クリニックが生成AIを使う際の個人情報保護とガイドライン整備の進め方

「電子カルテの入力補助にAIを使いたいが、患者情報が外部に漏れないか不安だ」

クリニック経営者からこうした相談が急増しています。生成AIは問診記録の整理・診断書の下書き・患者向け説明文の作成を大幅に効率化できる一方、個人情報の取り扱いを誤ると医療機関としての信頼を根底から失いかねません。

この記事では、クリニックが生成AIを業務利用する際に必要な個人情報保護の考え方と、現場で運用できるガイドラインの整備手順を具体的に解説します。法令要件の整理から、スタッフ教育・運用ルール策定まで一通りカバーします。

クリニックに生成AIが普及しつつある現状と個人情報リスクの実態

生成AIの業務活用は、医療業界でも急速に広がっています。電子カルテメーカー各社がAI連携機能の提供を拡大し、院内の文書作成や医薬品情報の検索、問診票の自動入力補助などに活用されるケースが増えています。2026年時点の調査では、クリニック・診療所の約35%が何らかの形でAIツールを試験導入しており、その数は年々増加傾向にあります。

しかし、クリニックが扱う情報は一般企業のそれとは次元が異なります。氏名・住所・生年月日といった基本個人情報だけでなく、病名・投薬内容・検査結果・家族歴といった「要配慮個人情報」が含まれます。個人情報保護法（2022年改正施行）では、要配慮個人情報の取り扱いに特別な制限を設けており、本人の同意なしに第三者提供することは原則禁止です。

一般的なクラウド型の生成AIサービスは、入力したテキストがモデル改善に利用される場合があります。2023年にはイタリアの個人情報保護当局がChatGPTの利用を一時停止した事例が報告され、日本でも個人情報保護委員会が生成AIサービス事業者に対してデータ利用方針の確認を求める動きが始まりました。クリニックがこれを見過ごしたまま運用を続けると、万一の際に「個人情報の第三者提供に当たる」と判断されるリスクがあります。

具体的なリスクとして考えられるのは3点です。第一に、スタッフが患者名や病名を含む文書をそのまま生成AIに貼り付けて処理させた場合、その情報が外部サーバーに送信・記録される可能性があります。第二に、AIが生成した回答が誤った医療情報を含んでいた場合、患者への説明責任が問われます。第三に、万一の情報漏えいが発覚した際、ガイドラインが整備されていなければ「管理体制の不備」として行政指導の対象となり得ます。

クリニック経営者が「使えそうだから試してみる」という判断で導入を進めた場合、後からガイドライン整備に多大なコストがかかります。最初に整備の枠組みを作っておくことが、中長期的なコスト削減と患者からの信頼維持につながります。

個人情報保護法と医療規制──クリニックが知るべき3つの要件

クリニックが生成AIを導入する前に、最低限理解すべき法令・ガイドラインが3つあります。難しい条文を丸暗記する必要はありません。「どの行為が規制対象になるか」を把握しておくことが重要です。

1. 個人情報保護法（2022年改正）

2022年4月施行の改正で「漏えい等の報告義務」が強化されました。患者情報の漏えいが疑われた場合、個人情報保護委員会への報告と本人通知が義務付けられています。さらに「第三者提供」の定義が広がり、外部のクラウドサービスへのデータ送信が第三者提供に該当する場合があります。

生成AIサービスに患者情報を入力することが「提供」と見なされると、本人同意なしには許可されません。ただし、患者情報を特定できない形に加工（匿名化・仮名化）した場合は、この制限が緩和されます。「匿名化してから使う」という運用ルールが、最初の防衛線として有効です。

2. 個人情報保護委員会・厚生労働省共同ガイダンス

個人情報保護委員会と厚生労働省が共同で策定した「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」は、クリニックに直接適用されます。電子カルテ・レセプト等のデータが「要配慮個人情報」に当たることを明示しており、取り扱いには安全管理措置の整備が求められます。具体的には、アクセス制御・ログ管理・委託先の監督が含まれます。生成AIサービスの事業者は委託先に該当する可能性があるため、事業者の選定と契約内容の確認が必要です。

3. 厚生労働省「医療情報システム安全管理ガイドライン」第6.0版

2023年5月改定の第6.0版では、クラウドサービスの利用に関する要件が強化されました。医療情報をクラウド上で処理する場合、「サービス提供者との責任分界の明確化」「データの所在・処理場所の把握」「アクセスログの保全」が必要です。生成AIをクラウドサービス経由で使う場合、このガイドラインの要件を満たしているかの事前確認が不可欠です。

執筆時点（2026年6月時点）では、厚生労働省が生成AI専用のガイドライン策定に向けた検討を進めています。今後、医療現場での生成AI活用に関してより具体的な要件が示される見込みです。最新の情報は厚生労働省の公式サイトで確認することをお勧めします。

生成AIの利用形態別リスクと対策の比較

クリニックが生成AIを使う方法は、大きく「クラウドサービス型」と「自社サーバー内AI」の2種類に分かれます。それぞれのリスクと対策を比較した上で、クリニックの規模・予算に応じた選択が重要です。

観点	クラウドサービス型AI （ChatGPT等）	自社サーバー内AI （院内完結処理）
初期コスト	低（月額制で即利用可）	高（サーバー購入・設定が必要）
患者情報の外部送信リスク	高（入力内容が外部へ送信）	なし（院内完結で外部送信なし）
個人情報保護法上のリスク	高（詳細な運用ルール必須）	低（外部提供が発生しない）
導入の手軽さ	高（アカウント開設のみ）	低（技術的なセットアップが必要）
カスタマイズ性	低～中（プロンプト設定が主）	高（院内データでの活用も可能）
ランニングコスト	月数千円～数万円（従量制）	電力費・保守費のみ（低コスト安定）
セキュリティ監査の容易さ	中（提供事業者の方針に依存）	高（院内で全ログ管理が可能）
2年間の総コスト目安（5床未満クリニック）	24万円～60万円	20万円～40万円（初期込み）

クラウドサービス型を使う場合、患者情報を直接入力しないことが大原則です。「病名＋年齢」のような特定につながる組み合わせであっても入力しないというルールを、スタッフ全員で徹底する必要があります。

自社サーバー内AIを選ぶ場合、初期投資は発生しますが、患者情報を院内のサーバーから外に出さずに処理できます。診療所の規模であれば低価格専用サーバーを院内に設置して生成AIを動かす形が、セキュリティと費用のバランスの取れた選択肢です。月額のクラウドサービス費用をかけずに済むため、2年～3年のトータルコストで比較すると、院内AIの方が経済的になるケースも多くあります。また、患者情報を院外に出さないという運用を徹底できるため、法令対応のシンプルさでも優位性があります。

クリニック向け生成AIガイドラインの整備5ステップ

ガイドライン整備は一度に完成を目指す必要はありません。現場で運用できる「80点の状態」を素早く作り、改善を積み重ねる方が実効性があります。以下の5ステップを順に進めることを推奨します。

ステップ1. 利用目的の明確化と業務棚卸し

最初に「何のためにAIを使うか」を決めます。クリニックで多い活用用途は次のとおりです。

・診断書・紹介状の下書き作成: 医師が骨子を口頭で説明し、AIが文章を生成する形で作業時間を短縮する
・患者向け説明文の作成: 治療内容・薬の説明を分かりやすい表現に変換する
・問診票データの整理: 自由記述の問診票をカテゴリ別に整理してカルテ入力を効率化する
・医療文献の要約: 英語論文や学会資料を日本語で要約して情報収集を効率化する
・スタッフ向けマニュアル作成: 院内ルールの文書化や研修資料の作成を補助する

この棚卸しで「患者情報を含む業務」と「含まない業務」に分類します。患者情報を含まない業務（医療文献要約・マニュアル作成等）は、クラウドサービス型でも比較的安全に使えます。患者情報を含む業務については次のステップで対策を決めます。棚卸しの結果を一覧表にまとめておくと、後からガイドラインを更新する際にも参照しやすくなります。

ステップ2. 利用ルールの文書化

棚卸し結果をもとに、スタッフが迷わないシンプルなルールを作ります。分厚いマニュアルは読まれません。A4一枚に収まる「AI利用ルール一覧」程度を目安にします。最低限含めるべき項目は次のとおりです。

・禁止事項の明記: 「患者氏名・生年月日・病名を含む文章は生成AIに入力しない」
・匿名化のルール: 「氏名は『患者A』に置き換え、生年月日は『50代男性』等に変換してから入力する」
・使用可能なツールの限定: 「院内で承認したサービス以外は使わない（シャドーAI防止）」
・AIが生成した内容の確認義務: 「医師・責任者が必ず内容を確認してから患者に提供する」
・インシデント報告経路: 「誤操作・情報の外部送信が疑われた際の連絡先と初動手順を明記する」

ルールを作る際、「なぜそのルールが必要か」をセットで記載しておくことで、スタッフの理解と自発的な遵守につながります。「患者情報が外部に漏れた場合、個人の責任問題になる可能性がある」という具体的なリスクを示すことが効果的です。

ステップ3. 委託先（AIサービス提供事業者）の確認

個人情報保護法では、個人情報の取り扱いを外部事業者に委託する場合、委託先の監督義務が発生します。使用する生成AIサービスが以下の要件を満たしているかを確認します。

・入力データを学習に使用しない設定があるか: 多くのサービスで「オプトアウト」設定が用意されています
・データの所在地（サーバーの設置国）: 日本国内のサーバーを使用しているかを確認します
・プライバシーポリシーの内容: 医療・機密情報の取り扱いに関する記載を確認します
・データ処理に関する契約（DPA）の締結: 事業者によっては個別に契約が必要な場合があります

費用をかけて導入したサービスが、後から医療情報の取り扱いに対応していないと判明するケースも報告されています。事前確認を徹底することで、後からのサービス変更コストを避けられます。確認した内容は文書で記録し、定期見直し時の参照資料として保管することをお勧めします。

ステップ4. スタッフ教育とテスト運用

ガイドラインは作るだけでは機能しません。スタッフ全員への周知と、実際に使ってみる「テスト運用期間」の設定が必要です。

教育には次の方法が効果的です。まず、実際の誤操作シナリオ（例：「患者の氏名を入力してしまった場合はどうするか」）を使ったロールプレイ形式の研修を行います。次に、月1回程度の「AI利用状況の共有会」を設け、スタッフがどんな使い方をしているかを確認します。問題のある使い方があればその場で是正し、良い活用例はノウハウとして共有します。

Before: 研修なしで導入→スタッフが患者情報を含む文書をそのまま入力→情報漏えいリスクが常態化
After: ロールプレイ研修→匿名化ルールを全員が理解→誤操作ゼロで安全運用が定着

テスト運用は2週間～1か月を目安に設定します。この期間は「患者情報を含まない業務のみAI利用可」のルールでスタートし、問題がなければ段階的に対象業務を拡大するのが安全な進め方です。テスト運用終了後に全スタッフからフィードバックを集め、ガイドラインを改善してから本格運用に移行します。

ステップ5. 定期見直しと記録管理

ガイドラインは一度作って終わりではありません。生成AIの技術・法令・ガイドラインは急速に変化しているため、半年に1回の定期見直しを設定します。見直し時に確認するポイントは次のとおりです。

・使用中のサービスの利用規約・プライバシーポリシーの改訂: 事業者は規約を変更することがあります。改訂があった場合は再評価が必要です
・新しい法令・ガイドラインの公布: 厚生労働省・個人情報保護委員会の公式情報を定期的に確認します
・院内でのAI利用状況の記録: 「いつ・誰が・どのAIを・どんな業務に使ったか」の記録を保管します
・インシデントの有無と対応履歴: 誤操作や情報漏えい疑いが発生した場合の記録と対応内容を文書化します

記録管理は、万一のトラブル時に「適切な管理体制があった」ことを証明する根拠になります。電子カルテの管理台帳に並列して管理するエクセルシート形式で十分です。記録の保管期間は最低3年を目安にします。

よくある質問

Q1. 患者名を伏せれば、病名や症状をAIに入力しても問題ありませんか？

氏名を除いても、病名・年齢・診療科の組み合わせによっては個人が特定できる場合があります。個人情報保護法では「他の情報と照合することで個人を識別できる情報」も個人情報に含まれます。匿名化は「患者A」「50代男性・内科受診」程度に情報を抽象化した上で、特定につながる属性を複数組み合わせないよう注意することが重要です。不安な場合は、個人情報保護委員会が公表している匿名加工情報のガイダンスを参考にしてください。

Q2. 無料の生成AIツールは医療現場で使えませんか？

「無料か有料か」ではなく「入力したデータをサービス側が学習に使うかどうか」が判断基準です。無料版のサービスでも、設定でデータ学習をオプトアウトできる場合があります。逆に有料版でも、プライバシーポリシーを確認しないまま使うと情報が外部に送信されるリスクがあります。サービス選定の際は、データの取り扱い方針を事業者に文書で確認することをお勧めします。

Q3. 院内のサーバーにAIを置けば、法令上の制約はなくなりますか？

外部への情報送信リスクはなくなりますが、「安全管理措置」の義務は院内AIでも変わりません。アクセス制御（権限のないスタッフがAIを使えない状態にする）・ログ管理（誰が何をAIに入力したかの記録）・物理的な安全管理（サーバーへのアクセス制限）は引き続き必要です。ただし、外部の事業者への委託監督義務がない分、コンプライアンス対応がシンプルになる利点はあります。

Q4. スタッフが個人のスマートフォンでAIアプリを使うことを防げますか？

技術的な制限（院内Wi-Fiフィルタリング等）をかけることもできますが、まず「院内で未承認のAIツール使用禁止」をガイドラインに明記し、なぜ禁止なのかをスタッフが納得できる形で説明することが先決です。「患者情報の漏えいが個人の責任問題になる」という具体的なリスクを伝えることで、自発的なルール遵守につながります。

Q5. ガイドライン整備にかかるコストと期間の目安はどれくらいですか？

外部コンサルタントを使わず自院で整備する場合、院長1人が1日2時間程度を投入して2週間～1か月で基本的な枠組みが完成します。費用は実質ゼロですが、法令解釈の確認が必要な場合は個人情報保護の専門家への相談（数万円程度）をお勧めします。コンサルタントに委託する場合は30万円～100万円程度が市場相場ですが、最初から全額投資する必要はありません。まず自院で骨格を作り、第三者にチェックしてもらう形が費用対効果の高いアプローチです。

生成AI導入前チェックリスト

以下のチェックリストを使って、導入前の準備状況を確認してください。すべての項目に対応した状態で運用を開始することを推奨します。

・利用目的の明確化: 「何のためにAIを使うか」を院内で文書化した
・患者情報の分類: AI利用業務に「要配慮個人情報」が含まれるかを棚卸しした
・サービス選定: 使用するAIサービスのプライバシーポリシー・データ学習設定を確認した
・委託先との契約確認: 必要に応じてデータ処理に関する契約（DPA）を締結した
・匿名化ルールの制定: 患者情報を入力する場合の匿名化・仮名化の手順を文書化した
・禁止事項の明文化: スタッフが迷わない禁止事項を院内ガイドラインに記載した
・スタッフへの周知: 全スタッフへガイドラインを説明し、確認のサインをもらった
・インシデント対応手順の策定: 情報漏えいが疑われた際の連絡経路と初動手順を定めた
・ログ・記録管理の設定: 「誰が・いつ・何を・どのAIで処理したか」の記録方法を決めた
・定期見直しスケジュールの設定: 半年に1回のガイドライン見直し日程を院内カレンダーに登録した

まとめ

クリニックが生成AIを安全に活用するためのポイントを整理します。

生成AIは医療現場の業務効率化に大きな可能性を持っています。ただし、患者情報という最も機密性の高い情報を扱う医療機関では、「使えそうだから試してみる」ではなく「安全に使える体制を整えてから使う」という順番が欠かせません。

個人情報保護法・医療情報システム安全管理ガイドラインの要件を踏まえた上で、クラウドサービス型と院内処理型の特性を理解し、クリニックの規模・予算・扱う情報の機密度に応じた利用形態を選ぶことが第一歩です。患者情報の外部送信リスクを根本から排除したい場合は、院内に専用サーバーを設置して院内完結で処理する方法が、法令対応の観点でも運用コストの観点でも有効な選択肢です。

ガイドライン整備は「完璧な状態」を目指すより、「現場で使える80点の状態」を素早く作り、定期的に改善する方が実効性があります。この記事で紹介した5ステップを参考に、まず利用目的の棚卸しから始めてください。

当社では、クリニック・士業事務所など機密情報を扱う事業者向けに、情報を外に出さない社内専用AI（ローカルLLM）の導入支援を行っています。院内にサーバーを設置し、患者情報を外部に送信しない形でAIを活用する仕組みの構築から、スタッフ向け研修・ガイドライン策定のサポートまで一貫して対応します。