日税連ガイドラインが求めるDPA、Backlogは利用規約に含まれていました｜お客様とのやり取りは今のままで

当法人がお客様とのやり取りに使っているBacklog（株式会社ヌーラボのタスク管理サービス）は、日本税理士会連合会（日税連）の「税理士事務所のためのAI・クラウド活用ガイドライン」で必要とされたDPA（個人データの扱いを定めた契約）を、利用規約の中に含んでいました。そのため、新しい契約を結び直したり、別のサービスへ乗り換えたりせずに、今の環境のままお客様とやり取りを続けられます。

この記事では、ガイドラインのあらまし、DPAが税理士事務所に必要な理由、Backlogで確かめたこと、お客様にとっての意味を順にお伝えします。

日税連の「AI・クラウド活用ガイドライン」とは

ガイドラインは、日税連のデジタル・システム委員会が2026年9月25日に策定した指針です（Ver1.0。日本税理士会連合会 お知らせ〔2026年9月30日〕。ガイドラインは会員向けに配布されています）。AIやクラウドを禁止で縛るのではなく、法令を守りながら積極的に使いこなすための判断の目安を示しています。

税理士は、業務で知った秘密を漏らしてはならない義務を負っています（税理士法第38条）。お客様の資料をクラウドに置いたり、AIで読み取ったりするときも、この義務は変わりません。ガイドラインは、クラウドやAIを使うことを前提に、顧問先の情報を扱うときに守ることを「3つの鉄則」としてまとめています。

1. ビジネス向けの有料プランを契約する（個人向けのプランや無料版は業務に使わない）
2. DPAを結び、入力したデータを学習に使わない設定にする
3. 所内のルールと教育で管理する（入力してよい情報の区分、使うサービスの承認、契約と設定の定期的な確認）

あわせて、扱う情報を区分しています。マイナンバーを含む情報は原則としてAIに入力しない、顧問先の財務データや個人情報は3つの鉄則を満たしたサービスだけで扱う、公開情報や匿名化した情報は事務所が承認したサービスで扱う、という考え方です。

サービスを選ぶときのチェックリストでは、顧問先の情報を扱うなら、①ビジネス向けの有料プラン、②DPA（データ処理条項）、③学習に使わない設定の3つを必須とし、④データの保存場所と削除の方法、⑤セキュリティの認証、⑥運営元と本店の所在地、⑦著作物などの権利関係も確かめるよう強く勧めています。当法人は、このガイドラインに沿って所内の規程を定め、新しいサービスを使い始める前にこの7つを確かめています（AIの利用とデータの取り扱い）。

DPAとは何か、なぜ税理士事務所に必要か

DPAは Data Processing Agreement（データ処理契約）の略です。サービスの提供事業者が、お預かりした個人データをどの範囲で、どう扱うかを定めた契約や条項を指します。別に署名する契約書の形のものもあれば、利用規約の中に組み込まれているものもあります。ガイドラインも、DPAを「契約、または利用規約の中の条項」として扱っており、規約に組み込まれて自動で適用されるものも含めています。

Backlogのように、事業者が契約にもとづいてお客様の個人データを取り扱うクラウドサービスを使うことは、個人情報保護法では、個人データの取扱いの委託に当たると整理できます（個人情報保護法第27条第5項第1号）。委託する側は、委託先で個人データの安全管理が図られるよう、必要かつ適切な監督をしなければなりません（同法第25条）。

監督の中身としては、委託先との契約で、安全管理の措置、再委託の条件、漏えいが起きたときの報告などを定めておくことが挙げられます。大手のクラウドサービスと個別に契約書を取り交わすことは難しいので、サービス側があらかじめ用意したDPAの中身を確かめることが、監督の出発点になります。

Backlogで確かめたこと

ヌーラボが公開している利用規約・データ処理補足条項・セキュリティのページを、チェックリストの①〜⑥に当てはめて確かめました（2026年11月時点）。

DPAには、このほかにも、次のような定めがあります。

• データは、契約者の合理的な指示に従って扱う
• データにアクセスする従業員に、秘密保持の義務を課す
• 再委託先（サブプロセッサ）の一覧を公開し、重要な変更は事前に掲示する
• 事故が起きたときは、合理的な期間内に契約者に通知する
• 第三者の監査報告書などを、合理的な範囲で提供する

一方、BacklogのAIアシスタント機能は、処理する地域（米国）や追加の規約が別に定められています。当法人では、AIの機能はサービスごとに確かめてから使う決まりにしているので、この機能を使うかどうかは、Backlog本体とは分けて判断します。

ガイドラインを受けて、当法人が整えたこと

Backlogの確認は、ガイドラインを受けた取り組みの1つです。2026年10月から11月にかけて、ほかにも次のことを整えました。

• 顧問先の情報を扱うサービスは、法人向けの契約で使う決まりにしました。 AIサービス・PDF編集ソフト・Web会議などを法人向けのプランに切り替え、個人向けのプランや無料のサービスでは顧問先の情報を扱いません。お客様が契約・管理しているサービスにご招待いただいた場合は、そのサービスの契約と設定はお客様の管理になります。その場合も、当法人はお客様からの資料を閲覧・受け取るだけにとどめ、受け取った資料は当法人が確かめたサービスに保存して扱い、そのサービスのAI機能は使いません
• 事務所のGoogleアカウントの情報と連携できるアプリを、事務所が許可したものに限りました。 ブラウザの拡張機能も、事務所のアカウントでは許可したものに限っています
• 管理用のアカウントのログインを強化しました。
• 事務所の名前をかたったメールへの対策として、送信元を確かめる設定（送信ドメイン認証）を整えました。
• 添付ファイルを外部に送るときに確かめる仕組みを入れました。
• 使うサービスとその契約・確認日を台帳にまとめ、定期的に見直すことにしました

どれも、情報の漏えいや誤送信を「起こさない」と約束するものではなく、起こりにくくし、起きたときに気づけるようにするための対策です。

お客様にとっての意味

当法人では、資料のお願い、ご質問への回答、決算や申告の進み具合のご報告まで、お客様とのやり取りの多くをBacklogで行っています（使い方は税理士との「言った・言わない」を減らす！Backlogを活用したタスク管理術で紹介しています）。

もしBacklogが必須の項目を満たしていなければ、別のサービスへ移ることも考えなければなりませんでした。そうなると、お客様には新しいアカウントの登録や操作の覚え直しをお願いすることになり、これまでのやり取りの履歴も分かれてしまいます。

DPAが利用規約に組み込まれていたので、その必要はありませんでした。 お客様の側で新しい契約や手続きは要りません。これまでどおり、当法人がご用意したBacklogのプロジェクトでやり取りいただけます。

引き続きお願いしたいこと

• マイナンバーが載った書類はBacklogに添付しないでください。 扶養控除等申告書やマイナンバーカード・通知カードの写しなどは、Backlogとは別の方法でお受け取りします。お送りいただく前に、担当者にご相談ください
• ログインの設定を確かめてください。 パスワードの使い回しを避け、2段階認証を設定していただくと、より安心です
• 担当の方が替わったときは、お知らせください。 退職された方のアカウントを外し、新しい方をご招待します

当法人は、Backlogを含むクラウドサービスの契約と設定を、規程に沿って定期的に確かめていきます。規約の大きな変更などで、お客様にお願いすることが出てきた場合は、Backlogでお知らせします。

なお、当法人の代表社員 井上は、Backlogを提供する株式会社ヌーラボの社外監査役を務めています。この記事のBacklogの記載は、ヌーラボが公開している規約とページにもとづいています。

※この記事は2026年11月時点の法令と、日本税理士会連合会のガイドライン（Ver1.0）・株式会社ヌーラボの公開情報にもとづく一般的な説明です。ガイドラインは会員向けに配布されているため、内容は要点の紹介にとどめています。規約は改定されることがあるため、最新の内容は各ページでご確認ください。