生成AIに顧問先の情報を入力してよいか：守秘義務と個人情報保護法から考える判断基準

顧問先から届いた相談メールを、生成AIに要約させたい。給与計算の質問への回答を、たたき台だけでもAIに書かせたい。そう考えたとき、手が止まるのが「この内容を入力してよいのか」という点ではないでしょうか。

顧問先の情報には、事業上の機密と個人情報の両方が含まれています。禁止すれば安全ですが、便利さに気づいた職員が個人のアカウントで使い始めるおそれもあります。この記事では、生成AIに顧問先の情報を入力してよいかを、守秘義務と個人情報保護法の2つの観点から、事務所で判断するための手順として整理します。

結論：「何を入力するか」と「サービス側がどう扱うか」の2点で判断します

生成AIに顧問先の情報を入力してよいかは、一律に「可」「不可」と決まるものではありません。次の2点を確認し、事務所として判断します。

1. 何を入力するか：守秘義務の対象となる秘密や、個人情報保護法上の個人データが含まれるか
2. サービス側が入力内容をどう扱うか：学習への利用、保存、人による閲覧、保存場所などの条件

秘密や個人データを含まない入力（法令の一般的な質問、顧問先が特定できない文章の推敲など）であれば、判断は比較的容易です。迷うのは、顧問先の財務情報や従業員の個人情報を入力したい場合です。その場合は、サービスの条件を確認したうえで、守秘義務の観点から事務所として判断する必要があります。

なお、生成AIへの入力が守秘義務違反にあたるかを明示した条文や公的な指針は、執筆時点（2026年10月）で確認できていません。最終的な判断に迷う場合は、所属する士業団体や弁護士に確認してください。

観点1：各士業法の守秘義務

士業には、それぞれの法律で守秘義務が定められています。主なものを、e-Gov法令検索の条文から抜き出しました。

いずれも、資格を失った後も義務が続く点は共通です（社会保険労務士法は開業社会保険労務士・社会保険労務士法人の社員が対象）。

ここで問題になるのは、外部の生成AIサービスに入力することが「秘密を漏らす」ことにあたるかどうかです。入力した内容がサービス提供事業者の学習に使われ、他の利用者への回答に混ざる可能性があるなら、漏えいにあたると考えるのが自然でしょう。一方、入力内容を学習に使わず、一定期間で削除し、事業者の担当者も原則として閲覧しない条件であれば、評価は変わり得ます。

つまり、守秘義務の観点からの判断は、次に説明する「サービス側の取り扱い」を確認しないと始められません。

観点2：個人情報保護法

顧問先から預かる情報には、顧問先の代表者や従業員、その家族の個人情報が含まれます。事務所は個人情報保護法上の個人情報取扱事業者として、預かった個人データを適切に扱う義務があります。

個人情報保護委員会の注意喚起

個人情報保護委員会は2023年6月2日の「生成AIサービスの利用に関する注意喚起等」で、個人情報取扱事業者に向けて次の2点を示しています。

• 個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
• 本人の同意なく個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法に違反する可能性があるため、サービス提供事業者が機械学習に利用しないこと等を十分に確認すること

1点目は、たとえば「年末調整のために預かった扶養家族の情報を、関係のない資料作成のために入力しない」ということです。2点目は、サービスの条件を確認する理由そのものです。

「提供」にあたるかは、事業者が個人データを取り扱うかで決まる

個人データを外部の事業者に渡すことは、原則として本人の同意が必要な「第三者提供」にあたります（個人情報保護法第27条第1項）。ただし、利用目的の達成に必要な範囲で取扱いを委託する場合は、第三者提供にあたりません（同条第5項第1号）。この場合、事務所には委託先を監督する義務があります（同法第25条）。

クラウドサービスの利用については、個人情報保護委員会のQ&A（Q7-53）が判断基準を示しています。要点は次のとおりです。

• 判断の基準は、保存している電子データに個人データが含まれているかどうかではなく、サービス提供事業者が個人データを取り扱うこととなっているかどうか
• 契約条項で事業者が個人データを取り扱わない旨が定められ、適切にアクセス制御が行われている場合などは、個人データの「提供」にあたらない

生成AIサービスに当てはめると、利用規約やデータの取り扱いに関する条件で、入力内容を学習に使わず、事業者が取り扱わないことが定められているかが確認のポイントになります。この確認ができない場合はどうするか。国内の事業者であれば、委託として監督するか、本人の同意を得るかを検討することになります。外国の事業者の場合は、次の囲みのとおり第28条の確認も必要です。

判断の手順：入力する前に確認する4つのこと

2つの観点を踏まえた、事務所での判断の手順は次の4つです。

1. 入力したい情報を分類する

   法令の一般的な質問のように秘密も個人情報も含まない情報か、顧問先が外部に知られたくない情報を含むか、個人データを含むかを分けます。なお、マイナンバーは法律で利用できる範囲が限られているため、本記事では入力しない前提です。

2. サービスの取り扱い条件を確認する

   利用規約やデータの取り扱いに関するページで、学習への利用の有無、保存期間、人による閲覧の有無、保存場所を確認します。条件はプランや設定によって異なり、変更されることもあるため、確認した日付を記録しておきます。

3. 入力してよい範囲を事務所として決める

   確認した条件をもとに、「このサービスのこのプランなら、社名を伏せた試算表の数値までは入力してよい」のように、情報の区分ごとに扱いを決めます。判断に迷う区分は、入力しない側に倒しておくのが無難です。

4. 必要に応じて顧問先に説明し、了承を得る

   顧問先が外部に知られたくない情報を継続的に入力する業務があるなら、顧問契約や業務委託の書面で、生成AIサービスを利用することとその範囲を説明しておく方法も考えられます。ただし、顧問先の了承は従業員や家族など本人の同意の代わりにはならないため、個人データについては前の章の条件（事業者が取り扱わないこと等）を満たす使い方に限るのが現実的です。書き方は所属団体や弁護士に確認してください。

想定ケース：給与計算の相談への回答を下書きさせたい社労士事務所

具体例で考えてみます。以下は想定ケースで、実在の事務所の事例ではありません。

職員10名ほどの社労士事務所で、顧問先の人事担当者から「育児休業中の従業員の社会保険料はどうなるか」という相談メールが届いたとします。担当者は、回答のたたき台を生成AIに書かせたいと考えました。

このとき、相談メールをそのまま貼り付けると、従業員の氏名、生年月日、子の出生日といった個人データを入力することになります。一方、「育児休業中の社会保険料の免除の要件を説明する文章の下書き」を頼むだけなら、個人データは不要です。制度の一般的な説明を生成AIに下書きさせ、個別の日付や金額は担当者が手元で当てはめれば、個人データを入力せずに済みます。

多くの業務は、このように「一般的な部分」と「個別の情報」に分けられます。まず個別の情報を入力しなくても済む使い方を探し、どうしても必要な場合に限って、前の章の手順で条件を確認する。この順番で考えると、判断に迷う場面を減らせます。

まとめ：判断を職員任せにしない

生成AIに顧問先の情報を入力してよいかは、守秘義務と個人情報保護法の2つの観点から、「何を入力するか」と「サービス側が入力内容をどう扱うか」を確認して判断します。

個人情報保護委員会の注意喚起とQ&Aからは、サービス提供事業者が入力内容を学習に使わないこと、取り扱わないこととなっていることを確認するのが出発点だと読み取れます。守秘義務については、生成AIへの入力を直接扱った条文や指針がまだないため、事務所としての判断と、必要に応じた専門家への確認が欠かせません。

大切なのは、この判断を職員一人ひとりに任せないことです。入力してよい情報の区分と、使ってよいサービスを事務所として決め、全員で共有するところから始めてください。

なお、本記事は一般的な考え方の整理であり、個別の事案についての法的判断を示すものではありません。具体的な判断が必要な場合は、所属する士業団体や弁護士にご確認ください。