弁護士や税理士に業務を委託している中小企業の経営者の中で、「委託先が生成AIをどのように使っているか」を把握している方はどれほどいるでしょうか。
法律事務所や税理士事務所でも、業務効率化を目的とした生成AIの導入が急速に広がっています。文書作成の補助、法令調査、税務書類のドラフト生成など、活用の幅は年々拡大しています。しかし、依頼側の中小企業経営者にとっては、自社の機密情報や従業員・顧客の個人情報がクラウドAIサービスに入力されているかどうか、把握できていないケースが少なくありません。
この記事では、弁護士・税理士との委託契約において事前確認が必要な生成AI利用の論点と、中小企業が取るべき対応方針を解説します。長年の顧問関係を損なわずに情報管理リスクを適切に管理するための実践的な判断材料を提供します。
「委託先の生成AI利用」が経営課題になる3つの背景
弁護士や税理士は、職業上の守秘義務を法律で定められています。弁護士は弁護士法第23条、税理士は税理士法第38条によって、職務上知り得た秘密を漏洩することが禁じられています。この守秘義務は、依頼人と士業の間の信頼関係の根幹をなすものです。
しかし生成AIの普及により、この守秘義務の解釈に新しい論点が浮上しています。
背景1：クラウドAIへの情報送信と守秘義務の関係
ChatGPTやClaude（クロード）などのクラウド型生成AIサービスに顧客情報を入力する行為が、守秘義務が禁じる「秘密の漏洩」に該当するかどうかについて、現時点では明確な司法判断が確立していません（2026年4月時点）。各士業の職業団体がガイドラインの策定を進めていますが、まだ統一基準のない状況です。委託先が「法的に問題なし」と判断していても、依頼側企業のリスク感度とのズレが生じている可能性があります。
背景2：個人情報の委託先管理義務
個人情報保護法では、個人情報の処理を外部委託する場合に、委託元が委託先を適切に監督しなければならないとされています。弁護士や税理士への業務委託に、従業員の給与データや顧客情報が含まれる場合、委託元（中小企業）にもその管理について責任が生じます。「士業に任せていた」では、情報管理責任を果たしたことにはなりません。
背景3：AI生成成果物の品質リスク
生成AIは、存在しない判例や法令番号を誤って出力する、いわゆる「ハルシネーション」が起きることがあります。委託先がAI生成の分析結果を十分に確認せずに提供した場合、契約書の誤記や税務申告の誤りにつながるリスクがあります。委託側の中小企業が成果物の根拠を確認する機会もないため、問題の発見が遅れる場合があります。
これら3つの背景を踏まえると、弁護士・税理士への委託契約においても、生成AI利用に関する事前確認が経営上の課題として浮上しています。
委託契約で確認すべき生成AI利用の4つの論点
弁護士・税理士との委託契約において、生成AI利用に関して確認すべき主な論点は4つあります。
論点1：使用しているAIサービスの種類と情報の取り扱い
委託先がどのようなAIサービスを使っているかを確認します。クラウド型（ChatGPTやClaudeなど）と、情報を外に出さない社内専用AI（ローカルLLM）では、情報の取り扱いが根本的に異なります。
クラウド型は利便性が高い反面、入力した情報がサービス提供者のサーバーに送信されます。情報を外に出さない社内専用AIは、インターネットに接続せずAIを動かすため、外部への情報流出が発生しにくいという特長があります。
確認すべきポイントとして次の点が挙げられます。
・利用サービス名と利用プラン：無料プランか有料プランか。有料プランでも入力情報の学習利用設定が無効化されているかどうか
・情報の保存場所：入力した情報が、どの国や地域のサーバーに保存されるか（国外サーバーへの保存は法的リスクが高い場合がある）
・社内専用AIの有無：機密性が特に高い業務で、情報を外に出さない社内専用AIを導入しているかどうか
論点2：生成AIの利用範囲の明確化
委託業務の中で、どの作業に生成AIを使っているかを確認します。「一般的な法令調査には使うが、依頼人固有の情報を含む文書作成には使わない」など、利用範囲が明確化されているかどうかが重要です。明確な利用ポリシーのない委託先は、担当者によって判断が異なっている可能性があります。
この確認は、委託先を審査するというより、双方のリスク管理認識をそろえるための対話として位置づけることが有効です。「弊社の業務では個人情報を含む資料を提供するため、AI入力の範囲について確認させてください」という形で問いかけると、相手も答えやすくなります。
論点3：依頼人への事前同意の取得状況
委託先が、生成AI利用について依頼人の同意を取得しているかどうかを確認します。先進的な士業事務所では、委任状や業務委託契約に「生成AIを利用することがある旨」を明記して同意を得ているケースがあります。このような対応をしている委託先は、情報管理への意識が高いと評価できます。
一方、こうした取り組みを行っていない委託先には、利用開始前に書面での確認と合意を求めることが有効です。この段階での書面化が、後のトラブル防止につながります。
論点4：AI生成成果物の品質確認プロセス
AI生成物に対して、人間の専門家が必ず確認・修正するプロセスが確立されているかどうかを確認します。「AIが作成した文書はすべて担当者がファクトチェックする」というルールが明文化されているか、または口頭でもそのような運用があるかを聞いてみましょう。
品質確認のプロセスが整っていない委託先では、AI利用によるミスが依頼人に到達するリスクがあります。特に契約書・税務申告書・法的意見書といった重要書類については、人間の専門家による最終確認が不可欠です。
守秘義務・情報管理の基礎：依頼側企業にも求められる視点
士業の守秘義務は法律によって定められた義務ですが、依頼側の中小企業にも情報管理の視点から対応が求められる面があります。
個人情報保護法では、個人情報の取り扱いを外部委託する場合、委託元は委託先を適切に監督しなければならないとされています。これは、士業への委託も対象になりえます。自社の顧客データや従業員情報を含む業務を弁護士・税理士に委託する場合、その情報がどのように処理されているかを把握することは、委託元としての義務の一部です。
【想定例：経理委託と個人情報の関係】
従業員20名の建設会社が税理士事務所に給与計算と決算業務を委託しているケースを想定します。毎月の給与データ（氏名・給与額・住所）が税理士事務所に提供されます。もし委託先の税理士がクラウドAIに入力して給与明細の文面を作成し、その入力内容がAIサービスの学習データとして利用された場合、建設会社側の個人情報管理責任が問われる場面が生じる可能性があります。
これはあくまで想定例ですが、「委託先の情報取り扱いは委託先の責任」とのみ考えていては、個人情報保護の観点で不十分なケースが出てきています。
守秘義務の解釈については、各士業団体が現在ガイドラインを整備している段階です（2026年4月時点）。弁護士会・税理士会によるAI利用指針の策定状況を把握しておくことで、委託先との対話における判断基準として活用できます。
情報取り扱いに関する書面を委託先と取り交わす際には、以下の内容を盛り込むことが考えられます。
・AI利用の原則：どのような業務でAIを使い、どのような業務では使わないかを明記する
・個人情報の入力禁止範囲：氏名・住所・マイナンバーなど特定の情報はAIに入力しないことを明示する
・学習データ非利用の確認：使用するAIサービスが入力情報を学習データに使わない設定であることの確認を求める
・業務終了後の情報削除：委託終了後にAIサービス上のデータを削除する手順を定める
クラウドAIと社内専用AIの違い：情報管理リスクを比較する
生成AIには大きく分けて「クラウド型AIサービス」と「情報を外に出さない社内専用AI」の2種類があります。委託先の士業がどちらを使っているかによって、情報漏洩リスクが大きく異なります。以下の比較表を参考に、委託先の状況を評価してください。
| 確認項目 | クラウド型AI（無料・標準プラン） | クラウド型AI（エンタープライズ・API） | 情報を外に出さない社内専用AI |
|---|---|---|---|
| 情報の送信先 | 外部サーバー（国外含む） | 外部サーバー（国外含む） | 自社サーバー内のみ |
| AI学習への使用 | 使用される可能性あり | 使用されない（設定による） | 使用されない |
| 情報漏洩リスク | 高 | 中（規約確認が必要） | 低 |
| 導入コスト感 | 低（無料～月数千円） | 中（月数万円） | 高（初期費用が必要） |
| 機密情報への適合性 | 低 | 中 | 高 |
| 委託先での普及度 | 高 | 中 | 少数 |
委託先がクラウド型AIを利用している場合は、エンタープライズプランまたはAPI利用（学習データ非利用設定あり）かどうかを確認することが最低限の確認事項です。情報を外に出さない社内専用AIを導入している委託先は、情報管理への投資意識が高いと評価できます。
一方で、「情報を外に出さない社内専用AIを導入していない＝情報管理が不十分」とは言い切れません。クラウド型AIを使いつつ、入力する情報の範囲を厳格に制限し、学習データ非利用の設定を適切に管理しているケースも存在します。重要なのはツールの種類ではなく、どのような運用ポリシーのもとで使われているかです。
委託先に生成AI利用を確認する際の進め方
実際に弁護士や税理士に生成AI利用について確認する際は、相手との信頼関係を維持しながら進めることが重要です。次の3つのステップを参考にしてください。
ステップ1：確認の目的を明確に伝える
「先生の業務能力を疑っているわけではなく、自社の情報管理体制を整備する一環として確認している」という趣旨を最初に伝えます。多くの士業にとって、依頼人が情報管理に真摯に取り組む姿勢は好意的に受け取られます。
「弊社では個人情報保護の強化に伴い、委託先の情報取り扱い状況を確認する取り組みを始めています」という切り口で話を始めると、相手も対応しやすくなります。
ステップ2：確認事項を書面で送付する
口頭確認は記録が残らないため、メールや書面で質問事項を送付し、回答を文書で得ることを推奨します。以下のような質問リストを参考にしてください（想定例）。
・生成AIの利用有無：当社の委託業務において生成AIを使用しているか
・使用サービス名と利用プラン：利用している場合、どのサービスをどのプランで使用しているか
・個人情報の取り扱い：依頼人の個人情報や機密情報をAIに入力しているか
・データ保護の設定：入力情報がAI学習データに使用されない設定になっているか
・品質確認プロセス：AI生成物に対して、専門家が必ず確認・修正しているか
ステップ3：回答内容に基づいて対応方針を決める
委託先からの回答を受けて、次の対応方針を検討します。
「AI利用なし、または十分な情報管理措置がある」場合は委託関係を継続します。「AI利用はあるが情報管理が不明確」な場合は、情報取り扱い覚書の締結または特定情報のAI入力禁止を求めます。「ポリシーがない、または確認を拒否」された場合は、情報管理意識の面から委託先の見直しを検討します。
覚書を締結する場合は、「どの情報をAIに入力してよいか・いけないか」「使用するAIサービスの条件」「AI生成物の品質確認義務」の3点を最低限盛り込むことが有効です。
よくある質問
Q1. 委託先に生成AI利用の確認を求めたら、顧問関係が悪化する可能性はありますか？
礼儀正しく確認を求めた場合に関係が悪化する可能性は低いです。現在、情報管理や個人情報保護への社会的関心が高まっており、多くの士業事務所も対応を進めています。逆に、確認を求めたことで対話が進み、より丁寧な情報管理の取り決めができるケースもあります。ただし、確認の意図が相手を責めるような文面にならないよう注意してください。
Q2. 委託先の税理士が「無料版ChatGPTを使っている」と回答した場合はどう対応すればよいですか？
まず、どのような情報を入力しているかを確認します。一般的な税制情報の調査のみに使い、依頼人固有の情報（氏名・財務数値・個人情報）は入力していない場合は、リスクは低く抑えられています。一方、依頼人固有の情報を無料プランに入力している場合は、「依頼人情報は入力しないか、または有料プラン（学習データ非利用設定）に移行する」よう求めることが適切です。合意内容を覚書に明記することで、文書化が可能です。
Q3. 生成AIを使っている委託先はすべてリスクが高いと考えてよいですか？
一概にリスクが高いとは言えません。AI利用自体ではなく、どのような情報をAIに入力しているかと、そのAIサービスの情報管理ポリシーが重要です。エンタープライズプランを利用してデータ保護を確保している事務所や、情報を外に出さない社内専用AIを導入している事務所は、むしろ情報管理の取り組みが進んでいると評価できます。
Q4. 委託先が守秘義務を負っていれば、生成AI利用のリスクは自動的にカバーされますか？
守秘義務そのものは継続して有効ですが、クラウドAIサービスへの情報入力が「第三者への提供」に該当するかどうかの解釈と、AIサービス事業者による情報利用のリスクは、守秘義務とは別の論点です。各士業団体はガイドラインを整備中で（2026年4月時点）、状況は流動的です。依頼側として確認・合意しておくことが有効な対策です。
委託契約前の確認チェックリスト
弁護士・税理士と委託契約を結ぶ前、または既存の委託先に確認を行う際のチェックリストです。以下の項目を順に確認してください。
・AI利用の有無を確認した：委託業務において生成AIを使用しているかどうかを確認済みである
・使用サービスと学習設定を確認した：利用しているAIサービス名と、入力情報が学習データに使用されない設定かどうかを確認済みである
・個人情報・機密情報の取り扱い範囲を確認した：自社の個人情報や機密情報をAIに入力しているかどうかを確認し、許容できる範囲を合意した
・品質確認プロセスを確認した：AI生成物に対して、専門家による確認プロセスが存在することを確認した
・覚書または契約書への記載を検討した：AI利用の条件について、書面で合意する必要があるかどうかを検討した
・同意の有無を確認した：委託先がAI利用について依頼人への同意取得を行っているかどうかを確認した
・情報管理ポリシーの文書を受領した：委託先が情報管理やAI利用に関するポリシー文書を持っている場合は、内容を確認した
・定期確認のスケジュールを設定した：年1回など、定期的な確認の機会を設けることを委託先に伝えた
このチェックリストは、既存の顧問先との関係見直しにも活用できます。AIツールは日々進化しており、半年前に確認した内容が現状と異なる場合もあるため、定期的な確認が有効です。
本記事のまとめ
弁護士・税理士との委託契約における生成AI利用の確認は、単なる技術的な問題ではなく、経営者として果たすべき情報管理の一環です。委託先の守秘義務は従来どおり有効ですが、生成AIを介した情報処理には新しい論点があります。
確認すべき4つの論点（AIサービスの種類・利用範囲・同意取得・品質保証）を把握したうえで、信頼関係を維持しながら委託先との対話を進めてください。覚書の締結や確認事項の文書化により、リスクを大幅に低減できます。
また、委託先の情報管理体制を確認することは、自社の情報管理意識の高さを示す機会にもなります。弁護士・税理士との関係を単なる業務委託ではなく、情報管理パートナーとして再構築する視点が、生成AI時代の中小企業経営に求められています。
自社の委託契約における生成AI利用の対応方針について、専門家への相談を検討される場合は、以下よりお問い合わせください。
