セキュリティ・プライバシー・日本の法務と税務

最終更新: 2026-08-02

この章は一般的な確認事項であり、法律・税務・会計の個別助言ではない。事業形態、顧客、データ、国、規制業種、契約により結論が変わる。実装・販売前に、最新の法令・公式ガイドと弁護士・税理士等へ確認する。

基本姿勢

セキュリティと法務は、売れてから追加する「企業向け機能」ではない。個人開発では 1 件の漏えい、誤課金、権限事故、規約違反が事業継続を止めるため、最初から次を設計する。

収集しない
権限を与えすぎない
影響範囲を小さくする
証拠を残す
元に戻せる
誠実に説明する
終了・削除できる

「大企業ではないから狙われない」ではなく、攻撃の多くは自動化されていると考える。

リスク分類

機能ごとに次を 1〜5 で評価する。

リスク = 発生可能性 × 影響

影響には次を含める。

人身・権利
金銭・課金
個人情報・秘密
顧客業務の停止
契約・法令
評判
復旧に必要な創業者時間

高リスクの例:

医療、雇用、信用、保険、法律、安全の判断
子ども、顔・生体、位置、健康、金融、通信内容
外部への送信、公開、削除、購入を AI が実行
複数顧客の機密データ
顧客資金の預り・送金・ポイント
大量メール・SNS 投稿・広告

高リスクほど、機能範囲を狭め、人間承認、専門家、監査、保険、法人化を検討する。対応できないリスクは利用規約で免責するのでなく、扱わない。

脅威モデル

リリース前と重要変更時に、簡単な表を作る。

資産:
利用者・攻撃者:
入口:
信頼境界:
悪用・失敗シナリオ:
予防:
検知:
封じ込め:
復旧:
残余リスク:

最低限のシナリオ:

他テナントのデータを ID 変更で読める
退職者・旧セッションが残る
管理者・クラウド・ドメインのアカウント乗っ取り
SQL/HTML/コマンド/テンプレート注入
SSRF と不正 URL 取得
Webhook 偽造・再送・逆順
依存パッケージ・CI・ビルドの侵害
ログ・分析・AI プロバイダーへの秘密漏えい
ファイル爆弾、巨大入力、AI の無限ループで請求増
プロンプト注入で外部操作
バックアップが復元できない
誤設定でストレージや DB が公開
サポート代理操作の悪用

変更ごとに flow、TH-*、control、negative test、monitor、owner、残余 risk を追跡する場合は 13 章の threat-model deltaを使う。本章の基準を再定義せず、今回増えた trust boundary と source-to-sink を証拠へ結ぶ。

Web セキュリティ基準

OWASP Top 10:2025 は次を主要リスクとしている。OWASP Top 10:2025

Broken Access Control
Security Misconfiguration
Software Supply Chain Failures
Cryptographic Failures
Injection
Insecure Design
Authentication Failures
Software or Data Integrity Failures
Security Logging and Alerting Failures
Mishandling of Exceptional Conditions

Top 10 はチェックを完了すれば安全になる認証ではない。設計・実装・運用の優先順位として使い、必要に応じ OWASP ASVS や NIST SSDF の詳細要件へ進む。NIST SSDF

アクセス制御

サーバー側で毎回認可
deny by default
テナント、資源、操作、所有、状態を検証
管理画面を URL の秘密性で守らない
一括操作・エクスポートも同じ認可
キャッシュ、検索、ファイル、ジョブの境界
権限変更と代理操作を監査
負のテスト: 他ユーザー・他組織・無効セッション

認証

管理者、メール、ドメイン、Git、クラウド、決済へ MFA/パスキー
パスワードは標準ライブラリ・プロバイダーで安全に保存
セッション固定、Cookie、CSRF、OAuth state/PKCE
パスワードリセットとメール変更の再認証
バックアップコードと回復経路
列挙可能なエラーメッセージを避ける
レート制限と異常検知
退職・紛失・侵害時に全セッション失効

秘密

リポジトリ、ログ、分析、エラー、フロントエンドへ置かない
環境別・用途別・最小権限
秘密管理サービスまたは安全な環境変数
CI の fork/PR へ本番秘密を渡さない
ローテーション手順と所有者
漏えいを前提に即時失効できる
API キーを顧客間で分離できるか検討

入力・出力

許可する型、長さ、範囲、形式を検証
SQL はパラメータ化
HTML は文脈に応じてエスケープ/サニタイズ
shell を避け、必要なら引数配列と許可リスト
URL 取得は scheme、host、IP、redirect、サイズを制限
Content Security Policy などの防御的ヘッダー
エラーメッセージに内部構造・秘密を出さない
CSV injection、数式、Unicode、ファイル名も考慮

暗号化

TLS
保存時暗号化と鍵管理
パスワードを可逆暗号化しない
独自暗号を作らない
バックアップとエクスポートも暗号化
機密性だけでなく完全性、署名、nonce、再生攻撃を検討
鍵と暗号文を同じ無制限権限で管理しない

例外と失敗

fail closed が必要な認可・課金・外部操作
タイムアウト、上限、キャンセル
部分成功を状態として表現
再試行可能性を区別
例外を握り潰さない
利用者へ安全な回復方法
内部へ request ID と十分な文脈
障害時にデバッグ設定や認証を無効化しない

ソフトウェア供給網

OWASP 2025 では Software Supply Chain Failures が上位に入る。依存数と生成速度が増えるほど重要。

lockfile と再現可能なビルド
直接・推移依存の脆弱性監視
パッケージ名・保守状況・公開者を確認
自動更新はテストと段階展開を通す
CI アクションを commit SHA 等へ固定するか更新リスクを管理
ビルド・デプロイ権限を分離
署名・provenance・SBOM を顧客要件に応じ導入
不要依存を削除
OSS ライセンスと NOTICE・ソース提供義務を確認
AI が提案した未知パッケージを名前だけで追加しない

クラウド・管理面

最優先で守るアカウント:

ドメイン登録/DNS
メール
Git/CI
クラウド/DB/ストレージ
決済
パスワード管理
分析・サポート・AI

各々に MFA、回復コード、代替連絡先、最小権限、アクセスレビュー、請求アラートを置く。個人の端末喪失で全てを失わない復旧手順をオフラインでも保管する。

環境分離

本番データをローカル・プレビューへコピーしない
テストキーと本番キー
ローカルから実顧客へのメール・課金・外部更新を禁止
本番管理操作は再認証と監査
共有 URL のプレビューへアクセス制御
デバッグ、ソースマップ、エラー詳細の公開範囲

AI セキュリティ

OWASP Top 10 for LLM Applications 2025 は Prompt Injection、Sensitive Information Disclosure、Supply Chain、Data and Model Poisoning、Improper Output Handling、Excessive Agency、System Prompt Leakage、Vector and Embedding Weaknesses、Misinformation、Unbounded Consumption を扱う。OWASP LLM Top 10 2025

原則

システムプロンプトに秘密を置かない
モデル出力を命令・SQL・HTML・URL・コードとして無検証実行しない
Web、メール、文書、RAG は非信頼データ
ツール側で認証・認可・入力検証
読取と書込を分ける
未信頼入力に基づく、または対象・影響範囲が確定していない削除、公開、送信、購入、権限変更は都度の人間承認
事前承認済みの低リスク操作だけを、対象・金額・件数の上限、取消し、監査を備えて自動化
ステップ、時間、トークン、金額、対象件数に上限
テナントごとの検索・ベクトル境界
出典と原文を保持
prompt/model/tool のバージョンと操作を監査
失敗例・攻撃例を eval へ追加

プロンプト注入

「前の命令を無視して」の検出だけでは防げない。信頼境界を設計する。

開発者の方針
> 型付きツールとサーバー権限
> 利用者の指示
> 外部文書・Web・メールの内容

外部データ内の文字列が権限を増やせないようにし、モデルが命令とデータを完全に見分ける前提を置かない。高リスク操作は決定的ポリシーと人間へ戻す。

データ利用条件

AI プロバイダーごとに確認する。

入力・出力を学習へ使うか
保存期間と opt-out
地域、再委託、越境
データ処理契約
削除・エクスポート
著作権・出力権利・補償
禁止用途
セキュリティ認証

利用規約だけでなく、使用する製品プラン・API の実契約を確認する。同じ会社でも消費者向けチャットと API で条件が異なり得る。

プライバシー・バイ・デザイン

データ台帳

データ項目:
対象者:
取得元:
利用目的:
法的根拠・同意:
必須性:
保存場所・地域:
アクセス役割:
委託先・第三者:
保存期間:
削除方法:
開示・訂正・停止への対応:
漏えい時の影響:

「全部ログに残して後で考える」をしない。データは資産であると同時に負債。

最小化

目的達成に不要なら取得しない
自由記述より構造化・限定入力
本人識別が不要なら匿名・仮名化を検討
解析イベントへ本文やメールを入れない
保存期間をデータ種別で決める
バックアップ、ログ、検索索引、AI キャッシュも削除対象に含める
本人が出力・削除できる

削除と保存の実装

削除要求への対応は、全複製を同時に物理消去することと同義とは限らない。法令、契約、紛争対応等の保存要否を確認し、保存場所ごとに処理を決める。

本番 DB・ファイル: 利用停止後、定めた期限で削除または識別不能化
検索索引・ベクトル・キャッシュ: 元データ削除と連動して無効化
分析・ログ: 収集を最小化し、短い保存期間と定期失効を設定
委託先: 削除要求を伝達し、完了または期限を記録
immutable backup: アクセスと利用を制限し、保存期限で自然失効
法定・契約保存: 製品利用データから隔離し、目的外利用を禁止

削除済み ID と削除時刻を必要最小限の削除台帳へ残し、バックアップ復元時に削除を再適用する。利用者には、削除済み、委託先処理中、バックアップ失効予定、保存を継続する項目と理由を区別して説明する。

プライバシーポリシーと実態

ポリシーは免責文ではない。実際のコード・契約・運用と一致させる。

運営者と連絡先
取得情報
利用目的
Cookie/解析/広告/外部送信
委託・第三者・外国移転
安全管理
保存・削除
本人の権利と手続
子ども・高感度データ
改定方法

大きな変更を「ポリシーを更新したので同意した」と扱わず、必要な通知・同意を判断する。

日本の個人情報保護法

2026-08-01 現在の現行制度

個人情報保護委員会の通則ガイドラインを基準に、利用目的の特定・通知/公表、適正取得、安全管理、従業者・委託先監督、第三者提供、外国提供、開示・訂正・利用停止等へ対応する。PPC 個人情報保護法ガイドライン

顧客から個人データの処理を委託された提供者自身も、個人情報取扱事業者として適用される安全管理措置を実施する。顧客へ説明するだけで代替せず、組織的・人的・物理的・技術的な措置、従業者、再委託、事故対応、削除を実運用と一致させる。

一定の漏えい等では PPC への報告と本人通知が必要。速報は報告対象事態を知った後「速やかに」行い、通則ガイドライン上の目安は概ね 3〜5 日である。確報は知った日から 30 日以内、規則第 7 条第 3 号の不正目的のおそれがある事態は 60 日以内という法定期限であり、本人にも状況に応じて速やかに通知する。PPC 漏えい等の対応

海外の AI、分析、メール、クラウドへ送る、または国外担当者がアクセスできる場合、単に処理国を記録するだけで終えない。委託処理か提供者の独自利用・第三者提供か、外国にある第三者への提供に当たるか、本人同意・同等国・相当措置体制等のどの根拠を使うか、相当措置の継続確認、再委託、事故通知、削除確認を契約と実態で判定する。クラウド事業者がデータを取り扱わない構成に該当するかも確認する。PPC 外国第三者提供編 / PPC Q&A

2026-07-17 公布、原則未施行の改正

2026 年 7 月 17 日に改正個人情報保護法が公布された。2026 年 8 月 1 日時点では原則未施行で、一部を除き公布から 2 年以内の政令指定日に施行される。現行法と混同しない。PPC 2026-07-17 公布資料

将来変更として、16 歳未満、顔特徴データ、委託先の義務、統計作成等と整理できる AI 開発等、オプトアウト提供先確認、課徴金等が含まれる。AI 開発一般が同意不要になるのではない。個人との対応関係を排した結果の作成を含む「統計作成等」のみに利用され、公表または書面合意、目的外利用・再提供の制限等の条件を満たす類型である。2026 年 8 月 1 日時点では未施行で、具体的な範囲は委員会規則・ガイドラインの確定を継続監視する。PPC 改正概要 PDF

当面の実装:

年齢・保護者関与を追加できるデータ構造
顔特徴・生体を別分類し、安易に収集しない
委託先台帳と契約を更新可能にする
データ目的・提供先・同意の証拠を保持
未施行の例外を先取りしてデータ利用しない

外部送信規律

2023 年 6 月 16 日施行。対象となる電気通信サービスで、分析タグ等により利用者情報を外部送信する場合、送信情報、送信先、利用目的等について通知・公表・同意・オプトアウトのいずれかによる確認機会が必要になる。全 Web サイトが一律対象とは限らないため、総務省 FAQ とサービス実態で判定する。総務省外部送信規律 FAQ

Cookie バナーを置くだけで完了とせず、実際の SDK、送信項目、送信先、目的を棚卸しする。

B2C 通信販売

有料 Web サービスも、有償の役務提供として特定商取引法の通信販売規制の対象になり得る。個人であっても要件を満たせば販売業者となる。消費者庁特定商取引法ガイド

表示項目の例:

販売価格・追加費用
支払時期・方法
提供時期
申込期間があれば内容
撤回・解除・返品/返金
事業者名、住所、電話番号
動作環境
継続契約、自動更新、各回の金額、解約方法

申込みの最終確認画面では、分量、価格、支払、提供時期、解除、申込期限等を容易に確認できるようにする。消費者庁最終確認画面の案内

個人事業者の連絡先表示

自宅住所を無条件に公開することも、個人だから表示不要と考えることも避ける。消費者庁の通信販売広告 Q&A では、広告にその旨を表示し、請求があれば遅滞なく必要事項を提供できる体制がある場合、住所・電話番号等の一部を省略できる場合が示されている。適用条件は販売方法と最新の公式案内で確認する。消費者庁通信販売広告 Q&A

バーチャルオフィスやプラットフォームの連絡先を使う場合も、次を確認する。

通信販売の連絡先として実際に機能する
運営者との契約で利用が認められている
運営者が本人の現住所・連絡先を把握している
郵便、電話、苦情、法的通知が確実に届く
決済事業者やプラットフォームの本人表示要件も満たす

公開、省略、代替連絡先のどれを採る場合も、申込み判断前に情報を提供できる状態にする。

実装チェック

「特定商取引法に基づく表記」へ容易に到達
税込/税抜、通貨、請求周期、追加費用
無料試用の終了日とその後の請求
年額を月額換算だけで大きく見せない
自動更新と解約期限
解約経路を登録より不当に難しくしない
申込み直前に契約全体を要約
確認メールと契約記録

消費者契約・表示・レビュー

消費者契約法では、不当勧誘による取消しや不当条項の無効があり得る。全面免責、故意・重過失までの免責、過大な解約料をテンプレートで入れない。消費者庁消費者契約法
景品表示法上、実際より著しく優良・有利と誤認させる表示を避け、数値・比較・No.1・削減効果の根拠を保管する。
広告主が関与したレビュー・SNS 投稿は広告と分かる表示が必要。日本のステルスマーケティング規制は 2023 年 10 月 1 日施行。消費者庁ステルスマーケティング
偽レビュー、存在しない利用者数、偽の在庫・期限を使わない。海外販売では対象国のレビュー・広告規制も確認する。

広告メール

日本の特定電子メール法等では広告宣伝メールが原則オプトインで、承諾記録、送信者情報、容易な配信停止等が必要。例外を無差別送信の許可と解釈しない。消費者庁特定電子メール

取引メールと広告を分ける
同意の時刻、方法、文言を保存
配信停止を速やかに反映
購入に必須でない広告同意を抱き合わせない
国外宛は各国法とプラットフォーム規約を確認

利用規約・B2B 契約

利用規約へ最低限検討する。

サービス内容と対象外
アカウント・組織・権限
料金、税、更新、支払失敗、変更、返金
利用者データの権利と処理許諾
AI 入力・出力、禁止用途、人間確認
知的財産
機密保持
禁止行為
可用性、保守、サポート
契約期間、解約、停止
データ出力・削除・終了移行
保証、責任制限、補償
規約変更
準拠法、裁判管轄、通知

B2B では必要に応じ、NDA、利用契約、注文書、DPA、SLA、セキュリティ別紙、サブプロセッサ一覧を整える。契約より実運用が弱ければ意味がない。

案件ごとの文書版・優先順位、Contracted と Start-ready、PO・請求・入金、pilot と production の運用分離は 11 章を参照する。同章の書式は法律文書の代替ではない。

契約成立・定型約款・電子契約 — 2026-08-01

特段の定めがある場合を除き、契約は当事者の意思の合致で成立し、書面・押印は一般的な成立要件ではない。成立したかと、誰が何へ合意したかを後で立証できるかは別問題である。民法 522 条 / 押印に関する Q&A

利用規約を契約内容にする場合は、申込前に規約を表示して契約内容とする合意を得る方法、または定型約款としての表示・合意要件を確認する。フッターへリンクがあるだけで常に全条項が組み入れられるとは限らない。acceptance method / displayed version / timestamp / accepter / authority を保存し、規約変更は変更根拠、効力発生日、周知を別イベントにする。民法 548 条の 2〜4 / 電子商取引準則

一定の電子署名が付された電子文書には真正成立の推定が働く。電子署名がない契約を無効にする制度ではなく、事業者署名型のサービスも名称だけで一律に推定されるわけではない。方式、利用者の意思に基づく処理、本人だけが行える管理等を確認する。デジタル庁電子署名 / 法務省 2 条 Q&A / 法務省 3 条 Q&A

保存するもの:

合意した PDF・規約の版、適用日、URL
署名・承諾者、会社、権限、日時、acceptance method
電子署名の完了証明・監査証跡
見積、注文、変更、検収、メール履歴
クリック同意時に表示した版と同意 event

AI の責任分界

AI 利用を必要に応じ明示
出力の用途制限
顧客が確認すべき事項
自動実行の範囲
顧客が入力する素材の権利・適法性
モデル・プロバイダー変更
データ処理条件
誤りの報告・修正

「AI なので責任を負わない」という全面免責で安全性を代替しない。

知的財産

商標

サービス名はドメイン・会社名検索だけでなく、J-PlatPat で称呼・類似区分を調べる。重要なら弁理士へ相談する。特許庁商標検索案内

著作権・AI

AI 生成物は一律に自由利用できるわけでも、一律に著作物になるわけでもない。入力素材の権利、既存著作物との類似、人の創作的寄与、モデル契約、利用目的を記録する。文化庁 AI と著作権

顧客素材をモデルへ送る許諾
学習・検索データのライセンス
出力の類似性チェックが必要な用途
ロゴ、キャラクター、人物、声
OSS・フォント・画像・データセットのライセンス
外注成果物の権利帰属
プロンプト、eval、テンプレートの機密性

日本の AI 法・ガイドライン

人工知能関連技術の研究開発及び活用の推進に関する法律は 2025 年 6 月 4 日に公布・一部施行、同年 9 月 1 日に全面施行された。イノベーション促進とリスク対応、透明性等を基本に、国の計画・指針・調査等を定める。内閣府 AI 法

経済産業省・総務省の AI 事業者ガイドラインは 2026 年 3 月 31 日時点で第 1.2 版。人間中心、安全性、公平性、プライバシー、セキュリティ、透明性、アカウンタビリティ等を、開発者・提供者・利用者の役割に応じ確認する。AI 事業者ガイドライン第 1.2 版 PDF

法的義務の有無だけでなく、B2B 顧客へ次を説明できるようにする。

用途・禁止用途
データフロー
モデル・サブプロセッサ
評価と既知の限界
人間関与
ログ・異議・修正
セキュリティとインシデント

国外提供の主なトリガー

越境販売前の市場ゲート

「海外からアクセスできること」と「特定国へ販売すること」は分ける。新しい国・地域を対象にする前に、最低限次を確認する。

対象: 国、B2B/B2C、対象者、通貨、広告・営業の有無
税: VAT/GST/sales tax、請求書、登録・申告主体
消費者: 申込前表示、自動更新、取消し・返金、デジタルサービス固有の権利
データ: 適用法、管理者/処理者の役割、国外移転、Cookie、本人対応、漏えい通知
AI・コンテンツ: 透明性、高リスク用途、生成物表示、違法・有害コンテンツ対応
決済: PSP と Merchant of Record の責任範囲、チャージバック、不正、制裁・本人確認
運用: 対応言語、時間帯、サポート、法的通知、サービス終了時の返金・データ返却

PSP は通常、決済処理を代行するだけで、税・消費者法上の販売者責任まで引き受けるとは限らない。Merchant of Record も、契約上どの義務を負うかを確認し、自社に残る義務を台帳化する。未確認の高影響項目がある地域は、広告・課金・追跡を開始せず、地域制限、B2B 限定、専門家確認等で範囲を狭める。判定結果、根拠、確認日、次回確認日を残す。

EU AI Act

EU AI Act は 2024 年 8 月 1 日発効。禁止行為と AI リテラシー義務は 2025 年 2 月 2 日、GPAI 関連は同年 8 月 2 日から適用された。Regulation (EU) 2026/1744 による AI Omnibus 改正は 2026 年 7 月 27 日に発効し、透明性規則は原則 2026 年 8 月 2 日から適用される。同日前に市場投入された Article 50(2) 対象の生成システムは 2026 年 12 月 2 日までの移行期間があり、Annex III の高リスク用途は 2027 年 12 月 2 日、Annex I の製品組込型は 2028 年 8 月 2 日から適用される。用途と役割ごとに最新の統合条文・ガイダンスを確認する。European Commission AI Act / Regulation (EU) 2026/1744

チャットボットで AI と対話していることの通知、合成コンテンツ、deepfake、公共的事項の AI 生成文など、用途別の透明性義務を確認する。日本から提供しても対象になり得る。

EU 内の個人を意図的に対象に商品・サービスを提供または行動監視する場合など、EU 外事業者にも GDPR が適用され得る。European Commission: Application of the GDPR

「英語ページがある」だけで直ちに同じ結論になるわけではない。対象地域、決済、広告、顧客、追跡の実態を専門家と確認する。

決済・マーケットプレイス・ポイント

通常の PSP で自社商品代金を受け取る設計と、顧客資金の預り・他人間送金・ウォレット・換金可能ポイント・マーケットプレイス分配は法的性質が異なる。資金決済法、割賦販売法、犯罪収益移転防止、税等の検討が必要になり得る。

自家型前払式支払手段も基準日未使用残高 1,000 万円超で届出等が生じ得る。早期に金融庁 FinTech サポートデスクや専門家へ確認する。金融庁 FinTech サポートデスク

規制を避けるため、可能なら登録済み決済事業者の標準マーケットプレイス/分配機能と契約構造内に留めるが、採用だけで自社の義務が消えるとは限らない。

外注・フリーランス・取適法

自分がフリーランスへ発注する側になる場合、フリーランス法により全ての発注事業者に取引条件の明示が求められる。60 日以内のできる限り短い支払期日、募集情報の的確表示、ハラスメント対策、禁止行為、育児介護への配慮、中途解除等は、発注者が従業員を使用するか、委託期間がどれほどかなどで適用範囲が異なる。自分の体制と契約期間で判定する。公正取引委員会フリーランス法

下請法は 2026 年 1 月 1 日から改正・名称変更された取適法として運用される。資本金・従業員数・委託内容により、明示、記録、60 日以内支払、手形禁止、価格協議等を確認する。公正取引委員会取適法

口頭・チャットだけで開始せず、業務範囲、成果、検収、支払、知財、秘密、再委託、個人情報、セキュリティ、終了を文書化する。

contractor、employee、referral、affiliate、agent、reseller、implementation、white-label、OEM の区別、actual work review、顧客責任、権限、受入、報酬、現金、創業者時間、offboarding の運用は 18 章を正本とする。この章の法務確認を、安価な時給や partner 売上見込みで上書きしない。

自分が受託する側 — 2026-08-02

標準 SaaS の購読が直ちに業務委託になるとは限らない。一方、顧客仕様のプログラム、専用連携、移行、検証レポート、継続的役務等は、契約名にかかわらず実態で業務委託と判断され得る。

従業員を使用しない個人や一定の一人法人が企業から業務委託を受ける場合、フリーランス法の対象になり得る。全ての業務委託事業者に取引条件の直ちの書面・電子明示が求められる。発注者が従業員を使用する場合は、期間を問わず 60 日以内支払等が生じ、さらに 1 か月以上の継続委託では七つの禁止行為、6 か月以上では育児介護への配慮や解除・不更新の原則 30 日前予告等が加わる。期間、発注者の体制、取引内容を分けて判定する。公正取引委員会フリーランス法 Q&A

取適法は 2026-01-01 施行で、委託類型を確認した上で資本金基準、資本金基準で捕捉されない場合は従業員数基準により、適用を取引ごとに判定する。適用時は発注明示、記録、受領・役務提供から 60 日以内の支払、減額・買いたたき・不当なやり直し等の禁止を確認する。検収完了日や請求書受領日を理由に法定の支払時計を後ろへずらさず、振込手数料を報酬から控除しない。公正取引委員会取適法 / 発注者の義務

法の適用有無だけで資金繰りは解決しない。受領・役務提供日、客観的な検査期間、具体的支払日を分け、前払、milestone、与信上限、停止条件を交渉する。

個人事業の税務・会計

2026 年の現行事項

項目	確認内容
開業届	2026-01-01 以後の開業は、開業した年分の所得税確定申告期限まで。古い「1 か月以内」情報と区別。国税庁 e-Tax 案内
青色申告承認申請	原則その年 3 月 15 日、1 月 16 日以後の新規開業は開始日から 2 か月以内。国税庁
青色申告特別控除	複式簿記等で 55 万円、その要件に加えて期限内 e-Tax または優良電子帳簿の要件を満たせば 65 万円。55 万円・65 万円の要件外の青色申告者は 10 万円。国税庁
電子取引保存	電子で受領・交付した契約、注文、請求、領収等は要件に従い電子データ保存。国税庁
B2C 価格	消費者への事前価格表示は原則税込総額表示。国税庁

開業届の期限と青色申告承認申請の期限は別。青色申告を希望する場合、開業届の新しい期限だけを見て申請を遅らせない。

インボイスと電子取引保存 — 2026-08-01

適格請求書を発行できるのは登録事業者であり、登録中は売上規模だけを理由に消費税申告義務が免除されない。未登録でも B2B 販売自体は禁止されないが、登録番号を偽らず、顧客の調達影響と納税・事務費を比較する。国税庁 No.6498

適格請求書の法定記載事項は、発行者名・登録番号、取引年月日、取引内容、税率別対価と適用税率、税率別消費税額、受領事業者名等である。国税庁 No.6625 支払期日、PO、提出方法、振込先は回収・契約上の項目として別に照合する。交付した適格請求書の写し、修正、返還インボイス等も法定期間保存する。

メール、クラウド、電子契約で送受信した契約、注文、請求、領収等は、送信・受領した双方の電子データを電子帳簿保存法の要件に従って保存する。見読可能性、日付・金額・取引先による検索、タイムスタンプ・訂正削除履歴・事務処理規程等による改ざん防止を、自分に適用される要件・猶予措置に合わせる。紙へ出力するだけで電子データを捨てず、vendor のアカウント停止後も読める export を用意する。国税庁電子取引関係 / 電子取引 Q&A 2026 年 7 月版

消費税・インボイスの経過措置

基準期間の課税売上高 1,000 万円以下でも、適格請求書発行事業者として登録中は消費税申告が必要。
2 割特例は 2026 年 9 月 30 日までの日を含む対象課税期間までで、一定の個人事業者は 2026 年分申告まで対象になり得る。
2026 年度税制改正で、一定の個人事業者は 2027 年分・2028 年分に売上税額の 3 割を納付する経過措置が設けられた。法人は対象外で、要件がある。国税庁令和8年度税制改正・インボイス

登録は B2B の受注効果、納税額、価格転嫁、事務費を比較する。顧客の一言だけで決めない。

現金管理

事業口座・カードを分ける
決済総額、手数料、返金、入金を分けて記帳
外貨と為替差
税、住民税、国保、年金をランウェイから除外して準備
年額前受を将来提供義務として管理
月次照合、13 週資金繰り、年次予測

年間税務・資金繰りカレンダー

税務は制度名だけでなく「いつ、いくら現金が出るか」で管理する。年初と事業条件変更時に、税・社会保険、対象期間、申告・納付予定日、見積額・確定額、積立残高、支払口座、公式根拠、専門家への確認事項を台帳化する。

毎月: 帳簿・決済照合、税・社会保険積立、源泉徴収の要否
確定申告期: 所得税、青色申告、消費税、電子保存データ
年中: 予定納税、住民税、個人事業税、国保、年金
外注・雇用開始時: 源泉徴収、給与、年末調整、法定調書、社会保険・労働保険
登録・変更時: インボイス、簡易課税、開廃業、法人成り
越境開始時: 売上先国の間接税、請求書、販売主体

期限と対象は年、自治体、事業形態、取引で変わる。公式カレンダーと専門家確認を基準にし、確定した支払は 13 週資金繰りへ反映する。積立率は固定の経験則だけで決めず、直近申告と当年見込みから四半期ごとに更新する。

法人成り

「利益 800 万円」など単一閾値で判断しない。所得税、住民税、個人事業税、国保・年金と、法人税等、均等割、役員報酬、社会保険の会社・本人負担、会計・登記費を 3 年程度で比較する。有限責任、信用、採用、出資、利益留保も含め税理士・社労士へ確認する。

法人事業所は事業主のみでも社会保険の適用対象となる。日本年金機構

B2B セキュリティ資料

顧客から聞かれる前に、短い資料を用意する。

システム・データフロー図
保存地域
データ分類と暗号化
認証・MFA・権限
テナント分離
サブプロセッサ
AI プロバイダーとデータ条件
ログ・監視・脆弱性対応
バックアップ、RPO/RTO
インシデント連絡
保存期間、出力、削除
開発・変更管理
連絡窓口

認証や監査報告書を持っていない場合は、あるように見せず、実施している統制と未対応を正確に書く。

インシデントと法的通知

事前準備

連絡網: クラウド、決済、AI、弁護士、保険、顧客
証拠保全
キー失効、フラグ停止、ロールバック
顧客通知テンプレート
PPC 等への報告判定
サイバー保険の通知条件
代理連絡者

発生時

影響拡大を止める
何が分かり、何が未確認か分ける
対象データ、人数、期間、顧客、攻撃経路を評価
法定期限を待たず専門家へ連絡
必要な当局・本人・顧客へ適時通知
削除やログ改変をせず証拠を保全
復旧と再発防止

隠蔽、根拠のない「影響なし」、ログ消去は被害を増やす。

リリース前チェック

以下はセキュリティ・法務の正本である。exact commit と release gate への対応は 13 章の変更証拠系へ記録する。