2023年1月3日 制定
当事務所は、労働・社会保険に関する法令に基づく事務手続その他の社会保険労務士業務（以下「本業務」という。）の遂行に当たり、顧問先企業およびそこで働く方々の個人情報、プライバシーおよび機密情報を取り扱います。AI技術を活用したシステム・サービスの業務利用が進むなか、当事務所においてもAIを適正に活用して業務の品質と生産性の向上を図るとともに、AIの利用に伴うリスクを適切に管理する必要があります。本方針は、全国社会保険労務士会連合会「社労士AI活用ガイドライン」（同ガイドラインが依拠する総務省・経済産業省「AI事業者ガイドライン」を含む。）を踏まえ、当事務所におけるAIの取扱いを含んだ個人情報等および情報セキュリティの対応方針として策定するものです。
第１章 総則
（目的）第１条
本方針は、当事務所がAIシステムおよびAIサービス（以下「AI」という。）を業務に利用するに当たり、個人情報の保護、プライバシーの尊重および情報セキュリティの確保のために遵守すべき事項を定め、もって顧問先企業等の信頼に応えることを目的とする。
（適用範囲）第２条
１ 本方針は、当事務所に所属する社会保険労務士、使用人その他の従業者（派遣労働者および業務委託先の従事者を含む。以下「職員等」という。）に適用する。
２ 業務におけるAIの利用は、別表1に掲げるサービスに限る。業務目的で私物端末または個人契約のAIサービスを利用してはならない。
（用語の定義）第３条
AI提供者：AIシステムをサービスとして提供する事業者（AI開発者を含む。）。
AI利用者：事業活動においてAIを利用する事業者。当事務所はこれに該当する。
個人情報・個人データ：個人情報保護法第2条第1項および第16条第3項に定めるものをいう。
プライバシー：個人の私事・私生活および個人の秘密等が他人から干渉・侵害を受けない権利をいう。マイナンバーおよび個人情報を目的外に使用されない権利を含む。
機密情報：外部に漏れることで企業に重大な不利益をもたらす秘密性の高い情報をいう。
インプット／アウトプット：当事務所がAIに入力する情報（プロンプトおよび添付データを含む。）／AIが出力する情報をいう。
（当事務所の立場および責任）第４条
１ 当事務所は「AI利用者」として、AI提供者が意図する適正な利用を行う。
２ AIは社会保険労務士の業務を補助する手段であり、その専門的判断を代替するものではない。AIに単独で判断させることなく、最終的な判断および責任は社会保険労務士が負う。
３ 当事務所は、社会保険労務士法、個人情報保護法、番号利用法その他の関係法令および本方針を遵守する。
第２章 安全性の確保
当事務所は、AI提供者からの情報提供を踏まえ、AIの活用により生じ得るインシデント、情報セキュリティ侵害およびプライバシー侵害について、顧問先企業等と協力して予防措置および事後対応に取り組む。
（利用するAIおよび活用範囲）第５条
１ 業務に利用するAIは、別表1に掲げるサービスに限る。
２ AIは、資料の作成、文章の要約および校正、情報の収集、論点の整理、データの集計・整理その他業務の補助に用いる。
３ AIの出力は、社会保険労務士が内容を確認した上で用いる。法令、通達、判例、統計その他の事実に関する記載は、一次情報により裏付けを確認する。
（AI利用の便益およびリスク）第６条
当事務所は、AIの利用による便益（業務処理時間の短縮、記載漏れの防止、検討の網羅性向上等）を認識しつつ、事実と異なる出力（ハルシネーション）、学習データに起因するバイアス、入力情報の学習利用・第三者開示、サイバー攻撃による情報漏洩等のリスクが存在することを前提に運用する。
（年次点検および利用状況の確認）第７条
１ AI管理責任者は、年1回、毎年10月に、利用中のAIについて次の事項を点検し、その結果を記録する。
（１）AI提供者が公表する仕様、機能および利用規約の変更の有無（学習利用、データ保持期間または第三者提供に関する条項に変更があった場合は、直ちに利用の可否を再判断する。）
（２）セキュリティに関する告知および脆弱性情報の有無
（３）別表1の記載内容との齟齬の有無
２ AI管理責任者は、AIの利用が本方針に定める範囲および方法により行われているかについて、年1回、前項の年次点検に併せて確認し、その結果を記録する。確認は、利用状況の確認および職員等への聴取により行う。
３ AI提供者からアップデートの案内があった場合は、内容を確認の上、速やかに適用する。
４ AI管理責任者および職員等は、全国社会保険労務士会連合会および所属社会保険労務士会の提供する情報、関係省庁・機関（経済産業省、個人情報保護委員会、IPA等）の公表情報並びに利用中のAI提供者の公表情報を参照し、AIに関する知識の習得に努める。
（AI提供者への連絡方法）第８条
インシデントが発生した場合またはその予兆を認めた場合、AI管理責任者は、別表1に記載する連絡先により、遅滞なくAI提供者に連絡する。連絡に当たっては、発生日時、事象の内容、影響範囲および当事務所が既に講じた措置を伝える。
（顧問先企業等の財産に危害を及ぼした場合の措置および保険）第９条
１ AIの利用に起因して顧問先企業等の財産に損害が生じた場合、当事務所は、速やかに事実関係を調査し、顧問先企業等に報告するとともに、損害の拡大防止措置を講じる。
２ 当事務所の責めに帰すべき事由による損害については、当事務所が加入する社会保険労務士賠償責任保険（サイバーリスクに関する特約を含む。）の適用を含め、誠実に賠償その他の対応を行う。加入する保険の内容は、AIプライバシー保護責任者が毎年度確認する。
３ 情報セキュリティ侵害時の措置は第5章に、プライバシー侵害時の措置は第4章に定める。
第３章 バイアスおよび誤回答への配慮
（バイアスおよび誤回答への対応）第１０条
１ 当事務所は、AIの出力にバイアスおよび誤回答が生ずることを前提に、次のとおり対応する。
（１）AIを用いて平均値、中央値または最頻値を求める場合は、当該値が顧問先企業等の用途に適するかを確認し、その前提（母集団、期間、除外条件等）とともに顧問先企業等に示す。
（２）性別、年齢、国籍その他の社会的なバイアスを内在するデータを用いる場合は、バイアスが結果に影響する可能性があることを顧問先企業等に説明する。
（３）AIの出力のバイアスを軽減する目的で大量のデータを入力する場合において、当該データに個人情報が含まれるときは、個人情報をマスキングして使用し、その旨を顧問先企業等に明示する。
（４）アウトプットは、誤回答があることを前提に、必ず社会保険労務士が確認した上で顧問先企業等に提出する。
２ 前各号の顧問先企業等への説明・明示は、第２０条による本方針の掲載により行うことができる。
第４章 個人情報の不適切入力およびプライバシー侵害への対策
（AIプライバシー保護責任者）第１１条
１ 当事務所に、AIプライバシー保護責任者を置き、代表社員 社会保険労務士 桐生 由紀 をもって充てる。
２ AIプライバシー保護責任者は、本方針の運用状況の統括および改善、AIの利用に伴うプライバシーリスクの評価、プライバシー侵害が発生した場合の指揮および対外報告、並びに職員等からの相談への対応を行う。
３ 本方針に定めるAI管理責任者は、AIプライバシー保護責任者が兼務する。必要が生じたときは、AIプライバシー保護責任者が別に指名する。
（入力禁止情報等）第１２条
１ 職員等は、次の情報をAIに入力してはならない。
（１）特定個人情報（マイナンバーおよびこれを含む情報）
（２）顧問先企業等の機密情報（顧問先企業等から他に開示しないことを明示的に求められている情報、およびM&A、事業再編その他の未公表の重要事実）
（３）当事務所の認証情報（ID、パスワード、APIキー等）
（４）本人の同意を得られていない個人データ。ただし、顧問先企業等からの委託に基づき取り扱う個人データを、別表1に掲げるAIに委託の範囲内で入力する場合を除く。
２ 個人データを入力する場合は、業務上必要な範囲にとどめる。個人の権利利益を害するおそれがあると判断される場合は、入力しない。
３ AIの利用は、当事務所が業務を遂行するためのシステム利用であり、顧問先企業等との契約における本業務の再委託には該当しない。
４ 職員等は、AIのフィードバック機能（評価ボタン、バグ報告、品質アンケート等）を使用してはならない。商用契約上入力内容が学習に利用されない場合であっても、フィードバックとして送信した内容は学習に利用され得るためである。
（プライバシー侵害が発生した場合の対応）第１３条
１ プライバシー侵害が発生し、またはそのおそれを認めた場合、当事務所は直ちに、AIプライバシー保護責任者への報告、顧問先企業等への連絡（個人の権利利益を害するおそれがあるときは、顧問先企業等を通じて当該従業員にも連絡する。）、AI提供者との連携、並びに侵害の範囲の特定および当該AIの利用停止の要否の判断を行う。
２ 当事務所は、被害を受けた本人に対し、事実の説明および被害救済のために必要な対応を行う。個人情報保護委員会への報告および本人への通知が必要な場合は、法令に従い遅滞なくこれを行う。
３ 当事務所は、侵害の原因を解明し、再発防止措置を策定の上、本方針および業務手順に反映し、顧問先企業等に報告する。
４ AI提供者が個人のプライバシーを侵害したことが判明した場合、当事務所は、当該AI提供者に対し、事実関係の説明、侵害の停止および再発防止措置を求めるとともに、必要に応じて当該AIの利用を停止する。
５ 当事務所は、プライバシー侵害に繋がり得る情報を取得した場合、当該情報を消去し、またはAI提供者に対して当該情報の消去およびアルゴリズムの更新を依頼する。
（相談窓口）第１４条
当事務所は、AIの利用に関する個人情報およびプライバシーについての相談窓口を、既存の個人情報保護問合せ窓口（電話 03-6625-5072／電子メール sr-info@authense-sr.com、受付時間 9:30〜18:30、土日祝を除く）に置く。AIに関する事項はAIプライバシー保護責任者が対応する。相談窓口は、顧問先企業等およびその従業員からの相談を受け付ける。
第５章 情報セキュリティ対策
（脆弱性に関するリスク情報の入手）第１５条
当事務所は、AIの脆弱性に関するリスク情報（作為的にAIモデルを誤作動させる攻撃、学習データのリバースエンジニアリング、推論サーバへのサイバー攻撃等のリスク）をAI提供者の公表情報から入手する。AI提供者の提供するAIに情報セキュリティ上の疑問が生じた場合は、当該AI提供者に照会する。
（情報セキュリティ侵害発生時の措置）第１６条
１ 情報セキュリティ侵害が発生した場合、当事務所は次の措置を講じる。
（１）AIシステムのロールバック（正常な時点の状態に戻す処理）または代替システムの利用等による復旧
（２）AIシステムの停止（キルスイッチ）
（３）AIシステムのネットワークからの遮断
（４）情報セキュリティ侵害の内容の確認
（５）顧問先企業等への報告
２ 事務所内の第一報はAIプライバシー保護責任者に、AI提供者への連絡は別表1の連絡先に行う。個人情報保護委員会への報告を要する場合は、法令に従い行う。
３ マルウェア感染のおそれがある端末は、ネットワークから切り離す一方、証跡保全のため電源は落とさない。
第６章 顧問先企業等への情報提供・説明
（情報提供の時期および方法）第１７条
１ 当事務所は、本方針（別表1を含む。）を第２０条により当事務所ウェブサイトに掲載し、年1回、第７条の年次点検に併せて内容を見直す。
２ 前項の掲載および見直しをもって、AIを適正な範囲・方法により利用していることの顧問先企業等への報告および説明とする。顧問先企業等から求めがあったときは、書面または電磁的記録により交付する。
３ 利用するAIまたはその活用範囲に、個人情報の取扱いに影響する重要な変更が生じた場合は、その都度、本方針（別表1を含む。）を改定して掲載する。
（情報提供の内容）第１８条
本方針および別表1には、次の事項を記載する。
（１）AIの特性および用途
（２）入力データの種類およびソース
（３）入力データの入手方法・形式
（４）出力結果に対するリスク
（５）AIの動作変更・利用終了
（労働者の評価に影響する場合の通知）第１９条
人事評価制度の設計・運用に関する業務においてAIの出力を用い、その結果が特定の労働者の評価に影響する場合、当事務所は、顧問先企業等を通じて、評価対象となっている個人または部署に通知する。
（本方針の開示、問い合わせおよびフィードバック）第２０条
１ 当事務所は、本方針を当事務所ウェブサイトに掲載して開示し、顧問先企業等の求めがあるときは書面または電磁的記録により交付する。
２ 開示した本方針に関する問い合わせは、第１４条の相談窓口で受け付ける。本方針に問い合わせ先を記載することにより、分かりやすい説明であったかについて顧問先企業等からのフィードバックを受け、寄せられた意見は本方針の改定に反映する。
第７章 職員教育
（研修）第２１条
１ 当事務所は、職員等に対し、AIの正しい理解および社会的に正しい利用のために必要な研修を年1回実施する。新たに職員等となった者には、業務にAIを利用させる前に実施する。
２ 研修には、次の事項を含める。
（１）データにバイアスが含まれ、使い方によってはバイアスを生じさせる可能性があること等、AIおよびデータの特性
（２）AIまたはデータの正確性、公平性およびプライバシー保護に関わる課題、並びに情報セキュリティおよびAI技術の限界
（３）当事務所が求める適切な回答を導くための伝達スキル
（４）メディア上の情報にAIが生成した虚偽情報が含まれ得ること、およびその取捨選択の必要性
（５）本方針の内容および入力禁止情報の具体例
３ AI管理責任者は、研修の実施日、内容および受講者を記録し、3年間保存する。
第８章 AIサービスの選定
（新たなAIの導入）第２２条
１ 新たにAIを導入しようとするときは、担当者はAI管理責任者に対し、用途並びに想定するインプットおよびアウトプットを示して申請し、その承認を得る。承認されたAIは別表1に追加する。
２ AI管理責任者は、承認に当たり、当該AI提供者の契約または利用規約について、少なくとも次の事項を確認し、その結果を別表1に記録する。
（１）インプットがAI提供者の学習その他の自己目的に利用されないこと。利用される場合は、個人情報保護法上の「委託」として整理できないため、個人データを入力しない。
（２）個人データの取扱いを「委託」として整理できる監督権限（データ処理に関する契約条項等）が確保されていること
（３）AI提供者が外国にある第三者に該当するか否か、該当する場合の越境移転規制への対応
（４）情報セキュリティの第三者認証（ISO/IEC 27001等）の有無
３ 利用規約の変更の監視は、第７条の年次点検により行う。
第９章 改定
（改定）第２３条
１ 本方針は、法令の改正、全国社会保険労務士会連合会のガイドラインの改定、利用するAIの変更その他の事情に応じて改定する。
２ AIプライバシー保護責任者は、第７条の年次点検に併せて、本方針の内容を見直す。
附則
本方針は、 2026年10月1日 から施行する。
別表1 利用を認めるAIサービス一覧
項目：Claude Team（Anthropic）
サービス名：Claude Team（Claude for Work）
AI提供者（事業者名）：Anthropic, PBC（548 Market Street PMB 90375, San Francisco, California 94104, United States）
契約形態：Commercial Terms of Service（商用サービス利用規約）。Consumer Termsは適用されない
DPA（データ処理補遺書）：締結済み。商用サービス利用規約に自動的に組み込まれており、規約への同意により成立。別途の署名手続は不要。EU標準契約条項（SCC）を含む
想定する用途（例示）：資料の作成、文章の要約および校正、情報の収集、論点の整理、データの集計・整理その他業務の補助
想定するインプット（例示）：業務上必要な範囲の労務関係文書、規程案、社内資料、業務データその他の情報（第12条に定める入力禁止情報を除く）。形式は文書ファイルまたはテキストとし、必要な箇所を抜粋して入力する
想定するアウトプット（例示）：文章案、資料案、要約、論点整理、集計結果その他業務の補助に用いる出力
入力データの学習利用：無（商用規約によりデフォルトで学習に利用しない）。ただしフィードバック機能の明示的な送信分は例外→第12条第4項で使用を禁止
個人データの取扱い上の整理：委託（個人情報保護法第27条第5項第1号）。提供者は米国に所在し、施行規則第16条の基準適合体制を整備している者として整理する。相当措置の根拠は商用規約に組み込まれたDPA（EU標準契約条項を含む）。第7条の年次点検でその継続を確認する
第三者認証（ISO/IEC27001等）：ISO/IEC 27001:2022、ISO/IEC 42001:2023、SOC 2 Type I・Type II。証跡はTrust Center（trust.anthropic.com）から取得し事務所内に保管
利用を許可する職員の範囲：業務上必要な範囲の所属社会保険労務士および職員。氏名は別途管理簿による
インシデント時の連絡先：support@anthropic.com
利用規約の最終確認日：2026年9月30日
承認日／承認者：代表社員 桐生由紀
※ サービスごとに1枚を作成し、第７条の年次点検の都度、最終確認日を更新する。
