改正個人情報保護法で社労士が見直す病歴を含む労務データをAIに入れる前の7論点

要配慮個人情報とは、病歴など配慮を要する記述を含む個人情報のことです。

休職者の傷病手当金の申請書類を整える下書きに、生成AIを使ってよいか。社労士事務所が日常的に預かる労務データには、病歴や診断の記述を含むものが少なくありません。個人情報保護委員会は2026年7月17日に、個人情報保護法の改正法が同年7月10日に成立し、同日公布されたと発表しました。施行は公布から2年を超えない範囲で、政令で定める日とされています（出典：個人情報保護委員会改正法の公布について）。本記事では、顧問先の従業員の健康情報や休職の記録を預かる社労士事務所が、AIに何を入れ、何を入れないかを決めるための7つの論点を整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。

改正法の公表内容と、労務データの取扱いが交わる部分

最初に、改正の概要を個人情報保護委員会の公表資料で確認します。概要資料の主要項目には、要配慮個人情報の取得規制の見直し、委託先に対する規律、第三者提供規制、16歳未満の者に関する規律、漏えい等報告の合理化、勧告・命令の実効性強化、刑事罰の強化、課徴金制度の導入が並んでいます。施行期日は、原則として公布の日から起算して2年を超えない範囲内とされています（出典：個人情報保護委員会個人情報保護法等の一部を改正する法律について）。

社労士の実務に近いのは、2つの部分です。1つ目は、要配慮個人情報の規律です。概要資料によると、統計情報等の作成にのみ利用されることが担保されていることなどを条件に、統計作成等であると整理できるAI開発等を含めて、本人同意なき要配慮個人情報の取得や個人データの第三者提供を可能にする制度が示されています。担保措置として、一定事項の公表、提供元と提供先の書面による合意、目的外利用と第三者提供の禁止が挙げられています（出典：同資料）。ただし、これは統計作成等に限った例外の整理です。社労士事務所が顧問先の個別の従業員の案件を処理するために、AIへ病歴を含む情報を入力する場面は、この例外の想定とは別の場面と読める余地があり、どちらにあたるかは政令や規則の整備を待つ論点です（要確認）。

2つ目は、委託先に対する規律です。概要資料には、委託された個人データを、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨が、委託先の義務として明文で課されると示されています。委託契約で取扱いの方法の全部と、委託元が取扱状況を把握する措置について合意した場合には、委託先の一部の義務が免除される仕組みもあります（出典：同資料）。社労士事務所は、顧問先から労務管理を委託される側であり、同時にAIサービスの事業者へ処理を任せる側にもなりえます。委託が二段になる構図で、契約と運用のどちらで押さえるかが、論点の中心です。

課徴金制度についても触れておきます。概要資料では、不適正利用の禁止、適正な取得、第三者提供の制限などに関する違反のうち、重大で大規模な事案（本人の数が1,000人を基準）などが想定されています（出典：同資料）。対象となる範囲の細部は、今後の政令や規則の公表を待つ論点です。改正法の全体像は、個人情報保護法の令和8年改正、課徴金とAI学習特例を顧問先に説明する7論点でも整理しています。

労務データをAIに入れる前に切り分ける7論点

ここからは、社会保険労務士と職員が少人数で運営する事務所が、顧問先の従業員の労務データを扱う場面を想定した運用例です。条文の当てはめや、個別事案の評価は行いません。どの論点をどう採るかは、各事務所の判断になります。AIが整理や下書きを担い、最終の確認は社会保険労務士が行う分担を前提にします。

論点1は、情報の区分です。事務所が預かる労務データを、病歴や診断の記述を含むもの、氏名や住所を含むもの、賃金や日数だけのもの、匿名化したものの4つに分けます。区分ごとにAIへの入力の可否を、規程の文章として決めます。病歴を含む区分を入力の対象から外し、残りを段階的に広げる運用例があります。

論点2は、要配慮個人情報の定義の確認です。個人情報保護法第2条第3項は、要配慮個人情報を、本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他、不当な差別や偏見などの不利益が生じないように取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報と定めています。診断書や健康診断の結果、休職理由の記述が、これに近い情報になりうるため、区分の設計の出発点になります。

論点3は、取得と本人同意の整理です。個人情報保護法第20条第2項は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定めています。厚生労働省の指針も、本人の同意が必要な区分の情報を事業者が収集する際には、この規定に基づき同意を得る考え方を示しています（出典：厚生労働省労働者の心身の状態に関する情報の適正な取扱いのために事業者が講ずべき措置に関する指針）。顧問先の従業員の同意を、顧問先が取るのか、事務所が取るのかは、委託の範囲と合わせて整理します。

論点4は、心身の状態に関する情報の取扱規程との関係です。労働安全衛生法第104条は、事業者が労働者の心身の状態に関する情報を収集、保管、使用するときに、労働者の健康の確保に必要な範囲内で行うことや、適正に管理するための措置を講じることを定めています。厚生労働省の指針は、取扱規程に定める事項として、目的と取扱方法、取扱者と権限、通知と同意の取得方法、適正管理の方法、第三者提供の方法などを挙げています（出典：同指針）。顧問先の取扱規程の作成や改定を支援する社労士事務所では、AIを、規程案の叩き台づくりに使うことが考えられます。ただし、実在の従業員の情報は入力しません。

論点5は、AI事業者を委託先とみるかどうかです。個人情報保護法第25条は、個人データの取扱いの全部又は一部を委託する場合に、委託先に対する必要かつ適切な監督を求めています。個人情報保護委員会は2023年6月2日に、生成AIサービスの利用に関する注意喚起を公表し、プロンプトに個人情報を含める場合には、利用目的の達成に必要な範囲かどうかを確認することや、本人の同意なく個人データを含むプロンプトを入力して、応答の出力以外の目的で取り扱われる場合に法の規定に反するおそれがあること、事業者が機械学習に利用しないことを確認することを挙げています（出典：個人情報保護委員会生成AIサービスの利用に関する注意喚起等）。

論点6は、確認工程です。AIの出力は、賃金計算や日数の数値、制度の説明文に、誤りを含む場合があります。担当職員が元の資料と突き合わせ、社会保険労務士が最終確認をする二段の運用が考えられます。社労士事務所向けのAIエージェントの選び方は、AI社労夢が始動、社労士事務所が選ぶ5エージェントの見極め方でも整理しています。

論点7は、記録と見直しです。どの業務で、どのAIサービスを、どの区分の情報に使ったかを台帳にします。施行日と政令の内容が確定した時点で、台帳の項目と規程を見直す日程を決めておきます。

次のプロンプトは、情報の区分を整理するときの下書きに使える例です。架空の顧問先を想定しており、実在の情報は入力しません。

あなたは社労士事務所の情報管理の点検を補助します。
架空の顧問先「乙社」（従業員30名）の休職・復職の手続で、事務所が預かる情報の種類を一覧にします。
次の4区分に分類し、区分ごとにAIへの入力可否を事務所が判断するための確認事項を3つ以内で挙げてください。

区分1: 病歴・診断の記述を含む情報
区分2: 氏名・住所を含む情報
区分3: 賃金・日数のみの情報
区分4: 匿名化した情報

法令の条文番号や数値は書かず、事務所が公的資料で確認すべき項目を末尾に列挙してください。
断定的な表現は避けてください。

次のプロンプトは、顧問先の取扱規程の叩き台を作る例です。

あなたは社労士事務所の規程案の起案を補助します。
架空の会社「丙社」の、従業員の健康に関する情報の取扱規程の見出し案を作ってください。

- 見出しは、目的、取扱者と権限、本人への通知と同意、適正な管理、開示と訂正、第三者提供、苦情の受付、周知の8つです
- 各見出しに、決めるべき事項を3つ以内で挙げてください
- 実在の従業員の情報や、特定の条文の番号は書かないでください
- 末尾に、事務所が厚生労働省の指針で確認すべき点を列挙してください

どちらも出力は下書きです。最終判断は社会保険労務士が行います。

休職から復職までの流れに沿った運用例と、AIを入れる工程の線引き

論点を実務の流れに置き直すと、線引きが見えやすくなります。顧問先の従業員が休職し、復職するまでの手続を例に考えます。以下は運用例であり、特定の事務所の実態を示すものではありません。

受付の工程では、顧問先から、休職の届出、診断書、傷病手当金の申請書類が届きます。この段階では、AIは使いません。診断書や申請書は、事務所が定めた保管場所にだけ置き、チャットやメールの本文に貼らない取り決めを置く運用があります。厚生労働省の指針が、心身の状態の情報について、取扱者と権限の範囲を規程で定める考え方を示していることとも整合しやすい設計です（出典：厚生労働省指針）。

整理の工程では、手続に必要な項目を一覧にします。ここでAIを使うなら、氏名や病名の記述を除いた、日付と手続の種別だけの情報に、人が加工してから入力する運用が考えられます。加工前の原本はAIに触れさせません。消す項目の一覧と確認者の欄を手順書に設けておくと、職員ごとのばらつきを減らせます。

書類作成の工程では、申請書の記入内容を、制度の様式に沿って整えます。AIは、記入例の説明文や、顧問先への不足書類の依頼文の下書きに使う範囲にとどめる運用が考えられます。申請の内容そのものを、AIの出力のまま提出するかどうかは、誤りが出たときの影響を踏まえて、社会保険労務士が決める項目です。

連絡の工程では、顧問先の担当者と、必要に応じて従業員本人へ連絡文を作ります。ここは、AIの下書きが役立つ場面です。ただし、個人名や病状に触れる文面は、送信前に担当職員と社会保険労務士が確認します。宛先の誤りも確認項目に入れます。

復職と保管・廃棄の工程では、受け取った書類と、AIに入力するために加工したデータの扱いを決めます。AIサービス側の履歴や保存期間の設定も、あわせて確認します。事務所の台帳に、廃棄の日付と担当者を残しておくと、顧問先から尋ねられたときに説明しやすくなります。

このように工程ごとにAIを使うか使わないかを分けておくと、論点1から論点7までが、日々の手順書に落ちていきます。導入は一度に全工程へ広げず、リスクの低い連絡文の下書きから始め、運用が安定してから整理の工程に広げる進め方があります。

顧問先の従業員の健康情報をAIに入れる前に決める3つのこと守秘義務と規程

守秘義務と個人情報の扱いは、AI導入のたびに見直す論点です。ここでは条文を確認したうえで、決めておく3つを示します。

1つ目は、業法上の守秘義務の確認です。社会保険労務士法第21条は、開業社会保険労務士又は社会保険労務士法人の社員は、正当な理由がなくて、その業務に関して知り得た秘密を他に漏らし、又は盗用してはならないと定め、その地位でなくなった後も同様としています。外部のAIサービスへの入力が、この条文との関係でどう整理されるかは、契約内容と設定で変わる論点です。個別の当てはめは、有資格者の判断と、必要に応じて所属団体への確認が前提です。

2つ目は、個人情報保護法の関係条文の確認です。個人情報保護法第20条は適正な取得を、同法第25条は委託先の監督を、同法第27条は第三者提供の制限を定めています。労働安全衛生法第104条は、心身の状態に関する情報の取扱いを定めています。AIサービスをこの枠組みのどこに置くかは、サービスごとに確認します。

3つ目は、顧問契約と取扱規程の見直しです。厚生労働省の指針は、心身の状態の情報の第三者提供の方法を取扱規程に定めることや、取扱者に教育を行い、運用状況を確認して規程を見直すことを示しています（出典：厚生労働省指針）。改正法で委託先の義務が明文化されることを踏まえ、顧問契約の条項と、AI事業者との契約の条項を、並べて見直す準備をしておく運用例があります。

事務所の規程に落とすなら、運用例として、AIへの入力を認める情報の区分、病歴を含む情報の取扱い、利用を認めるサービスの一覧、顧問先への説明の書面、確認者の記録、事故時の報告先を書く方法があります。規程の雛形は、士業事務所のAI利用規程テンプレートも参考になります。

起こりうる失敗と回避策

資料の記載から想定される失敗を、架空のシナリオで示します。

1つ目は、診断書の内容をそのままAIに貼り付ける失敗です。休職の手続きの作業を効率化するために、職員が診断書の文面や画像を入力してしまう想定です。回避策は、病歴を含む区分を入力の対象から外すことを規程に明記し、必要なら、日数と手続の種別だけに加工してから入力する手順を決めることです。

2つ目は、顧問先の同意の範囲を確認しないまま使う失敗です。顧問先が従業員から取得した同意の範囲に、事務所によるAIサービスへの入力が含まれているか不明なまま、作業を進めてしまう想定です。回避策は、同意の文面と業務委託契約の範囲を、導入前に顧問先と確認し、書面に残すことです。

3つ目は、個人の判断でAIが使われ、把握できなくなる失敗です。会計事務所白書2026は、会計事務所の74%が生成AIの相談先として自分で調べると回答したと示しており、組織的な支援なしに利用が広がる様子がうかがえます（出典：PR TIMES 会計事務所白書2026）。この調査の対象は会計事務所ですが、士業の事務所で同様の状況が起こりうる点は参考になります。回避策は、利用してよいサービスの一覧を事務所が持ち、一覧にないものは使わない運用を採ることです。

費用・工数・体制の目安

AI導入にかかる費用は、サービスごとに異なり、各社の料金ページで確認する必要があります（要確認）。規程と契約の見直しに外部の専門家を使うかどうかも、費用の差が大きい項目です。

工数の面では、情報の区分の整理、台帳の作成、顧問契約の条項の棚卸し、顧問先への説明資料の作成が主な作業です。少人数の事務所では、担当者が数日、所長の確認が数時間という規模感を、運用例として想定できます（自所での実測が前提で、要確認です）。体制は、所長が最終責任者となり、情報管理の担当を決めておく分担が一例です。

政令・規則の公表を待つ間に置ける足場

個人情報保護委員会は、施行に向けて政令、規則、ガイドライン等の検討を続けると公表しています（出典：個人情報保護委員会改正法の公布について）。要配慮個人情報の例外の範囲や、委託先の義務の免除条件の細部は、今後の公表を待つ論点です。

一方で、事務所が先に置ける足場もあります。情報の区分、利用してよいAIサービスの一覧、顧問先への説明の書面、確認工程の記録は、施行日が確定する前でも整えられます。社会保険労務士法の改正で労務監査の位置づけが話題になるなか、労務データを扱う事務所の情報管理は、新しいサービスを設計する際の前提にもなります。サービス設計の考え方は、社労士法9次改正で労務監査が明記 AIで新サービスを設計する7手順で扱っています。

よくある質問

改正法の施行日はいつですか。

公布の日から起算して2年を超えない範囲内で、政令で定める日とされています。具体の日付は、現時点では公表されていません（出典：個人情報保護委員会改正法の公布について）。

診断書や健康診断の結果をAIに入力してもよいですか。

可否は、要配慮個人情報の取得と同意、委託の整理、サービスの契約内容で変わる論点です。個別の判断は、有資格者の判断と、必要に応じて個人情報保護委員会や所属団体への確認が前提です。病歴を含む区分を入力の対象から外す運用例があります。

改正の統計作成・AI開発の例外は、社労士事務所の業務にも使えますか。

概要資料では、統計情報等の作成にのみ利用されることの担保などが条件とされています（出典：個人情報保護委員会改正法の概要）。個別の案件の処理に使う場面との関係は、政令や規則の整備を待つ論点です（要確認）。

顧問先の従業員本人の同意は必要ですか。

個人情報保護法第20条第2項は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定めています。誰が同意を取るかは、顧問契約と委託の範囲で整理します。

無料版のAIサービスは使えますか。

入力データが学習に使われるかどうかは、サービスと設定ごとに異なります。個人情報保護委員会の注意喚起は、事業者が機械学習に利用しないことを確認するよう求めています（出典：個人情報保護委員会生成AIサービスの利用に関する注意喚起等）。

顧問先への説明は、いつ行えばよいですか。

時期や方法は、顧問契約の内容と入力する情報の種類で変わります。業務の開始時や契約更新時に、書面で伝える運用例があります。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。