AIセキュリティ方針

AIに質問やデータを送ると、その情報はAI会社のサーバーに送信されます。個人名・給与額・社員番号などの個人情報はAIに入力しません。実際のデータをAIに渡す必要がある場合は、「山田太郎→Aさん」「300,000円→●●円」などに置き換えてから使います。また、当法人が使用するAIツールは、業務データが学習に使われない設定のものに限定しています。

ガイドライン準拠：「利用者のプライバシーを保護し、個人情報を適切に取り扱うこと」に基づき、機密情報のAI入力を禁止するルールを設けています。

会社が許可していないAIツールを個人の判断で業務に使うことを「シャドーAI」と呼びます。当法人では使用を許可するAIツールをリスト化し、全スタッフに周知しています。「AIに渡してよい情報・渡してはいけない情報」の社内基準を文書化し、便利なAIツールが誰でも使える環境を整えることで、「つい別のサービスを使う」状況を防いでいます。

ガイドライン準拠：「適切なAIガバナンス（管理体制）の整備」に対応するため、使用ツールの管理と社内ルールの明文化を実施しています。

AIは文章を読んだり、アイデアを出したりするのは得意ですが、数値の計算は本質的に苦手です。給与計算で「1円でもズレる」ことは許されません。給与計算・控除額の計算・法令チェックなど、数値の計算・集計・チェックはPythonなどのプログラムで処理しています。

ガイドライン準拠：「AIの出力に対する正確性・信頼性の確保」と「人間による適切な関与（ヒューマン・イン・ザ・ループ）」に対応しています。

AIの普及により、完璧な文章・本物そっくりのサイトを作ることが簡単になりました。当法人では、「お急ぎください」「今すぐクリック」などの緊急性を演出するメールを受け取ったときは一度立ち止まり、振込依頼・認証情報の変更など重要な操作の依頼は別の連絡手段で本人確認します。また社内システム・外部サービスともに多要素認証（パスワードに加えて、スマートフォンなど別の要素で本人を確かめるログイン方式）を導入済みです。

ガイドライン準拠：「AIを悪用した詐欺・攻撃への対応」に対し、スタッフへの継続的な教育と確認手順の整備で対応しています。

セキュリティインシデントはいつ起きるか分かりません。不審なことに気づいたらすぐに報告できる窓口と手順を明確にしています。重要な認証情報（外部サービスに接続するための鍵であるAPIキーなど）は定期的に更新し、漏えいした場合はすぐに無効化できる仕組みを整備しています。試験中の変更や不具合が実際の業務に影響しないよう、開発環境と本番環境を分けて管理しています（開発環境は試験用の環境、本番環境は実際の業務で使う環境です）。

ガイドライン準拠：「リスクの継続的な評価とインシデント発生時の対応体制の整備」に対応しています。

悪意のある第三者が、AIの処理するデータの中に「AIへの命令」を隠し込み、AIに意図しない行動をさせる攻撃（プロンプトインジェクション）があります。当法人では、外部から受け取ったデータをそのままAIに渡さず、必要な項目だけを取り出し、AIへの指示とは区別して渡します。またAIが出した結果をそのままシステム操作に直結させず、人が確認する工程を挟みます。

ガイドライン準拠：AI事業者ガイドライン第1.2版ではAIエージェントが自律的に外部アクションを実行する際のリスク管理が明示されています。

当法人が使っているAIのツール・ライブラリ・外部パッケージに悪意あるコードを仕込む「サプライチェーン攻撃」など、サプライチェーンリスク（取引先や外部サービスを通じて起きる危険）に備えています。AIが新しいツール導入を提案してきた場合、公式情報を確認してから採用し、使用するシステムは承認済みのものに限定しています。

ガイドライン準拠：「AIシステムの安全性・セキュリティを確保するためのサプライチェーン全体の管理」に対応しています。

当法人では「使用ツールの審査→情報の記号への置き換え→人によるチェック→インシデント対応」の4層防御を採用しています。これは、多層防御（複数の対策を重ねて守ること）と職務分掌（担当ごとに役割と権限を分けること）の考え方に基づくものです。給与計算は「プログラム計算→担当者確認→社会保険労務士の最終承認」と役割を分離しており、1人・1システムで重要な処理が完結しない設計にしています。

ガイドライン準拠：人が確認する仕組み（ヒューマン・イン・ザ・ループ）と多層的なリスク管理を重視する趣旨に沿い、4層の防御を設けています。

AIの進化により、実在する人物の声や顔を本物そっくりに再現した偽の音声・動画（ディープフェイク）が作れるようになりました。当法人では電話・ビデオ通話で突然の振込依頼・機密情報の確認が来た場合、その通話をいったん切り、登録済みの番号に折り返して本人確認します。「緊急だから今すぐ」という言葉が添えられている場合は特に警戒します。

マイナンバーは「特定個人情報」として、マイナンバー法で通常の個人情報よりはるかに厳格な管理が義務付けられています。マイナンバーを含む業務はAIに渡さず、処理は人間が直接行うか、マイナンバーを取り除いた形でのみAIを活用します。給与計算システムとAIツールは連携させず、マイナンバーがAI側に流れ込まない設計を採用しています。

社会保険労務士法第27条は、社会保険労務士・社会保険労務士法人でない者が、報酬を得て、業として（仕事として）次のことを行うのを禁じています（他の法律に別段の定めがある場合などを除きます）。

1. ①労働・社会保険に関する申請書・届出書などの作成
2. ②その提出手続の代行
3. ③行政機関への申請などの代理
4. ④労働・社会保険に関する法令に基づく帳簿書類の作成。

当法人は社会保険労務士法人として、これらの業務を行います。また、当法人ではデータの集計・整理・計算補助にプログラム・AI補助ツールを使いますが、法令解釈・申請内容の判断・書類の最終確認・署名・行政機関への届出は必ず有資格の社会保険労務士が行います。

社会保険労務士法第21条・第27条の2は、業務に関して知り得た秘密を、正当な理由なく漏らしたり盗用したりすることを禁じています。クライアントの業務情報・人事情報・労使関係情報などをAIに渡す際は、情報の匿名化・一般化を行い、特定の企業・個人が識別できない形にしてから使用します。

就業規則の文案・労使協定の雛形・各種届出書類などをAIが作成した場合でも、その内容の正確性・適法性に対する責任はWork Rules社会保険労務士法人（社会保険労務士）が負います。AIが作成した文書は必ず社会保険労務士が法的観点からレビューし、承認してからクライアントに提供します。