設定確認とは、AIに入力した情報の行き先を事前に確かめる作業のことです。

顧問先の従業員名簿をAIに読ませたいと思ったとき、最初に確かめるのは精度ではなく、入力した情報がどこへ行くかです。この記事では、社労士事務所が生成AIに顧問先の個人情報を入れる前に確認しておきたい設定と契約上の論点を、7点に整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、AIサービスの扱いは各社の公表ページで確認しています。Anthropicは、商用製品の入力と出力は、フィードバックの送信などがない限りモデルの学習に使わないと説明しています（出典: Anthropic プライバシーセンター）。

設定確認が必要になる背景 学習に使われるか、人が見るか、どこに残るか

AIサービスの設定確認は、三つの問いに分けると整理しやすくなります。入力が学習に使われるか、事業者の側で人が見る場合があるか、どこにどれだけの期間残るか、の三つです。この三つの答えは、サービスの種類やプランによって異なります。個人向けのプランと、法人向けのプランや開発者向けのAPIでは、扱いが分かれていることが一般的です。

公表ページを例に見ると、Anthropicは、法人向け製品について、入力と出力は原則として学習に使わないと説明しています。例外として、利用者がフィードバックを送った場合などは、会話が学習に使われることがあるとされています。フィードバックに関連する会話は、最長5年間保存されると記載されています。組織の所有者は、チャットの評価機能を組織設定で止めることができます（出典: Anthropic プライバシーセンター）。

OpenAIは、企業向けのプライバシーのページで、業務データでの学習は行わないと説明しています。データの保持期間を利用者が管理できる旨は、ChatGPT Enterpriseについて記載されています。暗号化については、保存時にAES-256、通信時にTLS 1.2以上と書かれています。データの所在地については、このページには記載がなく、トラストポータルなどでの確認を案内しています（出典: OpenAI Enterprise privacy）。

ここで押さえておきたいのは、各社の説明は製品とプランごとに違うため、同じ会社のサービスでも、事務所が契約するプランの説明を読まないと実態がつかめないことです。ページに書かれていない事項、たとえば所在地や再委託先は、書かれていないという事実そのものを、要確認として記録に残します。

確認7点の組み立て方 入力の範囲から契約まで

ここからは、実際に確認する7点を順に示します。数名規模の社労士事務所が、顧問先の労務データを扱う場面を想定しています。

1点目は、契約しているプランの種類です。個人向けか、法人向けか、APIかを、請求書や管理画面で確認します。同じサービス名でも、プランによって学習への利用の扱いが異なることがあるためです。

2点目は、学習への利用に関する設定です。デフォルトの扱い、管理者がオフにできる項目、利用者個人が変えられる項目を、公表ページと管理画面の両方で確かめます。公表ページの記載と管理画面の表示が食い違っていれば、ベンダーへの問い合わせ事項として控えます。

3点目は、フィードバックなど、例外として学習に回る経路です。評価ボタンや不具合報告を通じて会話が事業者に渡る場合があるため、この経路を組織の設定で止められるかを確認します。止められない場合は、担当者に、顧問先の個人情報を含む会話では評価ボタンを使わないよう周知する運用が考えられます。

4点目は、保持期間と削除の方法です。会話の履歴がどのくらい残るか、削除を依頼できるか、削除した情報が事業者側にいつまで残るかを確認します。

5点目は、データの所在地と再委託先です。公表ページに記載がない場合は、トラストポータルや問い合わせ窓口で確認します。外国にあるサーバーを経由する場合の個人情報保護法の扱いは、後述の守秘義務・規程の章で触れます。

6点目は、アクセス権限の管理です。誰がそのAIサービスにログインでき、誰の会話を管理者が閲覧できるかを確認します。事務所の中で、顧問先の情報を扱ってよい担当者を限定する運用ができるかが論点になります。

7点目は、閉域構成や接続方法の確認です。顧問先のデータがある所内のサーバーとAIをつなぐ構成をとる場合は、どの経路を通って、どこに一時的に保存されるかを確認します。この点はMCPトンネルで所内サーバーをClaudeにつなぐ前に 士業事務所が確認する7論点で詳しく扱っています。

次のプロンプト例は、1点目から5点目の確認を、事務所の側で表に整理するときに使えます。架空のサービスを前提にしており、実在の顧問先の情報は入れません。

あなたは社労士事務所の情報管理担当を手伝うアシスタントです。
以下は、架空の生成AIサービス「サービスX」の公表ページから私が転記した記載です。
次の五つの確認項目ごとに、記載から読み取れること、記載がなく要確認として残ること、
を分けて整理してください。推測で補わず、記載のない点は「記載なし」と書いてください。
 (1) プランの種類 (2) 学習への利用 (3) 例外として学習に回る経路
 (4) 保持期間と削除 (5) データの所在地と再委託先
【転記した記載】
（ここに公表ページの該当部分を貼る）

2本目は、顧問先に提示する説明文の下書きに使えます。

以下は、架空の社労士事務所が顧問先に渡す、AI利用に関する説明文の骨子です。
顧問先の人事担当者が読んで不安を感じやすい点を三つ挙げ、
それぞれに対して、事務所として説明できる事実と、まだ確認中の事項を分けて
書き直してください。断定的な安全の保証は書かないでください。
【骨子】
・AIを使う業務の範囲
・入力しない情報の種類
・AI出力を社労士が確認してから提供すること
・事故が起きたときの連絡手順

どちらの場合も、返ってきた内容は、事務所の責任者が読んで修正したうえで使います。AIが整理した確認表を、そのまま事務所の確認済みの記録にしないことが、有資格者の確認工程の中身です。

顧問先の個人情報をAIに入れる前に決める3つのこと 守秘義務・規程上の論点

設定を確認したあとに、事務所として決めておく規程上の論点が三つあります。

1つ目は、守秘義務の確認です。社会保険労務士法第21条は、開業社会保険労務士または社会保険労務士法人の社員が、正当な理由がなくて、その業務に関して知り得た秘密を他に漏らし、または盗用してはならないと定めています。AIサービスへの入力が、この規定のいう他に漏らすことにあたるかどうかは、サービスの仕組みや契約内容で論点が変わるため、条文の引用にとどめ、当てはめは個別に検討する事項とします。

2つ目は、個人情報保護法の関係条文です。個人情報保護法第23条は、個人データの安全管理のために必要かつ適切な措置を講じなければならないと定めています。同法第25条は、個人データの取扱いを委託する場合に、委託を受けた者に対する必要かつ適切な監督を行わなければならないと定めています。同法第27条は、あらかじめ本人の同意を得ないで個人データを第三者に提供することを、一定の場合を除いて制限しています。AIサービスの利用が、委託にあたるのか、第三者提供にあたるのかは、サービスの規約と入力の内容によって整理が分かれ得る論点です。外国にある第三者への提供については、同法第28条に別の定めがあります。どの条文の枠組みで整理するかは、個人情報保護委員会の公表資料や専門家への相談も含めて、事務所で確認します。

3つ目は、顧問先への説明と同意です。AIを使うことを、顧問契約書や業務の案内に記載する事務所があります。記載する内容の例は、AIを使う業務の範囲、入力しない情報、AI出力を社労士が確認してから提供すること、事故時の連絡手順です。顧問先が従業員の個人情報の取扱いについて、従業員本人に説明している場合は、その説明との整合も確認が必要になります。

規程に落とすときの運用例としては、次のような項目があります。氏名や社員番号を伏せた形に限って入力する。病歴や家族構成など配慮が必要な情報は入力しない。使うAIサービスは事務所が承認した一覧の中に限る。AI出力は社労士が一次情報で確認してから外に出す。これらは運用例で、法令が求める内容として示すものではありません。労務データの中でも配慮が必要な項目の扱いは、改正個人情報保護法で社労士が見直す 病歴を含む労務データをAIに入れる前の7論点に整理しています。職種ごとの規程の違いは、生成AI利用規程を職種別にどう変えるか 8士業の差分と作り方7手順で扱っています。

確認結果を事務所の記録にする 様式と運用の具体例

7点を確認しても、結果が担当者の頭の中にあるだけでは、事務所としての確認になりません。記録の様式を決めておくと、顧問先から問われたときの説明にも、担当者が替わったときの引き継ぎにも使えます。

記録に残す項目は、サービス名、契約しているプラン、確認した日付、参照した公表ページのURL、7点それぞれについて読み取れた内容と記載のなかった内容、確認者の氏名、の六つです。ここで大切なのは、読み取れた内容と、記載がなく要確認として残した内容を、同じ欄に混ぜないことです。混ぜてしまうと、確認済みの範囲が実際より広く見えてしまいます。

運用の具体例として、顧問先の従業員名簿を整形する場面を考えます。担当の社労士は、まず名簿から氏名と住所の列を外し、社員番号を仮の番号に置き換えた形のデータを作ります。次に、事務所が承認したAIサービスの、業務用アカウントでだけ、その加工済みのデータを入力します。AIが整形した結果は、社労士が元の名簿と突き合わせて確認し、確認した日付と担当者を記録に残します。この一連の流れの中で、AIに渡す情報の範囲を決めるのも、結果を確認するのも、有資格者の側の作業です。

このとき、仮の番号と元の社員番号の対応表は、AIサービスには入力せず、事務所の管理下にだけ置きます。対応表の保管場所と閲覧できる担当者も、規程に書いておくと運用が揃います。対応表の扱いは、事務所の情報管理の考え方によって差が出る部分ですから、決まった正解があるというより、事務所が理由を説明できる形にしておくことが論点になります。

もう一つの運用例は、顧問先ごとの設定の違いです。顧問先によっては、従業員の個人情報をAIに入力することを望まない場合があります。このような顧問先の情報は、そもそもAIの入力対象から外す、という区分を、顧問先の一覧に付けておく事務所があります。区分があれば、担当者の判断に頼らず、顧問先ごとの意向に沿った運用がしやすくなります。

担当者向けの研修も、確認作業の一部として考えられます。確認表の読み方、評価ボタンなど例外の経路、入力してよい情報の範囲の三つは、短い資料にまとめて共有する価値があります。研修のあとに、確認表を使った演習を一度行っておくと、運用に入ってから迷う場面が減ります。

設定確認で起こりがちな失敗例と回避策

次の三つは、実在の事例ではなく、起こり得る場面として想定した失敗例です。

1つ目は、契約したプランを勘違いして、個人向けのプランに顧問先のデータを入れてしまう場面です。担当者が個人のアカウントで試していたものを、そのまま業務に使い始めると起こり得ます。回避策は、業務で使うアカウントを事務所の契約に限り、個人アカウントでの業務利用を規程で止めておくことです。

2つ目は、公表ページの説明が更新されていることに気づかず、古い理解のまま運用を続ける場面です。サービスの規約や説明は改定されることがあります。回避策は、確認した日付と参照したページのURLを記録し、一定の間隔で見直す運用を決めておくことです。

3つ目は、確認表を作っただけで、現場の担当者に周知されない場面です。設定を確認しても、現場が評価ボタンを使ってしまうなど、例外の経路が残ることがあります。回避策は、確認の結果を、現場向けの短い注意書きに変えて共有することです。

費用・工数・体制 確認作業の見積もりと担当者

設定確認の工数は、確認する対象のサービス数に比例します。1サービスあたりの確認時間を実際に測り、サービス数を掛けて見積もる方法があります。この時間は、事務所ごとに差が出るため、ここでは数字を示しません。

費用の面では、法人向けのプランは個人向けのプランより高くなることが一般的です。ただし、価格は改定されるため、契約前に公式ページで確認することが前提です。個人向けから法人向けに切り替える費用と、情報管理上の安心を比べるときは、事務所が扱う顧問先データの種類を基準にして考えます。

体制としては、AI活用の責任者を一名置き、設定確認、顧問先への説明資料の更新、見直しの日付管理の三つを担当させる方法があります。小規模な事務所では、所長が兼ねても構いません。最小限の導入の進め方は、社労士事務所の生成AI最小導入 30日で1業務に絞る7ステップにまとめています。

今後の展望 確認の作法は、サービスの更新に合わせて見直す前提で

AIサービスの設定や規約は、機能追加に合わせて変わっていきます。今日の確認結果が、半年後も同じとは限りません。したがって論点になるのは、一度の確認で終わらせず、見直しの日付と担当者を決めておくことです。

もう一つの論点は、公表ページに書かれていない事項の扱いです。所在地や再委託先のように、記載がない項目は、書かれていない事実そのものを記録として残し、必要に応じてベンダーに問い合わせます。記載がないことを、問題がないことと同じに扱わない姿勢が、顧問先への説明にも活きてきます。

よくある質問

法人向けのプランなら、顧問先の個人情報を入れても大丈夫ですか。

プランの種類だけでは判断できません。学習への利用、保持期間、所在地、アクセス権限といった複数の項目を確認し、事務所の規程に照らして決める事項です。

学習に使われない設定になっていれば、守秘義務の論点は消えますか。

学習に使われないことは確認項目の一つにすぎません。社会保険労務士法第21条の守秘義務との関係は、保持や閲覧、再委託の状況も含めて、個別に検討する論点です。

氏名を伏せれば、個人情報ではなくなりますか。

氏名を伏せても、他の情報と合わせて個人を特定できる場合があります。どこまでを入力してよい範囲とするかは、事務所の規程で決める運用例があります。要確認の事項です。

顧問先への説明は、書面でしておくべきですか。

書面で残す事務所があります。顧問契約書や業務の案内に記載しておくと、後から経緯を確認しやすくなります。

設定確認は、どのくらいの頻度で見直せばよいですか。

事務所によって異なります。サービスの規約や機能が更新されたときと、定期的な見直しの日付を決めておく運用が考えられます。

公表ページに記載のない事項は、どう扱いますか。

記載なしと記録し、ベンダーへの問い合わせ事項として残します。回答を得るまでは、その項目を前提にした運用は控える考え方があります。

参考文献

• Anthropic プライバシーセンター 入力と出力はモデルの学習に使われますか
• OpenAI Enterprise privacy
• e-Gov法令検索 社会保険労務士法第21条
• e-Gov法令検索 個人情報の保護に関する法律第23条・第25条・第27条・第28条

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/