改正個人情報保護法を税理士・会計士が読むマイナンバーと従業員情報をAIに入れる前の7論点

特定個人情報とは、マイナンバーを含む個人情報のことです。

顧問先の従業員情報を生成AIに入れてよいか。この問いに、事務所として答えを持っているでしょうか。個人情報保護委員会は2026年7月17日に、個人情報保護法の改正法が同年7月10日に成立し、同日公布されたと発表しました。施行は公布から2年を超えない範囲で、具体の日付は政令で定められるとされています（出典：個人情報保護委員会改正法の公布について）。本記事では、給与計算や年末調整で従業員のマイナンバーと氏名、扶養の情報を預かる税理士・会計士の事務所が、AIに何を入れ、何を入れないかを決めるための7つの論点を整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。

改正法の公表内容のうち、会計事務所の実務に近い部分

最初に、改正の全体像を、個人情報保護委員会の公表資料で確認します。同委員会の概要資料には、要配慮個人情報の取得規制の見直し、委託先に対する規律、第三者提供規制、16歳未満の者に関する規律、顔特徴データ等に関する規律、漏えい等報告の合理化、勧告・命令の実効性強化、刑事罰の強化、課徴金制度の導入が、主要項目として並んでいます。施行期日は、原則として公布の日から起算して2年を超えない範囲内とされています（出典：個人情報保護委員会個人情報保護法等の一部を改正する法律について）。

会計事務所の実務に近いのは、委託先に対する規律の部分です。概要資料によると、委託された個人データを、委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨が、委託先の義務として明文で課されます。一方で、委託契約で取扱いの方法の全部と、委託元が取扱状況を把握するための措置について合意した場合には、委託先の一部の義務が免除される仕組みも示されています（出典：同資料）。

税理士事務所は、顧問先の給与計算や年末調整の事務を、顧問先から委託されて処理する立場になる場面があります。同時に、事務所がAIサービスの事業者に、データの処理を任せる側にもなります。つまり、委託の関係が二段になる構図です。この二段の委託を、契約と運用のどちらで押さえるかが、改正を読む際の中心的な論点になります。

もう1つ、課徴金制度の導入にも触れておきます。概要資料では、対象となる行為として、不適正利用の禁止、適正な取得、第三者提供の制限などに関する違反が挙げられ、重大な違反で、かつ大規模な事案（本人の数が1,000人を基準）などが想定されています（出典：同資料）。会計事務所が預かる従業員データは、顧問先1社でも数十人から数百人分になりうるため、規模の面では他人事ではありません。ただし、どの事案が対象になるかは、政令や規則の整備を待つ論点です（要確認）。

なお、この概要資料から、マイナンバー（特定個人情報）の取扱いについて、改正で何が変わるかは確認できませんでした。マイナンバーの取扱いは、別の法律である番号法とそのガイドラインが引き続き軸になります。改正個人情報保護法の全体像は、個人情報保護法の令和8年改正、課徴金とAI学習特例を顧問先に説明する7論点でも整理しています。政令整備の工程は、個人情報保護法の政令整備と2028年までの工程表7段をあわせてご覧ください。

マイナンバーと従業員情報をAIに入れる前に切り分ける7論点

ここからは、税理士と職員が少人数で運営する事務所が、顧問先の従業員情報を扱う場面を想定した運用例です。条文の当てはめや、個別事案の評価は行いません。どの論点をどう採るかは、各事務所の判断になります。AIが下書きや整理を担い、最終の確認は税理士・公認会計士が行う、という分担を前提にします。

論点1は、入力する情報の区分です。事務所が預かる従業員情報を、マイナンバーを含むもの、氏名と住所を含むもの、金額だけのもの、完全に匿名化したものの4つに分けます。区分ごとに、AIへの入力を認めるかどうかを、事務所の規程の文章として決めます。実務では、マイナンバーを含む区分を入力の対象から外し、残りの区分を段階的に広げる運用例があります。

論点2は、番号法上の位置づけの確認です。番号法第9条は、個人番号を利用できる範囲を定めており、個人番号関係事務の全部又は一部の委託を受けた者も同様に利用できるとしています。これは、事務所が顧問先から委託を受けて番号を扱う根拠になる規定です。一方、第19条は、特定個人情報の提供を、限定された場合を除いて禁じています。AIサービスへの入力が、第19条の定める提供や委託のどれにあたるかは、サービスの契約内容とデータの流れで変わるため、事務所の判断だけでなく、必要に応じて個人情報保護委員会への確認や専門家への相談が前提になります。

論点3は、安全管理措置の整理です。番号法第12条は、個人番号関係事務実施者に、個人番号の漏えい、滅失又は毀損の防止その他の適切な管理のための措置を求めています。個人情報保護委員会の事業者編ガイドラインでも、安全管理措置と従業者の監督、委託先の選定と契約内容が扱われています（出典：個人情報保護委員会特定個人情報の適正な取扱いに関するガイドライン（事業者編））。AI導入の際は、この安全管理の枠組みに、AIサービスを置くかどうかを検討します。

論点4は、AI事業者を委託先とみるかどうかの整理です。個人情報保護法第25条は、個人データの取扱いの全部又は一部を委託する場合に、委託先に対する必要かつ適切な監督を求めています。AIサービスに個人データを入力する場合に、委託の構図になるのか、入力先が学習に使わない設定になっているのかを、契約書と設定画面で確認します。個人情報保護委員会は2023年6月2日に、生成AIサービスの利用に関する注意喚起を公表し、個人情報取扱事業者に対し、プロンプトに個人情報を含める場合は利用目的の達成に必要な範囲かどうかを確認すること、本人の同意なく個人データを含むプロンプトを入力し、応答出力以外の目的で扱われる場合は法の規定に反するおそれがあること、事業者が機械学習に利用しないことを確認することを挙げています（出典：個人情報保護委員会生成AIサービスの利用に関する注意喚起等）。

論点5は、顧問先への説明と同意の取り方です。個人情報保護法第27条は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。従業員本人の同意を、顧問先が取るのか、事務所が取るのかは、委託の構図と合わせて整理します。実務では、顧問契約や業務委託契約の書面に、AIサービスの利用の有無と、入力する情報の範囲を書く運用例があります。

論点6は、確認工程の設計です。AIの出力は、給与や控除の数値を含む場合に、誤りが顧問先と従業員の双方に影響します。AIが整理した数値は、元の資料と突き合わせ、担当職員と税理士・会計士の二段で確認する運用が考えられます。電子帳簿保存法の検索要件との関係は、電子取引の検索要件と保存先一本化税理士がAIと回す棚卸し7工程でも整理しています。

論点7は、記録と見直しです。どの用途で、どのAIサービスを、どの区分の情報に使ったかを台帳にします。法の施行日と政令の内容が確定した時点で、台帳の項目と規程を見直す日程を、あらかじめ決めておきます。

次のプロンプトは、情報の区分を整理するときの下書きに使える例です。架空の顧問先を想定しており、実在の情報は入力しません。

あなたは会計事務所の情報管理の点検を補助します。
架空の顧問先「甲社」（従業員50名）の年末調整で、事務所が預かる情報の種類を一覧にします。
次の4区分に分類し、区分ごとにAIへの入力可否を事務所が判断するための確認事項を3つ以内で挙げてください。

区分1: マイナンバーを含む情報
区分2: 氏名・住所を含む情報
区分3: 金額・日付のみの情報
区分4: 完全に匿名化した情報

法令の条文番号や数値は書かず、事務所が公的資料で確認すべき項目を末尾に列挙してください。
断定的な表現は避けてください。

次のプロンプトは、AIサービスの利用規約を、事務所の確認事項に変換する例です。

あなたは会計事務所の委託先管理を補助します。
下に貼り付けたAIサービスの公式の利用規約（Aとします）を読み、次の観点で、事務所が確認すべき点を整理してください。

- 入力データの学習利用の有無
- データの保管場所と保存期間
- 再委託の有無
- 事故時の通知

Aに書かれていないことは補わず、「規約からは確認できない」と書いてください。

【A】
（ここに公式の規約の文章を貼り付ける）

どちらも出力は下書きです。最終判断は税理士・公認会計士が行います。

年末調整の流れに沿った運用例と、AIを入れる工程の線引き

論点を実務の流れに置き直すと、線引きが見えやすくなります。年末調整を例に、顧問先から資料を受け取り、計算し、顧問先へ返すまでの流れを考えます。以下は運用例であり、特定の事務所の実態を示すものではありません。

受け取りの工程では、顧問先から届く申告書や証明書の画像、PDF、表計算ファイルを、事務所の保管場所に取り込みます。この段階では、AIは使いません。マイナンバーを含む書類は、事務所の定めた保管場所にだけ置き、チャットやメールの本文に貼らないという取り決めを置く運用があります。番号法のガイドラインが、収集と保管を必要な範囲に限る考え方を示していることとも整合しやすい設計です。

整理の工程では、書類の内容を一覧にします。ここでAIを使うなら、マイナンバーと氏名を除いた、金額と区分だけの情報に加工してから入力する運用が考えられます。加工は人が行い、加工前の原本はAIに触れさせません。加工の手順を職員ごとにばらつかせないために、手順書に、消す項目の一覧と、確認者の欄を設けておきます。

計算の工程では、会計ソフトや給与計算ソフトの計算結果が主になります。AIは、計算結果の説明文の下書きや、顧問先への質問事項の整理に使う範囲にとどめる運用が考えられます。計算そのものを、汎用の生成AIに任せるかどうかは、誤りが出たときの影響の大きさと、確認の手間を比べて、事務所が決める項目です。

返却の工程では、顧問先への連絡文を作ります。ここは、AIの下書きが役立つ場面です。ただし、従業員の個人名や金額が文面に入る場合は、送信前に担当職員と有資格者が内容を確認します。誤送信を防ぐため、宛先の確認も確認項目に入れておきます。

保管と廃棄の工程では、受け取った書類と、AIに入力するために加工したデータの扱いを決めます。加工したデータを、AIサービス側の履歴に残したままにしないよう、履歴の削除や保存期間の設定を確認します。番号法のガイドラインは、所管法令で定められた保存期間の経過後に、個人番号をできるだけ速やかに廃棄又は削除する考え方を示しています（出典：個人情報保護委員会特定個人情報の適正な取扱いに関するガイドライン（事業者編））。事務所の台帳に、廃棄の日付と担当者を残しておくと、顧問先から尋ねられたときに説明しやすくなります。

このように、工程ごとにAIを使うか使わないかを分けておくと、論点1から論点7までが、日々の業務の手順書に落ちていきます。AIの導入は、一度に全工程へ広げず、リスクの低い連絡文の下書きから始め、運用が安定してから整理の工程に広げる進め方があります。

顧問先の従業員情報をAIに入れる前に決める3つのこと守秘義務と規程

守秘義務と個人情報の扱いは、AI導入のたびに見直す論点です。ここでは、条文を確認したうえで、決めておく3つを示します。

1つ目は、業法上の守秘義務の確認です。税理士法第38条は、税理士は、正当な理由がなくて、税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならないと定め、税理士でなくなった後も同様としています。公認会計士法第27条も、公認会計士は、正当な理由がなく、その業務上取り扱ったことについて知り得た秘密を他に漏らし、又は盗用してはならないと定めています。外部のAIサービスへの入力が、これらの条文との関係でどう整理されるかは、契約内容と設定で変わる論点です。個別の当てはめは、有資格者の判断と、必要に応じて所属団体への確認が前提です。

2つ目は、番号法と個人情報保護法の関係の確認です。番号法第19条は、特定個人情報の提供の制限を定めています。番号法第12条は、個人番号の適切な管理のための措置を定めています。個人情報保護法第25条は委託先の監督を、同法第27条は第三者提供の制限を定めています。AIサービスをこの枠組みのどこに置くかは、サービスごとに確認します。

3つ目は、委託契約の見直しの準備です。個人情報保護委員会の事業者編ガイドラインは、番号法に基づく委託では、委託先が委託者自らの果たすべき安全管理措置と同等の措置を講じるかをあらかじめ確認することや、再委託を委託者の許諾の下で行うことなどを示しています（出典：個人情報保護委員会特定個人情報の適正な取扱いに関するガイドライン（事業者編））。改正法で委託先の義務が明文化されることを踏まえ、顧問契約の条項と、AI事業者との契約の条項を、並べて見直す準備をしておく運用例があります。

事務所の規程に落とすなら、運用例として、AIへの入力を認める情報の区分、マイナンバーの取扱い、利用を認めるサービスの一覧、顧問先への説明の書面、確認者の記録、事故時の報告先を書く方法があります。規程の雛形は、士業事務所のAI利用規程テンプレートも参考になります。

起こりうる失敗と回避策

資料の記載から想定される失敗を、架空のシナリオで示します。

1つ目は、年末調整の資料をそのままAIに貼り付ける失敗です。扶養控除等申告書には、従業員と家族のマイナンバーや氏名が含まれる場合があります。職員が作業の効率化のために、画像や文章をそのまま入力してしまう想定です。回避策は、マイナンバーを含む区分を、入力の対象から外すことを規程に明記し、入力前にマスキングする手順を決めることです。

2つ目は、無料版のAIを個人の判断で使う失敗です。会計事務所白書2026では、会計事務所の74%が生成AIの相談先として自分で調べると回答しており、組織的な支援なしに利用が広がっている様子が示されています（出典：PR TIMES 会計事務所白書2026）。職員が個人契約のサービスを使い、事務所が把握できていない状態になる想定です。回避策は、利用してよいサービスの一覧を事務所が持ち、一覧にないものは使わない運用を採ることです。

3つ目は、委託契約を改定しないまま、施行日を迎える失敗です。施行は公布から2年を超えない範囲とされており、政令や規則の公表を待つ間に、準備が後回しになる想定です。回避策は、施行日が確定する前でも、現行の契約の条項を棚卸しし、改定の候補をリストにしておくことです。

費用・工数・体制の目安

AI導入にかかる費用は、サービスごとに異なり、各社の料金ページで確認する必要があります（要確認）。規程と契約の見直しに外部の専門家を使うかどうかも、費用の差が大きい項目です。

工数の面では、情報の区分の整理、台帳の作成、顧問契約の条項の棚卸しが主な作業です。少人数の事務所では、担当者が数日、所長の確認が数時間という規模感を、運用例として想定できます（自所での実測が前提で、要確認です）。体制は、所長が最終責任者となり、情報管理の担当を決めておく分担が一例です。

政令・規則の公表を待つ間に、事務所が置いておく足場

個人情報保護委員会は、施行に向けて政令、規則、ガイドライン等の検討を続けると公表しています（出典：個人情報保護委員会改正法の公布について）。そのため、委託先の義務の免除条件や、課徴金の対象となる違反の範囲の細部は、今後の公表を待つ論点です。

一方で、事務所が先に置ける足場もあります。情報の区分、利用してよいAIサービスの一覧、顧問先への説明の書面、確認工程の記録は、施行日が確定する前でも整えられます。政令が出た後は、この足場に、条文と政令の内容を当てはめて見直す形になります。

よくある質問

改正法の施行日はいつですか。

公布の日から起算して2年を超えない範囲内で、政令で定める日とされています。具体の日付は、現時点では公表されていません（出典：個人情報保護委員会改正法の公布について）。

マイナンバーを含む資料をAIに入力してもよいですか。

可否は、番号法の提供制限や委託、安全管理措置の整理と、サービスの契約内容で変わる論点です。個別の判断は、有資格者の判断と、必要に応じて個人情報保護委員会への確認が前提です。マイナンバーを含む区分を入力の対象から外す運用例があります。

従業員本人の同意は必要ですか。

個人情報保護法第27条は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。AIサービスへの入力がこれにあたるかは、委託の構図で変わる論点です。

改正で、マイナンバーの扱いは変わりますか。

個人情報保護委員会の概要資料からは、特定個人情報に関する改正内容は確認できませんでした（要確認）。番号法とガイドラインの動向をあわせて確認してください。

無料版のAIサービスは使えますか。

入力データが学習に使われるかどうかは、サービスと設定ごとに異なります。個人情報保護委員会の注意喚起は、事業者が機械学習に利用しないことを確認するよう求めています（出典：個人情報保護委員会生成AIサービスの利用に関する注意喚起等）。

顧問先への説明は、いつ行えばよいですか。

時期や方法は、顧問契約の内容と入力する情報の種類で変わります。業務の開始時や契約更新時に、書面で伝える運用例があります。

参考文献

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

本記事の作成体制について

本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で、それぞれ確認したうえで記載しています。引用元は本文中および参考文献にすべて明示しています。

本記事には特定の資格者による監修は入っていません。個別の事案について法令の当てはめや手続の可否を判断する必要がある場合は、当該分野の有資格者にご相談ください。本記事は一般的な情報提供を目的としたものであり、個別具体的な法律判断・税務判断・労務判断を提供するものではありません。

記載内容に誤りを見つけられた場合は、お問い合わせよりご指摘ください。確認のうえ速やかに訂正し、訂正履歴を記事内に残します。編集方針の詳細は運営者情報をご覧ください。