AI時代のセキュリティとガバナンス

1. 情報の入れ方 — 何をAIに渡してよいか

経理財務の情報の多くは、社外に出れば損害につながるものです。未公表の決算数値、取引先名や契約条件、個人情報（給与・マイナンバーなど）は、会社が認めたAI環境以外に入力しないのが原則です。

実務上の目安は次の3段階です。そのまま渡してよいものは、会計基準・法令の条文、公表済みの有価証券報告書、社内で一般化した業務手順など、社外の人が見ても困らない情報。加工すれば渡せるものは、取引先名をA社・B社に置き換えた取引の概要、金額の桁を丸めた数値など。原則渡さないものは、未公表数値の生データ、個人情報、契約書の原本です。

利用するサービスについては、入力内容がAIの学習に使われない設定（オプトアウト）になっているか、法人契約か個人契約かを確認してください。法人向けプランは一般に学習に使わない契約になっていることが多いですが、契約書と管理画面で実際に確認することが大切です。

1-2. AIに送るとき、送らないとき — プログラムを作る場合

Claude CodeやPythonを使う活用例では、「自分のパソコンで動くから、データは外に出ない」と説明されることがあります。この説明は、半分しか合っていません。2つの場面を分けて考える必要があります。

業務で毎月動かすのは下の段です。しかしプログラムを作る段階では、多くの場合、上の段が起きています。列名を見せた、サンプル行を貼った、エラーメッセージをそのまま貼った ― これらはすべて送信です。エラーメッセージには、取引先名や金額が含まれていることがよくあります。そこで、次の4つを守ってください。

1. 開発は架空データで行う。取引先名・金額・担当者名をダミーに置き換えたものを使います。列の構成さえ同じなら、プログラムは作れます。
2. 本番データをAIに読ませてよいかは、社内ルールを確認する。会社が認めたAI環境かどうかで扱いが変わります。分からないときは、確認するまで渡さない。
3. 個人情報・機密情報は渡さない。未公表の決算数値、取引先ごとの金額、口座情報、個人名。
4. ログに機密情報を残さない。プログラムが出す実行ログには、行番号と項目名だけを書き、値そのものは書かない設計にします。ログは消し忘れて共有フォルダに残りがちです。

エラーメッセージをAIに貼るときも同じです。貼る前に、取引先名と金額の部分を伏せてください。

2. 出力の検証と責任 — AIの答えは「下書き」

AIは、もっともらしい文章を作ることが得意な一方で、存在しない条文番号や、実際とは違う数字を自信ありげに書くことがあります（これをハルシネーションと呼びます）。経理財務では、数字と根拠がすべてですから、AIの出力は常に「下書き」として扱い、次の3点は必ず人が原本と照合します。

• 金額・日付・登録番号：請求書、元帳、契約書などの原本と突き合わせる。
• 根拠となる条文・基準の項番号：企業会計基準委員会（ASBJ）、日本公認会計士協会、e-Gov法令検索などの一次情報で確認する。
• 判断そのもの：会計処理の選択や見積りは会社の判断であり、AIが決めるものではない。最終責任は担当者と承認者にある。

このサイトの各活用例では、「AIに任せること」と「人が判断すること」を必ず分けて書いています。境界を曖昧にしないことが、実務でAIを安全に使う一番の近道です。

3. 社内ルールと証跡 — 監査で説明できる形にする

AIを業務に組み込むなら、「誰が・何のために・どのAIを・どう使ってよいか」を社内ルールとして決め、利用した記録を残します。特に決算・開示に関わる作業では、AIに渡した指示文（プロンプト）と得られた出力を保存し、人がどこを修正したかが追えるようにしておくと、内部統制（J-SOX）や監査法人への説明が容易になります。

AIを使ったこと自体を隠す必要はありません。むしろ「AIで下書きし、人が原本と照合し、上長が承認した」という流れを文書化しておくことが、統制として評価されます。

情報時点と改訂について

このページは2026年9月時点の考え方をまとめたものです。AIサービスの利用規約や政府ガイドラインは変わりやすいため、半年に一度を目安に見直します。改訂内容は更新履歴に記載します。