医療現場での生成AI利用について：「学習オフ」だけでは不十分となる場合があります
よくある誤解の例
医療情報を生成AIに入力する際、「学習オフ設定にすれば問題ない」と受け止められることがあります。実際には、それだけでは不十分となる可能性があるとの指摘があります。
こんな使い方をしていませんか？（リスク評価が必要です）
【例1】ChatGPTで紹介状の草案作成 患者の症状経過を入力し、紹介状の文案を作成。名前は出していないし、学習オフにしているから問題ないと考えている。
【例2】個人契約の文字起こしアプリでカンファレンス記録 個人で契約したマイク付き文字起こしアプリで、院内カンファレンスを録音して議事録を作成した。
【例3】患者情報を入力して看護計画の下書きを依頼 「70代男性、心不全の既往、独居、ADL低下...」などの情報を入力し、看護計画のアイデアを求める。
これらの使い方には、見落とされがちなリスクが生じうると考えられます。
この投稿は、医療機関における業務としての生成AI活用、とくに患者等の医療情報をAIに入力・処理するケースを主に想定します。個々の事情により結論が異なりうるため、一般的な情報提供にとどめています。
医療情報に関する規制
医療情報を生成AIで扱う際には、概ね次の2点を考慮する必要があるとされています。
(1) 個人情報保護法
まず大前提として個人情報保護法を遵守する必要があります。個人情報保護法は法令であり、違反した場合は行政指導に加えて行政処分や罰則の対象となる可能性があります。
医療情報の取り扱い方法にかかわらず適用される「ベース規制」とされ、第三者提供・越境移転・委託監督などが論点となります。詳細は本稿では割愛し、以下では安全管理ガイドラインに関する論点を概観します。
(2) 安全管理ガイドライン（３省２ガイドライン）
電子化された医療情報を医療情報システムで扱う際には、個人情報保護法に加えて、医療情報システムの安全管理に関するガイドラインを考慮する必要があると考えられます。
医療機関を主な対象とするガイドラインとしては、厚生労働省「医療情報システムの安全管理に関するガイドライン」があります。また、関連するガイドラインとして、経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」があります(これらを合わせて「3省2ガイドライン」と呼ばれることがあります)。
厚生労働省の安全管理ガイドラインは、医療情報を扱う医療機関等の情報システムを対象としています。本ガイドラインは法令ではなく、違反しても直ちに罰則が適用されるわけではありません。ただし、医療機関の安全管理義務の解釈において参照される可能性があり、また医療安全の観点からも遵守が望ましいとされています。
ガイドラインが求める要件
厚生労働省の安全管理ガイドラインでは、以下のような要件が示されています。
・サーバーが国内法の適用を受ける場所に設置されていること(ただし例外あり)
・医療機関とAIを接続するネットワークが適切なセキュリティ(TLS等)を確保していること
・入力データが再学習に利用されない設定になっていること
・契約終了後に提供した医療情報が確実に削除されること
「契約等での担保」が必須とされる理由
ガイドラインのQ&Aには、「医療情報が保存されないこと」が契約等で担保されている場合の取扱いに関する記載があります（例：学習用途で保存しない条件の明確化等）。この点は、画面上の設定のみならず、契約・規程等で明文化することが望ましいとされています。
また、責任分界の明確化、仕様・運用の説明の取得、運用状況の報告資料、再委託の管理など、委託先に求める取決めを行うことが求められる旨の記載があります。
なぜ個人では対応困難なのか
標準的な利用規約のみで個別の契約条件が整っていない場合、上記の契約上の担保（責任分界・監査可能性等）を十分に確保しにくいとされています。このため、個人アカウントや個人契約のアプリ・クラウドを経由する利用には留意が必要とされています。
事例の当てはめ
ここで冒頭の3つの例に戻りましょう。一般的な個人契約の生成AIで紹介状作成や看護計画の下書き依頼をするケースは、個人契約では「責任分界の取決め」の観点から課題が残る可能性があります。
文字起こしアプリでカンファレンス記録を作成するケースも、個人のスマホアプリでの文字起こし、個人契約のクラウドサービス経由での利用といった形態は、病院・医療機関として正式な契約を結び、責任分界を明確にすることができないため、特に課題が多いと言えます。
なお、この3つの例(紹介状の草案作成、カンファレンスの文字起こし、看護計画の下書き)は、安全管理ガイドラインの観点に加えて、個人情報保護法の観点からも注意が必要です。同法においては、様々な論点が存在しており、個別具体的な事例により問題となるポイントが変化する可能性があります。一般的な情報提供に加えて、弁護士を含めた専門家に相談することが望ましいと思われます。
適切な対応方法
現実的な選択肢は限られています。
3省2ガイドラインに準拠した医療分野専用のAIサービス
例示されたセキュリティ／学習利用制御／契約上の担保等を満たしていることを確認して利用することが推奨されています。現時点での選択肢は限定的ですが、2030年に向けたDX改革の波に乗って、この数年でサービスはもっと増えてくると予想しています。
院内設置型AI（オンプレミス）
外部提供を伴わない構成は情報流出リスク低減が期待されますが、運用コストや要件適合の観点で組織内の設計・運用が求められるとされています。
さらに詳しく学ぶために
医療現場での生成AI利用に関する論点は複雑で、一概に問題点を挙げ切ることは困難です。個人情報保護法の観点からも注意が必要であり、同法には多様な論点が存在し、個別具体の事案により問題となるポイントが変化する可能性があります。一般的な情報提供に加えて、弁護士を含めた専門家に相談することが望ましいと思われます。
医療AIプラットフォーム技術研究組合「医療・ヘルスケア分野における生成AI利用ガイドライン(第2版)」は、これらの論点を体系的に整理しています。このガイドラインでは、個人情報保護法、安全管理ガイドラインの要件と解釈、実務上の対応方法が網羅的に扱われています。医療現場で生成AIの利用を検討している方は、このガイドラインを参照することをお勧めします。
https://haip-cip.org/news/20250711/
まとめ
医療情報を扱う際は、「3省2ガイドライン」に準拠した医療専用サービス、または院内設置型AIを選択することが、現時点での適切な対応となります。安易な利用は法令違反のリスクを伴います。患者の信頼を守るため、適切な選択を行ってください。
参考：
1) 厚生労働省「医療情報システムの安全管理に関するガイドライン」
2) 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
3) 医療AIプラットフォーム技術研究組合「医療・ヘルスケア分野における生成AI利用ガイドライン（第2版） 」
関連：
医療従事者が生成AIを活用するときにまずおさえておくべきこと