社労士事務所のAI利用で情報漏洩は防げるのか｜入れてよい情報・入れない情報の線引きと運用ルール

「AIに顧問先の給与データを入れて大丈夫なのか」。社労士事務所でAIの活用を検討したとき、ほぼ必ずここで止まります。扱っているのが他人の個人情報である以上、当然の慎重さです。

▶ あわせて読みたい：AI導入は何から始める？最初に選ぶ業務の見極め方【業務棚卸し・優先順位表】

ただ、この不安の中身は整理されないまま「なんとなく危ないから使わない」で終わっていることが多いように思います。この記事では、何がどう漏れるのか、何を入れてよくて何を入れてはいけないのか、事務所として何を決めておけばよいのかを、実務の順番で整理します。

この記事の結論
情報漏洩の経路は「AIの学習に使われる」だけではありません。実際に多いのは、無料サービスの利用、個人アカウントでの利用、出力の取り違えです。個人が特定できるデータは原則として入れない、入れる必要があるときはマスキングか集計値にする。この2つを事務所のルールとして文書化し、使ってよいサービスを限定すれば、実務上のリスクは大きく下がります。

まず整理する：何が「漏れる」のか

「学習に使われる」という話

最もよく聞くのがこれです。入力した内容がAIの学習データに使われ、他の利用者への回答に出てしまうのではないか、という不安です。

実際には、法人向けのプランやAPI経由の利用では、入力内容を学習に使わないと明示しているサービスが多くなっています。無料プランや個人向けプランでは学習に使われる設定が既定になっていることがあるため、契約の種類によって扱いが変わる、というのが正確な理解です。ただし各サービスの規約は変更されるため、導入時と定期的な見直し時に確認する必要があります。

実際に問題になりやすいのは別の経路

学習利用の話は制度で対処できます。むしろ現場で起きやすいのは、もっと単純な経路です。職員が個人のアカウントで無料サービスに顧問先データを貼り付ける。作業を急いで別の顧問先向けの出力を送ってしまう。共有パソコンにブラウザのログイン状態が残る。

これらはAI特有の問題ではなく、従来からある情報管理の問題です。AIを使い始めると入力の機会が増えるため、既存の弱点が表に出やすくなる、という構図です。

3つの経路として整理する

漏洩の経路を3つに分けて考えると、対策の優先順位がつけやすくなります。

導入時に一度確認すれば済むのは1つ目だけです。2つ目と3つ目は、日々の運用の話になります。

顧問先の個人情報をAIに入れてよいのか

事務所は「委託先」の立場にある

社労士事務所が顧問先の従業員データを扱うのは、顧問先から個人データの取扱いの委託を受けている状態です。委託を受けた側には、委託元と同じ水準の安全管理措置が求められます。

ここで問題になるのは、AIサービスを使うことが「再委託」に当たるかどうかです。クラウドサービスの利用一般については、事業者がデータの内容を取り扱わない形態であれば第三者提供に当たらないという整理が示されていますが、サービスの仕様や契約内容によって結論が変わります。個別の判断は、個人情報保護委員会の公表資料や顧問弁護士に確認するのが確実です。

顧問先との契約を確認する

実務上、先に見るべきなのは顧問契約書と、締結していれば個人情報の取扱いに関する覚書です。再委託の可否、委託先の指定、事前承諾の要否がどう書かれているか。ここに「再委託は事前の書面承諾を要する」とあれば、AIサービスの利用について顧問先へ説明が必要になる可能性があります。

逆に、この条項の有無を確認しないまま使い始めるのが最も危険です。後から発覚したときに、技術的には問題がなくても契約違反の話になります。

実務上の線引き

法的な整理を待たずに実務を進めるなら、最も安全な線は「個人が特定できるデータはAIサービスに入れない」です。この線を引いてしまえば、そもそも個人データの取扱いにならないため、上記の論点の多くが発生しません。

入れてよい情報と、入れてはいけない情報

判断の基準は「個人が特定できるか」

氏名、生年月日、住所、マイナンバー、基礎年金番号、雇用保険の被保険者番号。これらが含まれていれば個人が特定できます。加えて、小規模な会社では「営業部の45歳の男性」といった記述だけでも特定できてしまうことがあります。

逆に、制度の一般的な質問、就業規則の条文案の検討、届出書類の書き方の確認。これらには個人情報が含まれません。AIの用途として最も安全で、かつ実際に役に立つのはこの領域です。

マスキングという方法

個人別のデータをどうしても扱いたい場合、氏名を「A」「B」に、生年月日を年齢区分に、会社名を「甲社」に置き換えてから入力する方法があります。判断に必要なのは属性であって氏名ではないことが多いため、この置き換えで用は足ります。

ただし、置き換えを手作業で毎回やるのは現実的ではありません。頻繁に必要になるなら、置き換え済みのフォーマットを用意しておくほうが確実です。手順が面倒だと、忙しいときに省略されます。

集計値なら問題が小さい

部署別の残業時間の平均、雇用区分別の人数、月ごとの離職件数。こうした集計値には個人情報が含まれません。顧問先への分析や提案の材料としてAIを使うなら、この形にしてから入力すれば懸念は生じません。

マイナンバーは、他の個人情報と扱いが異なり、収集・保管・利用の目的が法律で限定されています。AIサービスへの入力は用途として想定されていないため、加工の有無にかかわらず入れないという線を引いておくのが安全です。

事務所で決めておく3つのルール

使ってよいサービスを限定する

最初に決めるべきはこれです。「業務では事務所が契約したこのサービスだけを使う」と決め、それ以外は個人的な利用も含めて業務データを入れない。職員が自分で見つけてきた便利なサービスを勝手に使う状態が、最も対処が難しい状況です。

禁止だけを伝えると、隠れて使われるようになります。事務所として使えるサービスを用意したうえで「これを使ってください」と伝えるほうが機能します。

入力してよいデータを決める

前節の表をそのまま事務所のルールにできます。重要なのは、判断を個々の職員に委ねないことです。「危なそうなものは入れない」という基準では、人によって線が変わります。

迷ったら入れない、迷ったら所長に確認する。この2つを添えておけば、想定していなかったケースにも対応できます。

記録を残す

何を目的に、どのサービスを、どの業務で使っているか。これを一覧にしておきます。顧問先から質問されたときに答えられますし、サービスの規約が変わったときに影響範囲が分かります。

▶ 関連記事：生成AIの法人利用とセキュリティ対策｜中小企業が決めるべき社内ルール

サービスを選ぶときに見るところ

入力内容が学習に使われない設定があるか

法人向けプランでは、入力内容を学習に使わないことが規約で明示されているか、管理画面で設定できることが多くなっています。導入時にこの点を確認し、設定が必要なら有効にしたうえで、その画面を記録として残しておきます。

データの保存場所と保存期間

入力内容がどこに保存され、どのくらいで削除されるか。国内に保存されるのか、国外なのか。顧問先から聞かれる可能性がある項目なので、答えられる状態にしておきます。外国にある第三者への提供に該当する場合は、別途の対応が必要になることがあります。

アカウント管理ができるか

職員ごとにアカウントを発行でき、退職時に停止できるか。誰がいつ使ったかの記録が残るか。個人アカウントの利用を防ぐには、事務所側で管理できる形になっていることが前提になります。

顧問先への説明

聞かれる前に伝えておく

AIの利用について、顧問先から先に質問されると身構えた説明になります。事務所の側から「業務効率化のためにこういう形で使っており、個人が特定できるデータは入れていません」と伝えておくほうが、信頼の面でも有利です。

伝える内容は3つで足ります。何に使っているか、何を入れていないか、どのサービスを使っているか。この3点を1枚にまとめておけば、質問されたときにも同じものを出せます。

顧問先が社内AIを使っている場合

顧問先の側で生成AIを導入しているケースも増えています。その場合、事務所から渡したデータが顧問先の社内AIに投入される可能性があります。渡す資料の粒度と、顧問先側での取扱いについて、一度話しておくとよい論点です。

個人別の賃金台帳や出勤簿を渡している場合、それが社内AIに読み込まれることは想定しておくべきです。顧問先の社内ルールづくりを支援する立場から関わっておくと、事務所側のリスクも下がります。

もし事故が起きたら

最初に確認すること

何が、どの範囲まで、どこへ出たのか。この3点を先に確定させます。慌てて顧問先に連絡すると、範囲が分からないまま不正確な説明をすることになり、後で訂正が必要になります。

確認と並行して、同じことが続かないよう該当のサービスやアカウントの利用を止めます。原因が分かる前でも、拡大の防止は先に行います。

報告の義務

個人データの漏えい等が発生し、一定の要件に当たる場合には、個人情報保護委員会への報告と本人への通知が義務づけられています。委託を受けて取り扱っているデータについては、委託元である顧問先に通知することで、事務所側の報告義務が果たされる整理があります。実際の対応は要件の当てはめが必要になるため、発生時には委員会の公表資料を確認し、必要に応じて専門家に相談してください。

小規模事務所での現実的な進め方

最初に決める3つだけ

規程を整えてから使い始めようとすると、いつまでも始まりません。まず決めるのは、使ってよいサービス、入れてよいデータ、迷ったときの扱い。この3つをA4で1枚にして、全員に配ります。

この1枚があるだけで、職員が個人アカウントで無料サービスに顧問先データを貼り付ける、という最も起きやすい事故はかなり防げます。細かい規程は、運用しながら足していけば構いません。

守れる形にしておく

ルールが守られない理由の多くは、守ると仕事が進まないからです。マスキングの手順が面倒なら、置き換え済みのフォーマットを用意する。事務所のアカウントが使いにくいなら、そこを改善する。禁止事項を増やすより、決めた道が一番楽になるようにするほうが効きます。

年に一度、ルールを見直す日を決めておくのもおすすめです。サービスの規約も機能も変わりますし、業務での使い方も1年で変わります。

業務の場面別に見る判断

ルールを表で決めても、実際の業務では「この場合はどうか」が出てきます。社労士事務所でAIを使いたくなる場面を挙げて、それぞれどう扱うかを整理しておくと、判断が早くなります。

そのまま使ってよい場面

就業規則の条文案を検討する、届出書類の記載方法を確認する、法改正の内容を要約させる、顧問先向けの案内文のたたき台を作る。これらには個人情報が含まれません。事務所の中で最も頻度が高く、かつ最も安全な使い方です。

ただし、就業規則の条文案でも、特定の従業員の事情に合わせた記述を入れると個人情報になり得ます。「Aさんの事情に対応する条文を」ではなく「こういう働き方に対応する条文を」という形で聞くのが基本です。

加工してから使う場面

個別の労務相談の整理、給与計算結果の妥当性の確認、離職状況の分析。これらは個人別のデータが絡みますが、氏名や番号を置き換える、あるいは集計してしまえば扱えるようになります。

顧問先からの相談メールをそのまま貼り付けて回答案を作らせる、という使い方は避けたほうが安全です。メールには氏名・部署・具体的な事情が入っています。相談の要点だけを自分で書き直してから入力する、というひと手間が必要です。

使わない場面

マイナンバーを含む書類の処理、健康情報や病歴に関わる相談、ハラスメント調査の記録。これらは加工の有無にかかわらず入れないという線を引いておきます。特に要配慮個人情報に当たるものは、取扱いの要件が厳しいため、AIサービスへの入力は想定外と考えるべきです。

ルールを職員に定着させる

文書を作って配っただけでは、ルールは守られません。守られない状態が続くと、事務所として「安全管理措置を講じていた」と説明することも難しくなります。定着させるための現実的な方法を3つ挙げます。

禁止事項ではなく手順として伝える

「個人情報を入れてはいけない」だけでは、目の前の作業で何をすればよいか分かりません。「相談内容を整理するときは、この置き換え済みフォーマットに書き写してから入力する」という手順の形にすると、そのとおりに動けます。

禁止事項は破られたかどうかが分かりませんが、手順は使われたかどうかが残ります。この差が、後から確認するときに効いてきます。

相談しやすい状態にする

「これは入れてよいですか」と聞ける空気があるかどうかで、実際の運用は大きく変わります。聞いたら怒られる、面倒がられると感じていれば、職員は自分で判断してしまいます。判断を委ねないためのルールが、判断を委ねる結果になります。

月に一度、5分でも「今月AIで困ったこと」を共有する時間を作ると、想定していなかった使い方が見えてきます。ルールの穴は、この場で見つかることがほとんどです。

年に一度は見直す

サービスの規約も機能も変わります。事務所での使い方も1年で変わります。見直す日を先に決めておかないと、作ったときのまま何年も放置されることになります。

「入れない」だけで運用が回るのか

個人が特定できるデータは入れない、という線を引くと「それではAIを使う意味が半減するのでは」という疑問が出ます。実際のところ、社労士業務でAIが効く場面の多くは個人情報を必要としません。

個人情報がなくても成立する業務が多い

制度の確認、条文案の検討、案内文の作成、手続きの手順整理、顧問先への説明資料づくり。これらは事務所の作業時間の中で決して小さくない割合を占めており、いずれも氏名や番号を必要としません。

逆に、個人別データが必要な作業——給与計算の実行、届出の作成、資格の判定——は、生成AIに任せる領域ではなく、既存の業務システムと確認手順の領域です。役割が違うので、そもそも競合しません。

データを扱う自動化とは分けて考える

勤怠データの取り込みや給与計算結果の突合のように、個人別データを扱う処理は、外部の生成AIサービスに送らずに手元で完結させる形が基本です。表計算のマクロや専用ツールで処理すれば、そもそも外部にデータが出ません。

「AI活用」と一括りにすると判断が難しくなりますが、外部サービスに文章を投げる使い方と、手元でデータを処理する自動化は、情報管理の観点ではまったく別物です。この2つを分けて考えると、どこに気をつければよいかがはっきりします。

ベストプランナーでは、ITコーディネータが社労士事務所のAI利用ルールづくり（使ってよいサービスの選定、入力データの線引き、顧問先への説明資料の整備）から、業務への組み込みまでを一緒に進める伴走型の支援を行っています。デジタル化・AI導入補助金の活用可否もあわせて確認できます。AI導入・活用のご相談はこちら

よくある質問

Q. 無料のサービスを業務で使ってはいけませんか

個人情報を含まない用途に限れば使えます。ただ、無料プランは入力内容が学習に使われる設定が既定になっていることがあり、線引きを職員が毎回判断することになります。業務では事務所契約のサービスに一本化するほうが、結果として運用が楽になります。

Q. 顧問先に説明すると不安がられませんか

説明の仕方によります。「AIを使っています」ではなく「個人が特定できるデータは入れずに、制度の確認や文書のたたき台づくりに使っています」と用途と線引きをセットで伝えれば、むしろ管理ができている印象になります。何も言わずに後から知られるほうが問題です。

Q. 職員が個人のアカウントを使っているようです

叱責より先に、なぜ使っているのかを確認してください。事務所のアカウントがない、使いにくい、必要な機能がない、といった理由が多くあります。禁止だけを伝えると隠れて使われるので、事務所として使える環境を整えたうえでルールを示すほうが確実です。

Q. マスキングすれば何を入れてもよいですか

氏名を置き換えても、他の情報と組み合わせて特定できる場合があります。小規模な会社では、部署・年代・入社年だけで個人が分かってしまいます。マスキングは万能ではないという前提で、そもそも個人別のデータを入れる必要があるかを先に検討してください。

Q. 顧問契約書に再委託の条項がありません

条項がない場合でも、個人が特定できるデータを入れない運用にしていれば、実務上の懸念は小さくなります。並行して、契約更新のタイミングで個人情報の取扱いに関する条項を整備しておくと、今後の判断が楽になります。

Q. ルール文書はどのくらいの分量が必要ですか

最初はA4で1枚に収まる分量で十分です。使ってよいサービス、入れてよいデータ、迷ったときの扱い。この3つが書かれていれば機能します。分厚い規程は作るのに時間がかかり、作った後も読まれません。

Q. 情報漏洩が心配で導入に踏み切れません

個人情報を含まない用途から始めるという選択肢があります。制度の確認、文書のたたき台、就業規則の条文検討。この範囲なら個人データの取扱いになりません。使いながら判断の勘所がつかめてから、次の範囲を検討すれば十分です。

Q. クラウドの給与ソフトにAI機能が付きました。これは大丈夫ですか

すでに顧問先データを預けているサービスの中でAI機能が動くのであれば、データの行き先は増えていません。確認したいのは、その機能の処理が外部の事業者に渡る形かどうかと、入力内容が学習に使われるかどうかです。提供元の説明資料に記載があるはずなので、導入前に確認しておきます。

Q. 事務所として何から手をつければよいですか

使ってよいサービスを1つ決めることです。ここが決まっていないと、他のルールがすべて機能しません。事務所として契約したサービスを用意し、それ以外は業務で使わないと伝える。この1点だけでも、実務上のリスクはかなり下がります。

まとめ｜線を引いてから使い始める

情報漏洩の不安でAIの活用が止まっている事務所は少なくありません。ただ、漏れる経路を整理してみると、学習への利用よりも、職員の利用方法と出力の取り扱いのほうが実際には起きやすいことが分かります。

対策の中心は、使ってよいサービスを限定することと、個人が特定できるデータは入れないという線を引くことです。この2つを事務所のルールとして文書化すれば、実務上のリスクは大きく下がります。

まずはA4で1枚、使ってよいサービスと入れてよいデータを書き出すところから始めてみてください。個別の法的判断が必要な場面では、個人情報保護委員会の公表資料や専門家への確認と併せて進めることをおすすめします。

関連記事

AI導入支援は誰に頼めばいいのか｜支援者の見分け方と依頼前の準備
社労士事務所のAI導入｜生成AIが効くのは「データを整えて確かめる仕事」

ご相談はこちら：AI導入支援サービス／お問い合わせ