医療現場での生成AI利用について：「学習オフ」だけでは不十分となる場合があります

よくある誤解の例

医療情報を生成AIに入力する際、「学習オフ設定にすれば問題ない」と受け止められることがあります。実際には、それだけでは不十分となる可能性があるとの指摘があります。

こんな使い方をしていませんか？（リスク評価が必要です）

【例1】ChatGPTで紹介状の草案作成患者の症状経過を入力し、紹介状の文案を作成。名前は出していないし、学習オフにしているから問題ないと考えている。

【例2】個人契約の文字起こしアプリでカンファレンス記録個人で契約したマイク付き文字起こしアプリで、院内カンファレンスを録音して議事録を作成した。

【例3】患者情報を入力して看護計画の下書きを依頼「70代男性、心不全の既往、独居、ADL低下...」などの情報を入力し、看護計画のアイデアを求める。

いずれの使い方でも、気づきにくいリスクが生じうると考えられます。

この記事は、医療機関が業務で生成AIを使う場面を扱います。主に、患者等の医療情報を生成AIに入力して処理するケースを想定しています。個々の事情により結論が異なりうるため、一般的な情報提供にとどめています。

医療情報に関する規制

医療情報を生成AIで扱う際には、概ね次の2点を考慮する必要があるとされています。

(1) 個人情報保護法

まず、個人情報保護法を遵守する必要があります。個人情報保護法は法令であり、違反した場合は行政指導に加えて行政処分や罰則の対象となる可能性があります。
医療情報の取り扱い方法にかかわらず適用される「ベース規制」とされ、第三者提供・越境移転・委託監督などが論点となります。ここからは、安全管理ガイドラインに関する論点を取り上げます。

(2) 安全管理ガイドライン（３省２ガイドライン）

電子化された医療情報を医療情報システムで扱う際には、個人情報保護法に加えて、医療情報システムの安全管理に関するガイドラインを考慮する必要があると考えられます。

医療機関を主な対象とするガイドラインとしては、厚生労働省「医療情報システムの安全管理に関するガイドライン」があります。また、関連するガイドラインとして、経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」があります(これらを合わせて「3省2ガイドライン」と呼ばれることがあります)。

厚生労働省の安全管理ガイドラインは、医療情報を扱う医療機関等の情報システムを対象としています。本ガイドラインは法令ではなく、違反しても直ちに罰則が適用されるわけではありません。ただし、医療機関の安全管理義務の解釈において参照される可能性があり、また医療安全の観点からも遵守が望ましいとされています。

ガイドラインが求める要件

厚生労働省の安全管理ガイドラインでは、以下のような要件が示されています。
・サーバーが国内法の適用を受ける場所に設置されていること(ただし例外あり)
・医療機関とAIを接続するネットワークが適切なセキュリティ(TLS等)を確保していること
・入力データが再学習に利用されない設定になっていること
・契約終了後に提供した医療情報が確実に削除されること

「契約等での担保」が必須とされる理由

ガイドラインのQ&Aには、「医療情報が保存されないこと」が契約等で担保されている場合の取扱いに関する記載があります（例：学習用途で保存しない条件の明確化等）。この点は、画面上の設定のみならず、契約・規程等で明文化することが望ましいとされています。

また、委託先との責任の分担、仕様や運用の説明、運用状況の報告資料、再委託の管理について、取り決めが必要だと記載されています。

なぜ個人では対応困難なのか

標準的な利用規約のみで個別の契約条件が整っていない場合、上記の契約上の担保（責任分界・監査可能性等）を十分に確保しにくいとされています。このため、個人アカウントや個人契約のアプリ・クラウドを経由する利用には留意が必要とされています。

事例の当てはめ

冒頭の例のうち、一般的な個人契約の生成AIで紹介状を作ったり、看護計画の下書きを依頼したりする場合は、「責任分界の取決め」の観点から課題が残る可能性があります。

カンファレンスの記録を、個人のスマホアプリや個人契約のクラウドサービスで文字起こしする場合も、病院・医療機関として正式な契約を結び、責任分界を明確にすることができないため、特に課題が多いと言えます。

なお、この3つの例(紹介状の草案作成、カンファレンスの文字起こし、看護計画の下書き)は、安全管理ガイドラインの観点に加えて、個人情報保護法の観点からも注意が必要です。個人情報保護法に関しては複数の論点があり、何が問題になるかは事例によって変わる可能性があります。一般的な情報提供に加えて、弁護士を含めた専門家に相談することが望ましいと思われます。

適切な対応方法

現実的な選択肢は限られています。

3省2ガイドラインに準拠した医療分野専用のAIサービス

例示されたセキュリティ／学習利用制御／契約上の担保等を満たしていることを確認して利用することが推奨されています。現時点での選択肢は限定的ですが、2030年に向けたDX改革の波に乗って、今後数年でサービスは増えると予想しています。

院内設置型AI（オンプレミス）

医療情報を外部に提供しない構成なら、情報流出のリスクを抑えられると期待されます。一方、運用コストや要件を踏まえた設計・運用が、組織内で求められるとされています。

さらに詳しく学ぶために

医療現場での生成AI利用に関する論点は複雑で、一概に問題点を挙げ切ることは困難です。個人情報保護法の観点からも注意が必要であり、何が問題になるかは、個々の事案によって変わる可能性があります。一般的な情報提供に加えて、弁護士を含めた専門家に相談することが望ましいと思われます。

医療AIプラットフォーム技術研究組合「医療・ヘルスケア分野における生成AI利用ガイドライン(第2版)」は、これらの論点を体系的に整理しています。個人情報保護法から、安全管理ガイドラインの要件と解釈、実務での対応方法まで扱っています。医療現場で生成AIの利用を検討している方は、このガイドラインを参照することをお勧めします。

https://haip-cip.org/news/20250711/

まとめ

医療情報を扱う際は、「3省2ガイドライン」に準拠した医療専用サービス、または院内設置型AIを選択することが、現時点での適切な対応となります。安易な利用は法令違反のリスクを伴います。患者の信頼を守るため、適切な選択を行ってください。

参考：
1) 厚生労働省「医療情報システムの安全管理に関するガイドライン」
2) 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」
3) 医療AIプラットフォーム技術研究組合「医療・ヘルスケア分野における生成AI利用ガイドライン（第2版）」

関連：
医療従事者が生成AIを活用するときにまずおさえておくべきこと

医療従事者が生成AIを活用するときにまずおさえておくべきことshoei05.com