顧問先からお預かりした決算データの一部をクラウド型の生成AIに入力し、 分析サマリーを作って提案資料に組み込んだ、 という場面を考えてみます。 資料の完成度は高く、 所内では成功事例として扱われることもあります。
後日、 顧問先側から「うちのデータをAIに入れたのですか」 と問い合わせが入る場面を想像してみます。 担当者の方が説明を準備していなければ、 その場で言葉を濁してしまうかもしれません。 成果物そのものに問題がなかったとしても、 顧問先が抱く感想は「便利そうですね」 ではなく「先に一言ほしかった」 に近づきやすい場面です。 法的には委託の範囲内で処理されていても、 心理的な距離感は別軸で動くことがあります。
業務の一部にAIを入れる流れ自体は、 今後も増えていきそうです。 そのうえで、 顧問先に「黙って使う」 か「説明してから使う」 かは、 信頼の積み上がり方に思いのほか効いてくるところです。 本稿では、AI利用を顧問先に説明したい場面と、 個別説明までは要らないと整理しやすい場面を、 個人情報保護法と士業の説明義務の観点から見ていきます。
顧問先固有のデータを扱うかどうかで線を引く
実務では、 「顧問先の固有情報を扱うかどうか」 で線を引くことが多いようです。
説明を入れる選択肢が出てくる場面の例です。
- 顧問先からお預かりしたデータ (= 決算書・申告書・名簿・契約書・取引明細など) をAIに入力する場面
- 顧問先個別の事情を踏まえた法的判断 (= 税務処理の選択・労務トラブルの方針・契約解釈など) の素案づくりにAIを使う場面
- AIの出力をそのまま顧問先向け資料・メール本文・提案書に反映する場面
- 顧問先のメールや音声を文字起こし・要約する場面
一方、 個別の説明を毎回入れるところまではいかない、 と整理しやすい場面の例です。
- 一般的な法令調査・公開判例の検索や下書き作成
- 事務所内のスケジュール調整・議事録ドラフト・社内メモ
- 一般公開されている情報をもとにした業界動向のリサーチ
完全な線引きは難しいところですが、 「顧問先の個人情報・機微情報に触れるか」 「最終的な判断の理屈にAIが関わるか」 を目安にすると、 説明の要否を決めやすくなります。
個人情報保護法上の通知・公表
個人情報保護委員会のガイドライン (= 通則編) では、 個人情報を取得する場合、 あらかじめ利用目的を公表している場合を除き、 速やかに利用目的を本人に通知または公表することが求められる、 と整理されています (= 法第21条)。 書面や契約から直接取得する場合は、 取得前に利用目的を本人に明示することが原則とされています。
また、 業務委託の範囲内で扱う場合は、 提供先が「第三者」 にあたらない一方、 委託元である事務所側に、 委託先 (= クラウドAIベンダ等を含む取扱の選択) への監督責任が生じる、 という枠組みで整理されています (= 個別事案の判断ではなく、 ガイドライン上の一般論として)。
このため、 顧問先の個人情報をAIに入力する運用を始める場面では、 次のようなことを一度棚卸しする選択肢があります。
- 顧問契約書やプライバシーポリシーで「利用目的」 にAIを使うことが含まれていると読めるか
- 入力先のAIサービスが委託先として適切に管理できるか (= 学習に使われない設定・国外移転・ログ保管などを含む)
あわせて、 個人情報保護委員会が2023年6月2日付で公表した「生成AIサービスの利用に関する注意喚起等」 では、 生成AIに個人情報を入力する際の留意事項が示されています。 法令上の通知義務とは別の軸ですが、 行政側の注意喚起にも一度目を通しておく価値はあります。
「説明できる状態」 を作っておく
各士業法上の守秘義務や、 契約上の善管注意義務との関係でも、 顧問先データの取扱方法は説明の対象になりやすい場面です。 特に、 顧問先側で「自分のデータがどこに送られているか分からない」 状態は、 たとえ法的には委託の範囲内に収まっていても、 心理的な距離感につながりやすいところです。
「説明したら使えなくなるのではないか」 と心配される場面もありますが、 公開相談や業界記事で扱われる頻度の高いテーマを踏まえると、 次のようなことを言語化して説明している事務所もあります。
- AIで一次ドラフトを作成し、 最終的な判断・確認は士業の方ご本人が行うこと
- 入力データの範囲と保管の方針
このような形で説明をしたところ、 「効率化に積極的な事務所」 として評価につながった、 という話を聞くこともあります。 「使うこと」 自体より、 「説明できない状態で使っていること」 のほうが顧問先との関係に影響しやすい場面です。
説明の重さは、 業務の性質に応じて分けることになります。 重め (= 個別同意・書面に近い説明) の選択肢が出てくる場面は、 顧問先固有データを使った新しいAIの使い方を始めるとき、 外部AIベンダーへのデータ送信を伴う運用を新しく入れるとき、 機微情報 (= 健康・人事・係争中の案件など) を扱う場面などです。 軽め (= 既存のプライバシーポリシー・利用規約・年次案内への反映で足りる) で済ませやすいのは、 すでに運用中のクラウド業務システムに含まれるAI機能 (= メール下書き支援など) 、 公開情報のみを扱うリサーチ・ドラフト用途、 内部業務効率化 (= 顧問先情報を含まない議事録要約など) です。 線引きに迷う場面では重め寄りに倒したほうが事務所側の負担は小さくなりますが、 運用負荷も増えるところがあります。 業務メニューごとに整理しておくと、 現場が動きやすくなります。
同意書・契約書への組み込み
口頭の説明だけに寄せると、 担当者や時期によって伝え方がぶれることがあります。 顧問契約書・業務委託契約書・プライバシーポリシー・サービス案内のいずれかにAIを使う方針を明文化しておくと、 説明の漏れと顧問先間のばらつきを抑えやすくなります。
明文化するときに置いておきたい項目の例です。
- AIを使う目的 (= 業務効率化・分析補助・ドラフト作成など)
- 入力するデータの種類と範囲
- 利用するサービスの種別 (= 社内環境 / 外部クラウド / 個人情報を学習に使わない設定の有無)
- 出力に対する人的レビューの方針
- AIを使うことを希望されない顧問先向けの選択肢の有無
同意書を取り直すか、 既存契約の更新時に反映するかは、 顧問先との関係性や案件の規模で判断が分かれる場面です。 後者を選ぶ場面では、 改定タイミングまでの間のスタンスを内部で整理しておくと、 担当者間で揃えやすくなります。
説明を裏付ける運用
AIを使うことの説明は、 「説明すれば終わり」 ではなく、 説明した内容を技術・運用の両面で裏付けられる体制が前提になります。 説明の前提として、 事務所内で次のようなことを確認しておく場面が出てきます。
- 入力データが学習に再利用されない設定で運用できているか (= エンタープライズ契約・APIモード等の選定)
- アクセス権限・操作ログが残り、 誰がどの顧問先データをAIに入力したか追跡できるか
- 海外データセンター経由になる場合、 越境移転の説明と顧問先の理解が得られているか
- 顧問先から「自分のデータをAIから消してほしい」 と言われたときに対応できる体制になっているか
- 退職者・委託終了時のアカウント・ログ・データの後始末の手順が定義されているか
説明文を作る作業よりも、 説明を裏付ける運用と契約設計のほうに手間がかかる領域です。
「もし問われたら5分で説明できるか」
冒頭の場面に戻ってみると、 焦点は「AIを使ったこと」 ではなく「使ったことを説明できる状態を作っていなかったこと」 のほうにありそうです。
顧問先のデータに触れる場面・最終判断の理屈にAIが関わる場面では、 説明を入れたほうが信頼を積み上げやすいところです。 一方、 社内事務や一般公開情報の整理にとどまる範囲では、 毎回の個別説明よりも、 運用ルールと年次案内で枠組みを示しておく、 という形にしている事務所もあります。 線引きに迷ったときは、 「もし顧問先からその場で問われたら、5分で説明できるか」 を一つの目安にすると、 業務メニューごとの説明の設計が進めやすくなります。
参考
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」 (2023年6月2日): https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン (通則編) 」: https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
- 経済産業省・総務省「AI事業者ガイドライン」 関連ページ: https://www.soumu.go.jp/main_sosiki/kenkyu/ai_network/02ryutsu20_04000019.html