小規模CPA事務所のオーナーに、チームがAIツールを使っているか尋ねると、たいていは「少しは、非公式に」という答えが返ってくる。では書面によるAIポリシーはあるかと尋ねると、たいてい部屋が静かになる。このギャップは見た目以上に大きい。最近の業界データによれば、会計・CPA事務所におけるAI導入率は73%に達しており、これは2022年時点から340%の急増だ。しかしKarbonの「State of AI in Accounting Report」によると、正式なAIトレーニングに投資している事務所はわずか37%にすぎない。この成長のほとんどは、その下にガバナンスの層を持たないまま起きている。
このミスマッチこそ、Journal of Accountancy誌が2026年7月に掲載したAIポリシー策定に関する記事が埋めようとしているものだ。この記事はあらゆる規模のCPA事務所を対象としているが、そのアドバイスが最も響くのは中小規模の事務所だ。コンプライアンス部門を持つ可能性が最も低く、一人または二人体制のチームがクライアントとの電話の合間にこっそりChatGPTを試している可能性が最も高い事務所である。
本当のリスクはAIそのものではなく「沈黙」だ
ここに気まずい真実がある。事務所がAIリスクの問題を抱えるために、「AIを導入した」実績は必要ない。もし一人でもスタッフが、仕訳の確認のためにクライアントの試算表をチャットボットに貼り付けたことがあるなら、ポリシーの有無にかかわらず、あなたの事務所はすでにリスクにさらされている。
これはしばしば「シャドーAI」と呼ばれる。承認済みリストの外、契約の外、そして誰の認識の外で行われるツール利用のことだ。これは仮定の話ではない。最近のセキュリティ調査によると、従業員によるChatGPTへのプロンプトのうち、機密性の高い企業データを含むものは現在約34.8%にのぼり、2023年のわずか11%から急増している。会計業界に限って言えば、これはクライアントの売上高、キャッシュフロー計算書、税務書類が、事務所が一度も審査しておらず、契約も結んでおらず、監査もできない第三者システムに流出していることを意味する。
法的リスクも決して抽象的なものではない。従業員がクライアントの財務データを個人のAIアカウントに入力すると、そのデータは既存のクライアント契約の外にある第三者に送信され、保存される。これは法的にデータ漏洩の定義に該当し、州法のもとで通知義務を発生させる可能性がある。AICPAの機密クライアント情報規則(職業倫理規程第1.700.001条)に拘束される事務所にとって、これは些末な技術論ではない。この規則は、クライアントの財務状況を業務の関係者以外の誰かと話してよいかどうかを規定するものと同じであり、ネットワーキングイベントでの雑談にも、AIツールにもまったく同じように適用される。
実効性のあるAIポリシーが実際にカバーすべきもの
Journal of Accountancy誌のガイダンスは、実用的なポリシーを8つの構成要素に分解している。適用範囲と目的、ガバナンス体制、データプライバシー、品質・正確性の管理、文書化のプロトコル、バイアス評価、クライアントへの透明性、そして許容される利用ルールだ。5人規模の事務所が一度にすべてに取り組むには多すぎるため、最も防御効果の高い3つに絞って見ていく価値がある。
1. プロンプト、出力結果、そして誰が確認したかを記録する
このガイダンスはこの点について率直だ。「文書化されていなければ、それは起きなかったことになる。」これはCPAにとって新しい基準ではない。ワークペーパーやエンゲージメントファイルを支配してきたのと同じ論理だが、今やそれをAIにも拡張する必要がある。スタッフがAIツールを使ってクライアント向けのメモを作成したり、技術的な質問を調べたり、文書を要約したりする際、事務所は次のことを示せる状態にしておくべきだ。
- どのプロンプトが使われたか
- ツールが何を返したか
- 誰が、どのように出力を確認したか
その記録は、90日で消えるSlackのスレッドではなく、他の第三者ツールの文書と並んでクライアントファイルに保管されるべきものだ。
2. クライアントに届く前に必ず人間によるレビューを義務づける
これは、すべてのワークステーションの上に掲げるべき一文だ。AIは、事務所の既存の監督ポリシーと整合する徹底した人間によるレビューなしに、クライアントサービスに関する意思決定を行ったり、確定させたり、支援したりするために使ってはならない。実務上これは、AIが生成した調査結果、技術的な説明、引用は、内国歳入法典、財務省規則、FASB基準といった一次資料に照らして直接検証されなければならず、単に自信ありげに聞こえたからといって受け入れてはならないことを意味する。生成AIツールは、実際には存在しないもっともらしい引用を作り出すことでよく知られている。クライアント向けの書簡に載せる前に、引用された法典の条項を独自に確認しないスタッフは、専門的判断というプロセスの核心を丸ごと飛ばしていることになる。
3. 入力したデータに何が起きるかを正確に把握する
どんなツールであれクライアント情報に触れる前に、事務所の誰かが次の4つの問いに答える必要がある。データはどこに保存されるのか。誰がアクセスできるのか。匿名化されているか。モデルの学習に使われるのか。これらのどれか一つでも答えが不明確であれば ── 多くの一般消費者向けAIツールではそうなりがちだが ── ポリシーは単純に、そのツールへの個人情報・機密情報・専有情報の入力を禁止すべきだ。これをうまく管理している事務所は、個々のやり取りを一つひとつ監視しようとはしない。代わりに承認済みツールのリストを整備し、スタッフが追加を申請できる軽量なプロセスを用意し、AIガバナンスを個人の判断ではなく事務所全体の意思決定として扱っている。
事務所が繰り返しているミス
小規模事務所がAIリスクに陥っていくパターンにはいくつかの共通点があり、そのどれも悪意を必要としない。必要なのは、ポリシーの不在だけだ。
「AIをまだ導入していない」ことを防御策だと思い込む。 事務所の公式なテックスタックにAIツールがゼロだったとしても、全スタッフが勤務時間中にスマートフォンで個人のChatGPTアカウントを使っているということはあり得る。ポリシーの空白は、公式な導入を待ってはくれない。スタッフがインターネット接続と締め切りを持った瞬間から、その空白は存在する。
無料版と有料版が同じように振る舞うと思い込む。 多くの一般消費者向けAIツールは、デフォルトで無料プランの会話をモデルの学習に利用する一方、有料プランやエンタープライズプランには契約上のデータ保護が含まれていることが多い。時間を節約しようと無料アカウントに登録したスタッフは、気づかぬうちに事務所のクライアントデータを学習パイプラインに提供してしまっていることが少なくない。だからこそ上記の4つのデータ取り扱いに関する問い ── 保存場所、アクセス権、匿名化、学習利用 ── は、ツールごとに答える必要があり、一度想定して終わりにしてはならない。
「もっともらしく聞こえた」ことを検証の代わりにしてしまう。 AIが生成した税務上の引用、法典の条項番号、技術的な要約は、流暢でありながらまったく間違っていることがある。締め切りに追われるスタッフこそ検証の手順を飛ばしがちな人物であり、だからこそポリシーは人間によるレビューを個人の判断に委ねる提案ではなく、ルールとして明記する必要がある。
何を尋ね、何を確認したかの記録がない。 実質的な部分を正しく行っている事務所でも、文書化は省略しがちだ。もし後になってクライアントや規制当局が、ある数値や提案がどのように作られたのかを尋ねてきたとき、「AIを使いました」という答えだけでは、プロンプト・出力結果・承認者の記録がない限り答えにならない。
2ページのポリシーのための出発点チェックリスト
最初のバージョンを作るのに外部の弁護士は必要ない。小規模事務所向けの実用的なポリシーは1〜2ページに収まり、次の内容をカバーできる。
- 承認済みツールのリスト ── クライアント業務でスタッフが使ってよい具体的なAI製品を挙げ、新しいツールを申請するためのシンプルなプロセス(「パートナーに聞く」だけでもよい)を用意する。
- データ取り扱いのルール ── 個人情報、機密情報、専有情報を含むクライアント情報は、承認済みリストにないツールには一切入力しない。
- 人間によるレビューの義務 ── 資格のあるスタッフによるレビューを経てファイルに記録されない限り、AIの出力をクライアント業務、成果物、助言の確定に使用しない。
- 引用検証のルール ── AIが生成した法典の条項、規則、基準への言及は、クライアントに引用したり申告に使用したりする前に必ず一次資料と照合する。
- 文書化の習慣 ── AI活用業務をどこに記録するか(実務管理システムの項目、エンゲージメントファイルのメモなど、永続的で検索可能なものであれば何でもよい)。
- クライアントへの透明性の一文 ── 上記の保護策のもとで、事務所がサービス提供の一環としてAIツールを利用する可能性があることを、エンゲージメントレターに平易な言葉で記す。
これはテクノロジーの全面刷新を必要としない。事務所がすでに非公式に前提としていることを、書面で明確にし、すべてのスタッフが同じ前提に立って働くようにするだけでよい。
小規模事務所こそ、このリスクをより多く背負っている
AIガバナンスは「大手事務所の問題」であり、専任のリスク管理担当者を抱える全国規模の事務所のためのものだと思い込みたくなるかもしれない。しかし実態はむしろ逆だ。小規模事務所は概してコンプライアンス機能を持たず、検証済みのエンタープライズ製品よりも汎用の一般消費者向けAIツールに大きく依存し、一人のスタッフのショートカットが賠償責任につながる事態が起きたときの余力も少ない。書面のAIポリシーを持たない二人体制の事務所は、クライアントの機密保持を守るための手段を完全に非公式な習慣に委ねていることになる。そして非公式な習慣は、クライアントがエンゲージメントの最中に自分のデータがどう扱われたのかを正確に尋ねてきたとき、うまく持ちこたえられない。
この解決策に法務チームは必要ない。承認済みツールを明記し、人間によるレビューの義務を平易な言葉で述べ、AI活用業務をどこに記録すべきかをスタッフに伝える1〜2ページのポリシーが、リスクの大部分をカバーする。上記の構成要素は妥当な出発点のチェックリストだ。最も重要なのは、次のスタッフがクライアント業務でチャットボットに手を伸ばす前に、何かが書面として存在していることである。
財務記録管理がここにどう関わるか
AIガバナンスと財務記録管理は、実は同じ根本問題を解決しようとしている。あらゆる数字と意思決定の背後に、明確で検証可能な証跡が存在することを保証することだ。AIが生成した回答をどう検証したかを示せない事務所は、ある取引がどう分類されたかを示せない企業とまったく同じ欠落を抱えている。どちらも、証跡が存在するかどうか、そして実際に人間がそれを確認したかどうかに帰着する。
これはプレーンテキスト会計を支えているのと同じ原則だ。Beancount.ioは、あなたの財務記録を不透明なデータベースのエントリーではなく、バージョン管理された人間が読めるテキストとして保持する。すべての変更には目に見える履歴があり、ブラックボックスの中で何かが起きることはない。説明可能性への懸念が高まり続けるこの業界において、そうした透明性は「あれば良い」ものではない。無料で始めることで、完全に監査可能な台帳が、文書化を真剣に考える事務所にどうフィットするかを確かめてほしい。