途を具体例で示しておくと、迷いが減ります。制度の概要を調べる、専門用語の一般的な意味を確認する、自分で書いた文章の誤字を直す。ここまでは顧客に紐づかない作業です。一方で、顧問先から届いたメールを貼り付けて返信案を作る、受け取った資料を要約する、といった作業は案件に紐づくため、事務所配布アカウントの領域になります。

どちらを採るにせよ、顧客データの取扱いは切り離して考える必要があります。個人情報の保護に関する法律第27条は、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。同条第5項第1号は、利用目的の達成に必要な範囲内で取扱いの全部または一部を委託することに伴って提供される場合を第三者に該当しないものと規定していますが、職員の私物アカウントでの利用が事務所の委託の枠内に収まっているかどうかは、事務所として説明できる状態を作っておく領域です。個人情報保護委員会は生成AIサービスの利用に関する注意喚起を公表しています（出典: 個人情報保護委員会生成AIサービスの利用に関する注意喚起等）。

顧問先や依頼者への説明も論点になります。事務所として生成AIを業務に使っていることを、契約書や業務案内でどう示すか。使っていることを伏せておくより、使う範囲と守っているルールを開示するほうが、後の説明が楽になるという考え方が採られています。規程の雛形の作り方は士業事務所のAI利用規程テンプレートにまとめました。

よくある失敗3例

1例目は、規程を厳しくしすぎて実態と乖離するケースです。全面禁止にしたが業務は回らないので、職員が黙って使う。事務所は把握できないので、事故が起きるまで気づけません。禁止の強度と検知の手段は、セットで設計する領域です。

2例目は、事務所配布アカウントを配ったまま放置するケースです。プランの条件は変わります。契約時に学習利用がオフだったとしても、プラン改定で扱いが変わることがあり、年1回は確認する運用を置いておかないと、いつの間にか前提が崩れます。

3例目は、無料プランと有料プランを職員が区別できていないケースです。同じ画面、同じロゴなので、自分がどちらを使っているのか意識していない職員は珍しくありません。事務所配布アカウントには表示名を変える、ブラウザプロファイルを分けるといった、見た目で区別できる工夫が効きます。情報漏えいが起きた場合の初動は個人情報の漏えい報告と暗号化の境界線士業事務所のインシデント対応6手順で整理しています。

4例目は、規程の改定を有資格者だけで進めてしまうケースです。実際に手を動かしているのは補助者なので、補助者の作業実態を知らないまま条文だけを整えると、現場で守れないルールができあがります。手順1の実態把握を飛ばした事務所で起きやすい失敗です。

見直しにかかる工数と体制

手順ごとの所要時間を分解して試算します（参考: 公表統計ではなく、作業を分解した事務所内の見積り例です）。手順1の実態把握が2時間、手順2の線引きの再定義が3時間、手順3の配布アカウント整備が4時間、手順4のデータ取扱い確認が2時間、手順5の記録設計が4時間、手順6の規程改定が5時間、手順7の周知と教育が3時間。合計で約23時間、担当者1名が他業務と並行するなら3週間から4週間の見込みです。

体制は、実務担当者1名と所長の2名で回るのが標準的な形です。手順3と手順5には情報システムの知識が要るため、外部のベンダーやサポート会社が入っている事務所は、その窓口を巻き込みます。費用面では、主要な生成AIの事務所向け有料プランが1人あたり月額20米ドル前後で並んでいるため、補助者全員に配っても人件費と比べれば小さい水準です（参考: 各社の公表価格ページ）。

これから論点になること

1つは、無料プランの性能向上が続いた場合の規程の耐用年数です。今回のように条件が変わるたびに規程を書き直すのは現実的ではないので、規程本文はモデル名やプラン名を書かず、入力してよい情報の種類で定義しておくほうが持ちます。モデル名は別紙の運用ガイドに置き、そちらを更新する構成です。

もう1つは、事務所の外側の変化です。顧問先の従業員も同じ無料モデルを使うようになります。顧問先から届く相談文や資料が生成AIで作られている前提で読む必要が出てくるため、事務所側の確認工程にも影響します。この論点は、事務所内のルールとは別に、受任時のヒアリング項目として整理しておく価値があります。

3つめは、事務所配布アカウントの選び方が変わる可能性です。無料枠で足りる用途が広がるほど、有料プランに求める価値は、モデルの性能そのものではなく、管理者によるログ閲覧、データ保持期間の設定、利用範囲の制御といった管理機能に寄っていきます。事務所として次の更新時に何を基準に選ぶかを、今のうちに言語化しておくと、価格交渉でも判断が速くなります。

よくある質問

Q. シャドーAIとは何ですか。

A. シャドーAIとは、事務所が把握しないまま職員が業務で使う生成AIのことです。事務所が契約していないサービスや、職員の個人アカウントでの利用が含まれます。情報システム部門の管理外で使われるツールを指すシャドーITと同じ構図です。

Q. 無料プランのChatGPTは、業務で使ってもよいのですか。

A. 事務所として決める領域です。判断の材料になるのは、入力する情報が顧客を特定できるものかどうか、使っているプランで入力データがどう扱われるか、事務所として記録を残せるか、この3点です。無料か有料かという区分だけで可否を決めると、実態と合わなくなります。

Q. 職員の私物端末での利用を、事務所が検知できますか。

A. 事務所の管理外にある端末については、技術的に把握する手段は限られます。だからこそ、検知できない領域には禁止規定を積まず、事務所配布アカウントの使い勝手を上げて誘導するという設計が採られています。

Q. GPT-5.6 Lunaは法律分野の質問に強くなったのですか。

A. 公表されている範囲では、金融・医療・法律の難しい質問において、少なくとも1つの事実誤りを含む回答がGPT-5.5 Instantより少なく、減少率は約62％と伝えられています（出典: gihyo.jp ChatGPT、モデル構成を更新）。ただし同記事は、これが評価用に選んだ難しい質問に対する結果であり、通常の利用で生じる誤りの割合を示す数値ではないと注記しています。

Q. 規程はどれくらいの頻度で見直すものですか。

A. 頻度に決まりはありませんが、モデルやプランの条件が変わったときと、年1回の定期見直しを組み合わせている事務所があります。規程本文と運用ガイドを分けておくと、条件変更のたびに規程本体を改定せずに済みます。

Q. 違反した職員への対応は、規程にどう書けばよいですか。

A. 段階的に書く構成が採られています。初回は是正指導と再教育、再発時は業務上の措置という順です。懲戒に直結する書き方にすると、職員が事故を隠す動機になるという指摘があります。

Q. 顧問先に、生成AIを使っていることを伝える必要はありますか。

A. 契約上の取り決めによります。業務委託契約や顧問契約に再委託や外部サービス利用の条項がある場合、その条項との関係を確認したうえで、事務所として説明の方針を決める流れになります。伝える場合は、使う範囲と入力しない情報の種類をセットで示すと、顧問先の理解が得られやすくなります。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。