経理部門の生成AI利用ルールに定める項目｜入力してよい情報の区分・ログ・承認者

目次

1. 経理部門の生成AI利用ルールに定める項目
2. 経理が扱う情報の区分と入力の可否
3. 未公表の決算情報に関する金融商品取引法の規定
4. 個人情報とマイナンバーに関する法令の規定
5. 利用するサービスとプランの要件
6. 利用ログの保存
7. 帳簿と開示書類に使う出力の承認者
8. 社内規程に転記する条項例
9. よくある質問
10. 参考資料

この記事の要点

経理部門の生成AI利用ルールには、入力してよい情報の区分、会社が契約したサービスとプランの指定、利用ログの保存方法、帳簿や開示書類に使う出力の承認者の4項目を定めます。取引先情報、給与・人事情報、未公表の決算情報、マイナンバーは根拠法令が異なるため、区分ごとに可否と条件を書き分けます。

総務省・経済産業省の「AI事業者ガイドライン（第1.2版）」はAI利用者に対し、個人情報や機密情報をAIサービスに不適切に入力しないよう求めています（U-4、U-5）。個人情報保護委員会は令和5年6月2日の注意喚起で、個人データを含むプロンプトが利用目的の範囲内か、提供事業者が機械学習に利用しないかを確認するよう求めています。

経理部門の生成AI利用ルールに定める項目

全社向けの生成AI利用ガイドラインを置いている会社は増えましたが、経理部門には全社ルールだけでは判断できない事項が残ります。取引先の請求書、従業員の給与データ、公表前の月次と四半期の数値、源泉徴収票に載せるマイナンバーは、いずれも経理が毎月扱う情報で、根拠となる法令がそれぞれ違うためです。全社ルールの「機密情報を入力しない」という一文だけでは、担当者は月次の試算表を入れてよいのかを判断できません。

総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」（令和8年3月31日）は、事業活動においてAIシステムやAIサービスを利用する事業者をAI利用者と定義し、第5部でAI利用者に求める事項を挙げています。「個人情報の不適切入力及びプライバシー侵害への対策」（U-4）では個人情報をAIサービスに不適切に入力しないよう注意を払うことを、「セキュリティ対策の実施」（U-5）では機密情報を不適切に入力しないよう注意を払うことを、「提供された文書の活用及び規約の遵守」（U-7）ではAI提供者のサービス規約を守ることを求めた資料です。この3点を経理の業務に当てはめると、ルールに定める項目は次の表のようになります。

経理が扱う情報の区分と入力の可否

経理が生成AIに入れたくなる情報は、適用される法令の違いで区分すると5つです。区分ごとに、無料プランや個人契約のサービスへの入力と、会社が契約し学習に使わない設定のプランへの入力を分けて定めます。次の表は編集部の整理で、各社の情報管理規程や監査法人との協議に合わせて調整が必要です。

取引先情報で判断が分かれるのは、秘密保持契約の文言です。取引先との契約に「第三者に開示しない」という条項があるとき、生成AIサービスの提供事業者への入力が開示に当たるかは契約の定義によって変わります。契約で委託先や業務上のサービス提供者への開示が認められているかを法務部門が確認したうえで、認められていない取引先の情報は社名を伏せる運用にします。

未公表の決算情報を生成AIに入れるかどうかは、社内の情報管理の方針で決める事項です。一律に入力を禁じる会社もあれば、条件を付けて認める会社もあります。認める場合でも、会社契約のプランであることだけを条件にはしません。月次決算の増減分析に生成AIを使う手順の記事で扱ったとおり、増減分析のような用途は実務上の利点が大きい一方で、公表前の数値そのものを社外のサーバーに送る行為になります。用途ごとに情報管理の責任者が認め、入力した日と内容をログに残す条件を付けます。

未公表の決算情報に関する金融商品取引法の規定

上場会社と上場準備会社の経理が扱う公表前の決算数値は、金融商品取引法第166条第2項第3号の重要事実に当たる場合がある情報です。同号は、売上高、経常利益、純利益等について、公表された直近の予想値（予想値がない場合は前事業年度の実績値）と比べて、新たに算出した予想値または当事業年度の決算に差異が生じたことを重要事実に含めています。対象となるのは、投資者の投資判断に及ぼす影響が重要なものとして内閣府令で定める基準に該当する差異に限られます。同条第4項の公表は、政令で定める措置がとられたこと、または所定の書類が公衆の縦覧に供されたことです。

第166条第1項第1号は、上場会社等の役員や使用人が職務に関して重要事実を知ったときに、公表前の売買等を禁じる規定です。経理担当者が決算数値を生成AIに入力する行為そのものは、売買をしない限り同条の禁止行為には当たりません。第167条の2第1項が禁じる伝達も、他人に利益を得させ、または損失を回避させる目的をもって行うものに限られます。生成AIへの入力でただちに違反が成立するわけではないものの、公表前の重要事実が社外のサーバーに保存され、提供事業者の従業員が閲覧できる状態になる点が、内部者取引の管理上の問題として残ります。

フェア・ディスクロージャー・ルール（第27条の36第1項）は、上場会社等やその役員等が、業務に関して取引関係者に未公表の重要情報を伝達した場合に、同時に公表することを義務づける規定です。同項の取引関係者は、金融商品取引業者、登録金融機関、信用格付業者、投資法人その他内閣府令で定める者（第1号）と、投資者向け広報の業務に関して重要情報の伝達を受け、売買等を行う蓋然性の高い者として内閣府令で定める者（第2号）です。生成AIサービスの提供事業者はこの2つの区分のいずれにも含まれないため、入力は同項が公表義務の対象とする伝達には当たりません。ただし、利用ルールの検討では、第166条と第27条の36の両方について、情報管理の責任者が社内の内部者取引防止規程との関係を確認した記録を残しておくと、上場審査や監査法人への説明に使えます。

以上を踏まえ、未公表の決算情報の入力条件は、会社契約で学習に使わないプランであること、提供事業者が入力内容を保持する期間を確認済みであること、用途と期間を情報管理の責任者が承認していること、入力の記録を残すこと、の4条件に絞ると規程に書きやすくなります。

入力を認める場合に、4条件とは別に運用で決めておく点は次のとおりです。

• 入力する範囲を必要最小限にする。会社名・事業部名・取引先名を伏せ、科目別の集計値や前月比の比率など、分析に必要な粒度にとどめる
• 入力する担当者を、内部者取引防止規程で未公表の重要事実を扱う者として把握している範囲に限る
• チャットの履歴や出力ファイルの保存場所と閲覧できる者を決め、公表後の扱い（削除するか、記録として残すか）を定める
• 決算発表や業績予想の修正の直前など、情報が特に重要になる期間に入力を止めるかを決める

入力を禁じる方針の会社では、増減分析に使う場合でも金額を指数や比率に置き換えたデータを使う、社内の環境だけで動くツールを使う、といった代わりの方法を利用ルールに書いておくと、担当者が判断に迷いません（以上は編集部の整理です）。

個人情報とマイナンバーに関する法令の規定

個人情報保護委員会の注意喚起

個人情報保護委員会は令和5年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表しました。別添1の個人情報取扱事業者における注意点では、個人情報を含むプロンプトの入力が、特定した利用目的を達成するために必要な範囲内であることを十分に確認するよう求めています。あわせて、本人の同意を得ずに個人データを含むプロンプトを入力し、提供事業者が応答結果の出力以外の目的で取り扱う場合は個人情報保護法に違反する可能性があるため、提供事業者が個人データを機械学習に利用しないことを十分に確認するよう求めています。

経理の給与データや取引先担当者の氏名は、会社が本人から取得した個人情報です。給与計算の目的で取得した情報を生成AIに入力する行為が利用目的の範囲内かは、各社の利用目的の公表内容によります。学習に使わないプランを使う場合でも、提供事業者が入力内容を一定期間保持するなら、個人情報保護法第25条の委託先の監督として、保持期間と安全管理の内容を確認した記録を残します。同法第23条が求める安全管理措置の一部として、生成AIへの入力ルールを位置づける整理です。

番号法による個人番号の利用範囲と提供の制限

マイナンバーは他の個人情報と扱いが異なります。番号法第9条第4項は、法令により他人の個人番号を記載した書面の提出等の事務を行う者が、その事務に必要な範囲で個人番号を利用できると定めています。経理が源泉徴収票や支払調書に個人番号を記載するのは、この範囲の利用です。第19条は、各号に該当する場合を除き何人も特定個人情報を提供してはならないと定め、第20条は、第19条各号に該当する場合を除き、他人の個人番号を含む特定個人情報を収集し、または保管してはならないと定めています。

生成AIに源泉徴収票のデータを入力すると、提供事業者のサーバーに個人番号を含む情報が保存されます。第19条第6号は特定個人情報の取扱いの委託に伴う提供を認めていますが、文章の下書きや集計のために生成AIサービスを使う行為を、個人番号関係事務の委託として契約と監督の体制を整えている会社はまれです。利用ルールでは、マイナンバーはプランの種類を問わず入力禁止とし、年末調整や支払調書の作業で生成AIを使うときは個人番号の列を削除したデータを使うことを明記します。

利用するサービスとプランの要件

「学習に使わない設定」は、提供事業者とプランによって既定値が違います。利用ルールに書くのは、会社が契約したサービス名とプラン名、設定の確認先となる各社の公式ドキュメントのページ名です。次の表は2026年10月20日時点で編集部が各社の公式ページを開いて確認した内容で、各社は内容を更新するため、規程の見直し時に再確認が必要です。

表のとおり、学習に使わない既定値は法人向けプランとAPIに共通していますが、入力内容の保持期間と管理者がログを見られるかはサービスごとに違います。利用ルールには、プランの指定に加えて、確認した公式ページの名前と確認日を規程の付属資料に残し、年1回の規程見直しで再確認する手順が必要です。個人契約のアカウントは、学習に使わない設定にできるサービスであっても、会社が設定の状態とログを確認できないため、業務利用を禁じます。

利用ログの保存

生成AIの利用ログは、提供事業者側の機能と社内の記録の2層で考えます。Microsoft 365 CopilotやChatGPT Enterpriseのように管理者がプロンプトと応答を確認できるサービスでは、提供事業者側の機能が1層目です。ただし、どの仕訳や開示文案にどの出力を使ったかは、会話ログだけでは分かりません。社内の記録として、出力を業務に使った案件ごとに次の項目を残します。

保存期間は、記録の目的に合わせて決めます。帳簿の作成に使った出力の記録は、帳簿書類の保存期間に合わせて保管するのが分かりやすい整理です。J-SOXの評価対象となる業務で使った記録は、評価の証憑として評価年度の記録と同じ期間を保存します。記録の様式は、社内に既にある業務日報や案件管理表に項目を足す形でもかまいません。

帳簿と開示書類に使う出力の承認者

生成AIの出力を仕訳、注記、開示書類に使うときの承認には、従来の作成者と承認者の区分をそのまま適用できます。出力を作成者の下書きと同じ扱いにすれば、既存の承認フローで足りるという理由です。経理のAI活用と内部統制の記事で整理した、AIの出力を人が承認してから確定する運用と、AIの出力がそのまま確定する運用の区分でいうと、経理の生成AI利用は前者に限る、と規程に書きます。

注記と開示書類の文案については、生成AIが会計基準の条文番号や文言を誤って出力することが珍しくありません。承認者が見るのは文案だけでなく、作成者が原典で確認した記録（条文番号と確認日）です。承認の記録は前節の利用記録台帳と結びつけ、どの出力が最終版のどの箇所に残ったかを追えるようにしておきます。

社内規程に転記する条項例

以上の内容を社内規程の条項に落とした例が次の表です。条項例は編集部が作成したもので、各社の情報セキュリティ規程、内部者取引防止規程、特定個人情報取扱規程との重複や用語の違いを整えて使います。

条項例の別表には、サービス名、プラン名、契約の名義、学習への利用の有無、保持期間、管理者の閲覧範囲、確認した公式ページ名、確認日を載せます。前々節の表がその雛形です。監査法人や上場審査で生成AIの利用を聞かれたときは、規程本文と別表、利用記録台帳の3つを示せば、何を入れてよいと決め、どう記録し、誰が承認しているかを説明できます。

よくある質問

参考資料

1. 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編（概要）令和8年3月31日（第5部 AI利用者に関する事項 U-4、U-5、U-7） （最終確認 2026年10月20日）
2. 総務省・経済産業省「AI事業者ガイドライン（第1.2版）」本編 令和8年3月31日（用語の定義 AI利用者、表1） （最終確認 2026年10月20日）
3. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」令和5年6月2日（別添1 個人情報取扱事業者における注意点） （最終確認 2026年10月20日）
4. 金融商品取引法 第166条（会社関係者の禁止行為）e-Gov法令検索 （最終確認 2026年10月20日）
5. 金融商品取引法 第167条の2（未公表の重要事実の伝達等の禁止）e-Gov法令検索 （最終確認 2026年10月20日）
6. 金融商品取引法 第27条の36（重要情報の公表）e-Gov法令検索 （最終確認 2026年10月20日）
7. 行政手続における特定の個人を識別するための番号の利用等に関する法律 第9条・第19条・第20条 e-Gov法令検索 （最終確認 2026年10月20日）
8. 個人情報の保護に関する法律 第23条・第25条 e-Gov法令検索 （最終確認 2026年10月20日）
9. OpenAI「Enterprise privacy」（2026年10月20日閲覧） （最終確認 2026年10月20日）
10. OpenAI Help Center「Data Controls FAQ」（2026年10月20日閲覧） （最終確認 2026年10月20日）
11. Anthropic Privacy Center「Is my data used for model training?」商用製品向け（2026年10月20日閲覧） （最終確認 2026年10月20日）
12. Anthropic Privacy Center「Is my data used for model training?」消費者向け（2026年10月20日閲覧） （最終確認 2026年10月20日）
13. Microsoft Learn「Microsoft 365 Copilot のデータ、プライバシー、セキュリティ」（2026年10月20日閲覧） （最終確認 2026年10月20日）

本記事は2026年10月20日時点で確認できた法令・資料に基づいています。個別の取引への当てはめは、顧問税理士や監査法人と確認してください。

無料の資料（Word）

経理部門における生成AI利用規程（ひな型）

経理部門で生成AIを使うときの規程のひな型です。入力してよい情報の区分、出力を帳簿・開示に使うときの承認者、ログの保存、AIエージェントの権限を条文と別表で定めています。

資料を受け取る

30分の無料相談

J-SOXの文書化と評価の支援

上場後に内部統制報告書を提出する会社の管理部長・経理責任者に向けて、評価範囲の決定から、業務記述書・フローチャート・RCMの作成、IT全般統制の文書化、整備状況と運用状況の評価調書の作成までを、監査法人に説明できる記録の形でお手伝いします。

本サイトの運営会社（株式会社プライムコンサルティング）の支援サービスです。

相談を申し込む支援内容を見る

あわせて読む記事

• 
  内部統制・監査2026.10.20

  経理のAI活用と内部統制｜IT統制ガイダンスの記載と監査法人に説明する記録

  AIの出力を人が承認してから確定する運用と、AIの出力がそのまま確定する運用で、監査法人に示す記録が変わります。

• 
  内部統制・監査2026.10.20

  自動仕訳を業務記述書・RCMに記載する方法｜起票者の扱いと承認証跡の残し方

  ルールやAIが作る仕訳は人が起票操作をしないため、業務記述書とRCMでは起票者の代わりにルールの設定者・承認者・証跡を書き分けます。

• 
  内部統制・監査2026.10.20

  クラウド会計のIT全般統制の評価項目｜SaaS側と自社の分担とSOC1報告書の確認範囲

  クラウド会計ではIT全般統制の大半を提供会社が担いますが、ユーザー権限の設計と変更記録、SOC1報告書の読み合わせ、報告書が利用者側に求める統制の運用は自社の仕事として残ります。

• 
  内部統制・監査2026.10.20

  監査法人はAIが作った資料をどう確かめるか｜監査証拠としての信頼性と会社が残す記録

  AIで作った明細や計算表は監査基準上の「企業が作成した情報」に当たり、監査人は元データからの網羅性と計算の正確性を確かめるため、会社は抽出条件・AIへの指示・検証結果を資料と一緒に残します。