利用目的の範囲内の確認とは、プロンプト入力が当初の目的に収まるかを事前に見る作業のことです。

顧問先の資料を生成AIに入れてよいか。この問いに、事務所として答えを持っているでしょうか。この記事では、個人情報保護委員会が示している注意喚起と条文を出発点に、プロンプト入力の運用ルールをどう作るかを七項目に整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。個人情報保護委員会は令和5年6月2日に、生成AIサービスの利用に関する注意喚起等を公表しています（出典: 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について）。

論点は入れてよいかではなく、何の目的で集めた情報か

結論を先に書きます。プロンプト入力の可否を左右するのは、AIツールの性能でもセキュリティ機能でもなく、その個人情報をどの利用目的で取得したかです。ここを飛ばして、ツールの安全性だけを議論しても答えが出ません。

条文の構造を確認します。個人情報保護法第17条は、個人情報取扱事業者が個人情報を取り扱うにあたって、利用目的をできる限り特定することを定めています。続く同法第18条は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないと定めています。つまり、判断の起点は事務所が定めた利用目的そのものにあります。

個人情報保護委員会の注意喚起も、この構造に沿った内容です。個人情報取扱事業者が生成AIサービスに個人情報を含むプロンプトを入力する場合、その個人情報の利用目的の達成に必要な範囲内であることを十分に確認する必要があるという趣旨が示されています（出典: 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等）。

士業事務所にとって、この確認は形式的な作業になりません。事務所が依頼者から個人情報を取得する際の利用目的は、多くの場合、その業務の遂行として定められています。生成AIを業務の遂行手段として使う場合、目的の範囲内に収まる余地はあります。一方で、社内のノウハウ蓄積や、他の顧問先向けの検討材料として使うといった話になると、当初の目的との距離が開いていきます。

もうひとつ押さえるのが第三者提供の論点です。同法第27条は、法令に基づく場合など一定の場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。外部の生成AIサービスへの入力がこの規定との関係でどう位置づけられるかは、サービスの提供形態や契約内容によって論点になり得ます。ここは事案ごとの評価が必要な領域なので、事務所として判断の手順を決めておくのが実務的です。

守秘義務の側の根拠も併走します。弁護士は弁護士法第23条、税理士は税理士法第38条が根拠条文になります。個人情報保護法の枠組みと守秘義務の枠組みは別のものなので、両方を通す設計が要ります。

プロンプト入力の運用ルールを作る7項目

先に結論です。運用ルールは、入れてよいものと入れてはいけないものを列挙するだけでは足りません。誰が判断し、迷ったらどうするかまで含めて決めて、はじめて現場で機能します。

項目1 事務所の利用目的を現在形で書き出す

依頼者から個人情報を取得する際に示している利用目的を、実際の文面のまま集めます。委任契約書、顧問契約書、ウェブサイトのプライバシーポリシー、申込書の裏面。ばらばらに書かれている場合は、まず整合を取ります。ここが揃っていないと、範囲内かどうかの判断ができません。

項目2 情報を三段階に分ける

第一段階は、個人を特定できる情報を含まないもの。条項テキスト、一般的な制度の質問、公開資料の要約などです。第二段階は、氏名や住所を伏せれば足りるもの。第三段階は、伏せると作業が成立しないものです。第三段階に該当する作業は、そもそもAIに投げる作業ではないと切り分けるほうが早い場面が多くあります。

項目3 使ってよいツールを限定する

事務所として使用を認めるツールを列挙します。リストは短いほうが守られます。列挙にあたっては、入力データの学習利用の既定値、保存期間、管理者による設定の上書き可否を確認します。OpenAIはエンタープライズプライバシーのページで、業務向け製品に投入したデータを既定では学習に用いない旨を公表しています。個人向けプランと法人向けプランで扱いが異なるため、契約中のプランで確認する必要があります。

項目4 匿名化の型をプロンプトに埋める

毎回その場で考えると揺れます。次の型を共有フォルダに置き、ここから使う運用にします。

あなたは士業事務所の実務を補助するツールです。

【入力データの前提】
- 当事者は架空の「甲」「乙」とし、実在の氏名・法人名・住所・生年月日は含めない
- 金額と日付は実数を避け、桁と時期のみを示す
- 事件番号、登記番号、契約番号などの識別子は含めない

【作業】
{依頼する作業内容}

【禁止事項】
- 法的評価や適用可否の結論を出さないこと
- 入力に含まれない事実を補って書かないこと
- 判断に迷う箇所は「要確認」と明記すること

出力の末尾に「有資格者の確認前の下書きです」と必ず記載してください。

項目5 判断に迷ったときの手順を決める

現場が迷うのは、匿名化しきれない情報が混じる場面です。このとき担当者が自分で判断しない仕組みにします。迷ったら入力せず、有資格者に確認する。確認の結果を短いメモに残し、同じ場面が次に来たときの前例として使う。この二段だけで、判断の揺れは減ります。

項目6 記録の粒度を決める

いつ、どの案件で、どの種別のデータを、どのツールに入力したか。この四項目を案件管理表に追記する形が現実的です。プロンプトの全文を保存する必要はありません。後から説明できる粒度であれば足ります。

項目7 依頼者への説明と同意の枠組みを整える

委任契約や顧問契約の附属文書で、業務の遂行にあたり生成AIを補助的に使用すること、最終的な判断と責任は有資格者が負うこと、入力する情報の範囲を明示する形が採られています。すでに契約している依頼者については、次回の更新時に案内を添える運用があります。

所内の権限をどう分けるかについては、士業事務所の生成AI権限設定 有資格者と補助者で分ける5階層のルールで階層別の整理を扱っています。運用ルールと権限設定は一体で設計するほうが破綻しにくくなります。

顧問先への説明で押さえる3つの論点

事務所自身の運用に加えて、顧問先から相談を受ける場面も増えています。顧問先が生成AIを業務に入れる際、事務所として事実を整理して渡せる論点は三つあります。

第一は、顧問先自身の利用目的の確認です。顧客名簿や従業員情報を生成AIに入力する場合、その情報を取得した際の利用目的の範囲に収まるかを確認する必要があります。個人情報保護委員会の注意喚起も、まさにこの点を挙げています。顧問先のプライバシーポリシーを一度読み、目的の記載が実際の運用と合っているかを見るだけでも、論点が浮かびます。

第二は、ツール側の仕様確認です。入力データが学習に使われるか、保存先はどこか、退会時の扱いはどうか。この三点は、ベンダーの公表資料で確認できます。顧問先が個人向けプランを業務で使っている場合、法人向けプランとは扱いが異なる可能性があるため、契約形態の確認が起点になります。

第三は、従業員への周知です。ルールを作っても、現場が知らなければ機能しません。就業規則や情報管理規程に位置づけるか、別途のガイドラインとするか。顧問先の規模と管理体制によって、現実的な形は変わります。

顧問先向けの説明資料を生成AIで作る場合も、同じ原則が適用されます。次の型が使えます。

あなたは士業事務所の顧問先向け説明資料の下書きを作る補助ツールです。

【前提】
- 顧問先は架空の「甲社」とし、実在の固有名詞や個人情報は含めないこと
- 法的評価や適用可否の結論は書かず、確認すべき事項の整理にとどめること
- 条番号を書く場合は、確認先として「e-Gov法令検索」と併記すること
- 断定を避け、不確かな箇所は「要確認」と明記すること

【顧問先の状況】
業種: {業種}
従業員規模: {規模}
想定している生成AIの用途: {用途}
現在のプライバシーポリシーの利用目的の記載: {要旨}

【出力】
1. 確認が必要な事項を優先度順に5つ
2. 社内周知が必要な事項を3つ
3. 有資格者に相談すべき論点のリスト

A4一枚に収めてください。

事務所が扱う情報の外部送信に関するリスクの経路については、PDFの隠し文字でAIが業務データを外部送信、士業事務所が備える3点で具体例を扱いました。入力側のルールだけでなく、読み込ませる資料の側にも目を配る必要があります。

運用ルールがうまくいかない3つのパターン

ひとつめは、規程を長く作りすぎるケースです。十数ページの生成AI利用規程を作り、所内で誰も読んでいない状態が生まれます。項目1から7までを数行ずつ書いた一枚のほうが、現場では機能します。読まれない規程は、無いのとほぼ同じです。

ふたつめは、禁止事項だけを並べるケースです。入れてはいけないものだけが書かれていると、現場は判断できず、結局は個人の裁量で入力するか、まったく使わないかの両極に振れます。入れてよいものを具体的に示し、匿名化の型を配るところまでやって、はじめてルールとして成立します。

みっつめは、個人契約のツールが所内で使われ続けるケースです。事務所として法人向けプランを契約していても、担当者が使い慣れた個人アカウントを使っていれば、設定は事務所の管理外です。使ってよいツールのリストと、アカウントの管理主体をセットで決めます。

もうひとつ挙げるなら、ルールを作ったきり見直さないケースです。ベンダーの仕様は更新されます。学習利用の既定値が変わることもあります。半年に一度、リストに載せたツールの公表資料を確認する日を決めておくと、気づかないうちに前提が変わっている事態を避けられます。

整備にかかる工数と持ち方

工数は、利用目的の棚卸し、ルールの作成、所内周知の三つに分かれます。利用目的の棚卸しは、契約書とプライバシーポリシーを集めて突き合わせる作業です。書式が統一されている事務所なら数時間で終わりますが、契約ごとに文言が違う場合は相応の時間がかかります。

ルールの作成は、項目1から7の枠に沿って埋めていけば、原案は短時間で作れます。時間がかかるのは、第三段階のデータをどう扱うかの線引きです。ここは事務所の業務内容に依存するため、実際の案件を数件並べて議論するのが早道です。

所内周知は、一枚の資料を配って終わりにせず、実際のプロンプトの型を共有フォルダに置くところまでやります。型があると、現場は型から使い始めます。ルールを覚えるより、型を使うほうが定着します。

体制は、有資格者ひとりと事務局ひとりの二人で持つ形が現実的です。有資格者側は利用目的の解釈と線引きの判断を、事務局側はツールの棚卸しとアカウント管理、記録の運用を担当します。半年ごとの見直しを予定に入れておきます。

目的の書きぶりを先に整える動きが増えていく

今後の論点は、事務所が定める利用目的の記載そのものに移っていく可能性があります。生成AIを業務の手段として使う前提を、契約書やプライバシーポリシーの文面にどう織り込むか。この作業を先にやっておいた事務所は、個別案件ごとの判断に時間を取られなくなります。

もうひとつの論点は、顧問先からの相談の質が変わることです。以前は使ってよいかという問いが中心でしたが、どういう体制なら説明できるかという問いに寄ってきています。事務所として自分たちの運用を持っていれば、その体制自体が説明の材料になります。

制度の側も動いています。個人情報保護法の改正動向は継続的に確認が要る領域です。改正の内容が事務所と顧問先の運用にどう影響するかは、公表資料に当たって都度確認する形になります。要確認の事項として扱ってください。

よくある質問

生成AIに個人情報を入力するとき何を確認すればよいですか

個人情報保護委員会は、個人情報を含むプロンプトを入力する場合に、その個人情報の利用目的の達成に必要な範囲内であることを十分に確認する必要があるという趣旨を示しています（出典: 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等）。起点は、その情報を取得したときの利用目的の記載です。

氏名を伏せれば自由に入力してよいですか

氏名を伏せても、他の情報と組み合わせて個人を特定できる場合があります。実務では、氏名に加えて住所、生年月日、識別番号、固有の経緯といった要素も伏せる型を使い、それでも成立する作業だけをAIに投げる運用が採られています。

外部の生成AIサービスへの入力は第三者提供にあたりますか

個人情報保護法第27条は、法令に基づく場合など一定の場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。サービスの提供形態や契約内容によって論点になり得る領域であり、事案ごとの評価を経て判断されています。

事務所の規程はどのくらいの分量が適切ですか

実務では、入力してよい情報、入力してはいけない情報、使ってよいツール、有資格者による最終確認の地点、記録の残し方を数行ずつ書いた一枚から始める事務所があります。分量より、全員が読んでいる状態を作れるかどうかが機能を左右します。

補助者が個人情報を入力してよいですか

作成、入力、確定の権限を分けて管理する運用が採られています。補助者が扱える範囲を第一段階と第二段階に限り、第三段階は有資格者の判断を経る形にする例があります。

顧問先から相談されたら何を伝えればよいですか

事実として伝えられるのは、個人情報保護委員会が注意喚起を公表していること、個人情報保護法第17条と第18条が利用目的の特定と目的による制限を定めていること、ツールごとに学習利用の扱いが異なることの三点です。個別の適用可否は、契約内容と利用形態を確認したうえでの判断になります。

ルールはどのくらいの頻度で見直されていますか

ベンダーの仕様や料金プランの改定に合わせて見直す必要があります。半年に一度、リストに載せたツールの公表資料を確認する日を予定に入れている事務所があります。

参考文献

• 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等について
• 個人情報保護委員会 生成AIサービスの利用に関する注意喚起等
• e-Gov法令検索 個人情報保護法第17条
• e-Gov法令検索 個人情報保護法第18条
• e-Gov法令検索 個人情報保護法第27条
• OpenAI エンタープライズプライバシー

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/