事務所の生成AI利用規程を四半期で点検する改訂履歴とインシデント振り返りの7手順

利用規程の年次見直しとは、事務所のAI利用ルールを定期的に点検し、改訂の履歴を残す運用のことです。

事務所のAI利用規程を最後に見直したのはいつか、と聞かれて即答できるでしょうか。この問いに答えられるかどうかが、規程が生きているか、棚に置かれているかの分かれ目になります。本記事では、弁護士・税理士・社会保険労務士の事務所を想定し、利用規程を四半期ごとに点検し、年1回まとめて改訂するまでの手順を、改訂履歴の管理とインシデントの振り返りを軸に整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。総務省と経済産業省が公表したAI事業者ガイドラインには第1.2版（令和8年3月31日付）があり、版を重ねる文書であることが資料の表題から読み取れます（出典: AI事業者ガイドライン（第1.2版））。

規程そのものの作り方は、すでに別の記事で扱っています。ここでは作った後の話、つまり運用が始まってから規程をどう更新し、何を記録し、起きた出来事をどう規程へ戻すかに絞ります。

規程が古くなる3つの理由ガイドラインも更新され続けている

規程が古くなる最も分かりやすい理由は、参照している指針そのものが更新されることです。AI事業者ガイドラインの第1.2版の本文では、このガイドラインを Living Document として位置づけ、AIガバナンスの継続的な改善に向けてアジャイル・ガバナンスの思想を参考にしながら適宜更新する、という趣旨が示されています（出典: AI事業者ガイドライン（第1.2版）概要）。指針が更新される前提なら、それを参照する事務所の規程も、更新される前提で設計するのが自然です。

同じ資料では、対策の程度をリスクの大きさに対応させる、いわゆるリスクベースアプローチが基本的な考え方として示されています（出典: 前掲の第1.2版概要）。事務所の規程に置き換えると、すべての利用場面に同じ厳しさを課すのではなく、扱う情報の機微さに応じて手順の重さを変える設計が考えられます。この設計は、利用場面が増えるたびに見直しが必要になるため、規程が古くなる二つ目の理由につながります。

二つ目は、事務所内の利用実態の変化です。導入当初は文書の要約だけに使っていたものが、数か月後には書面の下書きや調査の補助にも広がる、ということは珍しくありません。規程が想定していない使い方が先に広がり、規程が後追いになる状態が続くと、ルールの外で運用される場面が増えます。

三つ目は、サービス側の仕様変更です。入力内容の取扱い、保存期間、管理者向けの設定項目は、提供元が変更することがあります。導入時に確認した内容が、半年後も同じとは限りません。したがって、確認した日付そのものが規程の根拠の一部になります。

この3つの理由に共通するのは、変化の速度が事務所の意思とは無関係に決まるという点です。見直しの頻度を決めるのは、自事務所のリスクの許容度と、点検にかけられる工数のバランスです。本記事では四半期点検と年1回の改訂という型を例示しますが、事務所の規模や扱う案件に応じて、頻度は調整してください。

四半期点検と年次改訂を回す7手順

実装の中心は、点検の型を固定することです。担当者が変わっても同じ観点で見直せるように、手順と記録の様式を先に決めます。有資格者が最終判断を持つ工程も、手順の中に明記します。

手順1は、規程と付属文書の棚卸しです。利用規程の本文、利用可能なAIサービスの一覧、入力してよい情報の区分表、利用ログの様式を、一つのフォルダに集め、各文書に版番号と最終更新日を付けます。版番号がなければ、まず付けるところから始めます。

手順2は、点検日の固定です。四半期ごとに点検日をカレンダーに入れ、担当者と確認者を決めます。担当者は事務スタッフ、確認者は有資格者という分担が基本形です。点検日が決まっていないと、日常業務に押されて後回しになります。

手順3は、外部の更新情報の収集です。参照している指針、各士業団体の公表資料、利用中のサービスの規約やデータ取扱いのページについて、前回の点検以降に更新がなかったかを調べます。ここでは生成AIに調査を手伝わせることもできますが、更新の有無と日付は、原本のページを開いて自分の目で確定させます。AIの要約だけに頼ると、更新を見落としたり、存在しない更新を報告したりする場合があるためです。

手順4は、利用ログの集計です。事務所のAI利用記録から、前の四半期の利用件数、利用目的の分布、入力区分の例外申請の件数などを集計します。集計値の作成は生成AIに手伝わせられますが、入力するのは顧客や案件を特定できない集計値だけに絞ります。

手順5は、インシデントとヒヤリハットの振り返りです。次の節で詳しく扱います。

手順6は、改訂案の作成です。手順3から5で見つかった論点を、規程のどの条項に影響するかで整理し、改訂案の下書きを作ります。下書きの文面づくりは生成AIに任せられますが、条項の趣旨と運用上の影響を判断するのは有資格者です。

手順7は、改訂履歴の記録と周知です。改訂の日付、改訂前後の版番号、変更箇所、変更理由、承認者を一覧に残し、事務所の全員に周知します。周知の記録（いつ、誰に、どの方法で伝えたか）も残します。

以下は、手順3と手順6で使えるプロンプトの例です。いずれも架空の資料を想定した例で、実際には公開されている資料の本文だけを貼り付けます。

あなたは士業事務所の規程担当の補助役です。
以下に、事務所のAI利用規程の現行の条項見出しの一覧と、
外部の公開資料の更新箇所のメモを貼ります。
更新箇所のメモが、どの条項見出しに関係しそうかを対応づけてください。
条件: 規程の改訂内容そのものは書かない。関係が不明なものは対応不明と書く。
法律の当てはめや適否の評価は書かない。

【条項見出し一覧】
（ここに貼り付ける）

【更新箇所のメモ】
（ここに貼り付ける）

以下の変更内容をもとに、規程の改訂履歴の記録欄の文案を作ってください。
項目は、改訂日、改訂前の版、改訂後の版、変更した条項、変更理由、周知方法の6つです。
事実として入力されていない項目は、空欄のまま残し、推測で埋めないでください。

【変更内容】
（ここに貼り付ける）

この2本に共通するのは、AIに判断を委ねず、対応づけと記録の整形に使っている点です。規程の中身を決めるのは事務所の人間で、AIは作業の補助にとどまります。

事故とヒヤリハットを規程に戻す振り返りの型

インシデントの振り返りは、規程の見直しで最も実りが多い入力です。起きた出来事は、規程が想定していなかった状況を、具体的な形で教えてくれるからです。

ここで言うインシデントには、重大な漏えいだけでなく、ヒヤリハットも含めます。たとえば、入力してはいけない区分の情報を貼り付けかけて途中で気づいた、AIの出力にあった条番号が実在するか確認せずに書面へ転記しかけた、許可していないサービスを個人の判断で試していた、といった出来事です。これらは架空の例ですが、多くの事務所で起こり得る場面です。

報告の窓口は、責めない仕組みにしておくことが前提です。報告した人が不利になる運用では、ヒヤリハットは表に出てきません。報告の様式は簡素にし、日時、状況、入力した情報の区分、気づいた経緯、取った対応、の5項目程度に絞ると、現場の負担が小さくなります。

振り返りの会議では、原因を個人の注意不足に帰さず、仕組みの側に探します。入力区分の表が分かりにくかったのではないか、確認工程が手順に入っていなかったのではないか、というように、規程や手順の欠けた部分を見つける作業です。見つかった欠けは、手順6の改訂案に反映します。

個人データの漏えい等が起きた場合は、法令上の報告が関わる場面もあります。個人情報保護法第26条は条見出しを漏えい等の報告等とし、個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態で、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときに、同委員会へ報告する旨を置いています。どの事態がこれに当たるかは、規則の定めと個別の事実関係によって決まる論点であり、本記事では当てはめを行いません。事務所の規程には、疑わしい事態が起きたときの連絡先と、判断を仰ぐ手順を先に書いておくと、初動が遅れにくくなります。

見直しの根拠を残す守秘義務と規程上の論点

規程を見直す作業は、守秘義務との関係を再確認する機会でもあります。四半期点検のたびに、次の3点を確かめる運用を置くと、抜けが減ります。

1つ目は、守秘義務の根拠となる条文の確認です。弁護士については弁護士法第23条が条見出し秘密保持の権利及び義務として、弁護士またはかつて弁護士であった者が職務上知り得た秘密を保持する権利を有し義務を負う旨を置いています。税理士については税理士法第38条が条見出し秘密を守る義務として、正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、または窃用してはならない旨を置いています。社会保険労務士については社会保険労務士法第21条が条見出し秘密を守る義務として、同様の趣旨を置いています。いずれもe-Govの原文で開いて確認した条文で、条ずれを避けるため、規程の根拠欄に条番号を書くときは、点検のたびに原文を開き直す運用を置くと安全側です。

2つ目は、AIサービスの入力内容の取扱いの再確認です。サービスの公式ドキュメントで、入力内容が学習に使われる設定かどうか、保存期間はどうなっているか、管理者が制御できる項目は何か、を確認し、確認日を記録します。前回の確認日から変更がなければ、変更なしと書き残すだけでも、点検をしたという証跡になります。

3つ目は、顧問先や依頼者への説明の見直しです。AIを使う旨の説明文や同意の取り方が、現在の運用と合っているかを読み直します。入力する情報の範囲が広がったのに、説明文が当初のままという状態は、行き違いの原因になります。説明文を変えた場合は、いつから新しい文面を使うかも記録します。

これらの確認結果は、有資格者が内容を読んで確定したうえで、点検記録に残します。AIに点検を任せるのではなく、AIを使って集めた材料を人間が確定するという順序です。守秘義務に関する判断は、事案ごとの事情を踏まえた有資格者の業務であり、規程はその判断を支える枠組みにすぎません。

規程に落とす書き方は、規範を断定する形より、運用の型として書くほうが実務に合います。たとえば、点検の頻度と実施者、点検記録の保管場所と期間、改訂の承認者、周知の方法、といった項目です。これらは事務所の規模や体制で濃淡が変わるため、自事務所に合わせて調整する前提です。

士業別に点検の観点をどう変えるか

四半期点検の型は共通でも、点検の観点は職種で重心が変わります。以下は、事務所で観点表を作るときの出発点にしていただくための整理です。いずれも運用上の問いであり、法律の当てはめではありません。

弁護士事務所では、依頼者との間の秘密の扱いが中心になります。利用したAIサービスに入力した案件情報の区分、依頼者への説明の有無、共同受任や外部の協力者との間での情報共有の範囲が、点検の主な観点です。訴訟や交渉の書面の下書きにAIを使った場合、出力に含まれる判例や条文の引用を、原典で確認した記録があるかどうかも、四半期の点検で見ておくと役立ちます。

税理士事務所では、顧問先の会計データや申告書類の取扱いが中心です。会計ソフトやクラウドサービスのAI機能は、単体の生成AIとは別の契約形態になっていることがあり、規程の一覧表に載っていない機能が使われていないかを、点検のたびに確かめます。確定申告の時期など繁忙期の前後で利用状況が大きく変わるため、四半期の点検に繁忙期の振り返りを組み込むと、実態に沿った改訂につながります。

社会保険労務士事務所では、従業員の個人情報と賃金データの取扱いが中心です。顧問先の従業員の氏名や賃金額が、入力区分の表で最も厳しい区分に置かれているかを再確認し、集計値や匿名化した形で足りる場面では、そちらを使う運用が守られているかを点検します。

三つの職種に共通する観点も押さえておきます。許可していないサービスの利用がなかったか、出力の確認工程が省かれた事例がなかったか、スタッフの入れ替わりで教育が漏れていないか、の三点です。新しく入ったスタッフへの周知は、改訂の周知とは別の経路で行う必要があります。入所時の説明資料に、現行の版番号を明記しておくと、どの版を前提に教育したかが後から分かります。

観点表そのものも、点検のたびに更新されるべき文書です。前の四半期にヒヤリハットの多かった場面は観点を厚くし、一度も問題が出なかった観点は簡略化するなど、メリハリをつけると、点検が作業として固まりすぎません。ただし、守秘義務に関わる観点は、問題が出なかったからといって外さず、毎回の確認項目として残す運用が安心です。

観点表の整備には、生成AIも役に立ちます。前の四半期のヒヤリハット報告の要約から、観点表に足す候補を出させる、といった使い方です。この場合も、入力する報告の要約は、個人や案件を特定できない形に整えたうえで渡します。出てきた候補を採用するかどうかは、点検の確認者である有資格者が決めます。AIの出した候補が、事務所の実情に合っているかどうかは、実際の業務を知っている人にしか判断できません。

見直しが形骸化する失敗例と回避策

見直しの運用でよく起こる失敗を、三つ挙げます。いずれも架空の例ですが、起こりやすい形です。

一つ目は、点検が実施されたかどうか分からなくなる失敗です。点検日は決めたものの、記録の様式がなく、実施したのかどうかを後から確認できなくなります。回避策は、点検が終わったら一枚の記録を残す運用にして、様式を最初に用意することです。記録がなければ、実施していないものとして扱う、という内部の約束を置くと、形骸化を防げます。

二つ目は、改訂が実際の運用に届かない失敗です。規程は改訂されたのに、旧版が共有フォルダに残り、スタッフが古い版を見て作業を続けます。回避策は、旧版を専用の保管場所へ移し、現行版だけが通常の場所に残る構成にすることと、改訂のたびに周知を行って既読を確認することです。

三つ目は、例外の積み重ねで規程が空洞化する失敗です。入力区分の例外申請が通り続け、気づけば例外のほうが原則より多くなっています。回避策は、四半期点検で例外申請の件数と内容を集計し、同じ種類の例外が繰り返されているなら、原則そのものを見直す材料にすることです。

点検記録の様式を先に作る 1枚に載せる項目

点検を続けられるかどうかは、記録の様式が軽いかどうかで決まります。1枚の様式に収まるよう、項目を絞っておきます。

様式の上段には、点検日、担当者、確認者、前回点検日、現行の規程の版番号を置きます。中段には、外部の更新情報（参照した資料名、確認日、更新の有無）、利用実態の集計（利用目的の分布、例外申請の件数）、インシデントとヒヤリハットの件数と概要を置きます。下段には、改訂が必要と判断した条項の一覧、改訂しないと判断した論点とその理由、次回までの宿題、確認者の署名欄を置きます。

改訂しないと判断した論点の理由を残しておくと、後から効いてきます。検討したうえで見送ったのか、そもそも気づいていなかったのかは、記録がなければ区別がつきません。見送りの理由は一行で足りますが、日付とセットで残しておくと、次の担当者が同じ検討をやり直す手間が省けます。

この様式は、生成AIで項目の下書きを作れますが、できあがった様式を事務所の実情に合わせて削る作業は人間が行います。項目が多すぎると、記入が重くなって続きません。実際に使ってみて、毎回空欄になる項目があれば、次の改訂で外します。

費用・工数・体制の目安

見直しの運用は、特別なシステムがなくても始められます。共有フォルダ、表計算ソフト、点検日を入れるカレンダーがあれば足ります。生成AIの利用料金は提供元の公式ページで確認でき、変更されることがあるため、導入や更新の時点で最新の料金ページを確認してください。本記事では金額は断定しません。

工数は、初回が最も重くなります。文書の棚卸しと版番号の付与、様式の作成に時間がかかるためです。2回目以降は、様式に沿って差分を確認する作業が中心になり、負担は下がります。四半期点検にかける時間の目安は、事務所の規模と利用範囲で大きく変わるため、最初の数回は作業時間を記録し、自事務所の実績値を作ることをお勧めします。

体制は、点検の担当者、確認者である有資格者、改訂の承認者の三つの役割に分けて考えます。小さな事務所では一人が複数を兼ねますが、担当者と確認者が同一人物になる場合は、点検してから数日置いて読み直す、という運用で見落としを減らせます。

今後の展望と独自考察

AI事業者ガイドラインが更新される文書として位置づけられている以上（出典: 前掲の第1.2版概要）、事務所の規程も年1回の見直しを標準の運用にしておくほうが、変化への対応が楽になります。今後の論点は、見直しの頻度よりも、見直しの質をどう保つかに移っていくと考えます。

質を保つ鍵は、記録の積み重ねです。どの出来事が、どの条項の改訂につながったか。その因果が履歴として残っていれば、数年後に新しい担当者が規程を読んだときにも、条項の背景が分かります。AIの利用が当たり前になった事務所では、規程の履歴が、事務所の判断の積み重ねを示す資料になります。

また、記録の整備は、顧問先や依頼者への説明の場面でも効いてきます。AIをどう使い、どう点検しているかを、日付と記録で示せる事務所は、説明の説得力が増します。

よくある質問

四半期点検は、小規模な事務所でも必要でしょうか。

要否は、利用範囲と扱う情報の機微さで決まります。頻度の目安としての四半期は一例で、利用が限定的な事務所は半期から始め、利用が広がった時点で四半期に移す方法もあります。大切なのは、頻度を決めて記録を残すことです。

生成AIに規程の改訂案を書かせても大丈夫ですか。

下書きには使えますが、確定は有資格者が行います。AIは条項の趣旨や事務所の事情を知らないため、見た目は整っていても、運用に合わない文面を出す場合があります。入力する際も、顧客や案件を特定できる情報は入れない運用にします。

改訂履歴には何を書けばよいでしょうか。

改訂日、改訂前後の版番号、変更した条項、変更理由、承認者、周知の方法の6項目が目安です。理由の欄が、後から読み返したときに最も役立ちます。

条文の番号は、AIに調べさせてよいでしょうか。

お勧めしません。生成AIは存在しない条番号や、改正前の番号を出力することがあります。条文はe-Gov法令検索の原文で開いて確認し、条番号とURLを記録に残す運用にします。

ヒヤリハットの報告を集めるコツはありますか。

報告した人が不利にならない仕組みを先に宣言することです。様式を簡素にし、振り返りでは個人ではなく手順の欠けを探す姿勢を、有資格者自身が示すと、報告が集まりやすくなります。

個人データの漏えいが疑われるときは、どうすればよいですか。

規程に定めた連絡先へ速やかに連絡し、事実関係を記録します。法令上の報告の要否は、個人情報保護法第26条や規則の定めと個別の事実関係で判断が分かれ得る論点です。判断が難しい場合は、専門家への相談を含めて検討します。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。

規程が古くなる3つの理由 ガイドラインも更新され続けている