ある医療機器の使い方が、特定の担当者の頭の中だけにある。その人が不在だと、操作の判断がつかず現場が止まる。この頭の中の知識を、担当者を通さずその場で引ける形にできないか。マニュアルをLLMに読み込ませて質問で引きたい、という状況に遭遇しました。当社が手がけるのは、こうして専門領域に埋もれた知識を、必要な人が使える形に流し直す仕事です。本稿はその医療現場での一例です。

ここで多くの医療機関は「患者情報を扱うからLLMは使わない」と一律に倒しがちです。ですが厚生労働省のガイドライン第6.0版のQ&A(令和7年5月)は、契約で学習に使われないことが担保されていれば、生成AIに医療情報を入力してよいと明記しています。一律禁止のツケは二重で来ます。担当者が不在の間に現場が止まること、そして禁止をかいくぐって個人契約のLLMに患者情報が流れることです。

問いは1つです。医療機関は生成AIを禁止するしかないのか、それとも別の打ち手があるのか。

担当者が不在だと現場が止まる

先日、ある医療機関の相談でこんな話がありました。スタッフは医療機器の操作マニュアルを業務の都度すべて読み返せない。マニュアルを熟知した担当者が不在のとき、操作の判断がつかず現場が手詰まりになる。そこでマニュアルをLLMに読み込ませ、質問で必要な箇所を引けるようにしたい、という相談です。

やりたいことは、紙やPDFに埋もれた操作知識を、担当者を経由せずその場で引ける形に変えることです。担当者の記憶に頼る運用は、その人が休むと止まります。

一方でこの医療機関は、患者の個人情報に厳しい安全管理を敷いています。組織として許可した仕組みなら使えるはずですが、生成AIを業務でどう使ってよいかの線引きは、外から見るかぎりはっきりしていませんでした。線引きが無いと、現場は使ってよいのか判断に迷います。そして使ってよいか分からないまま、個人契約のLLMを各自の判断で使う流れは、医療にかぎらず各所で起きています。

「医療機関だから禁止」は規制の読み方として古い

厚生労働省「医療情報システムの安全管理に関するガイドライン第6.0版」のQ&A(令和7年5月)に、生成AIを名指しした設問があります。企Q-26は、生成AIのプロンプトとして医療情報を入力する場合、入力情報がAIの学習等のために保存されないことが契約等で担保されていれば、サーバが国内法の適用を受けている必要はないか、と問います。回答は「よい」です。医療情報が保存されないことが契約等で担保されている場合は、国内法の適用を受けていないサーバでも利用できる、と述べています。(第7.0版が令和8年6月に公表されましたが、そのQ&Aは改版中で、生成AIを名指しした設問はこの第6.0版のQ&Aにあります。)

つまり規制の側は、医療情報の入力を頭から禁じてはいません。契約で保存と学習利用を止められるか、という条件で線を引いています。

個人情報保護委員会も2023年6月2日に生成AIの注意喚起を出しています。入力が学習データに使われるサービスに個人データを入れると、原則として本人の同意が要る第三者提供にあたること(個人情報保護法第27条)、個人情報は利用目的の達成に必要な範囲内でしか扱えないこと、だから利用規約で学習利用の有無を確かめることを求めています。

この2つの文書は性格が違います。厚労省のものは医療機関向けの安全管理の指針、個人情報保護委員会のものは個人情報保護法の解釈にもとづく注意喚起です。強制力も対象も同じではありません。ただ方向は一致しています。禁止か許可かを業種で決めるのではなく、何のデータを、どんな契約のもとで入れるかで決める、という方向です。

止めるべきはデータと契約で、業種ではない

冒頭の相談に戻ります。医療機器の操作マニュアルそのものには、患者の個人情報は含まれません。だから、この用途で問題になるのは個人情報保護ではなく、別の線です。マニュアルの著作権と、機器ベンダーとの契約条件です。マニュアルをLLMに読み込ませてよいか、再配布や二次利用にあたらないかを、ベンダーとの取り決めで確認する。ここがクリアなら、患者情報の漏洩とは切り離して扱えます。

同じLLMでも、患者の氏名や病歴をプロンプトに入れる使い方は、線の向こう側です。要配慮個人情報にあたり、本人の同意と、サービスが学習に使わない契約の担保が要ります。用途ごとに線の位置が変わる、ということです。

もう一つ、契約の確認は一度で終わりません。LLMの利用規約や既定の設定は変わります。今日は入力が学習に使われない設定でも、明日そのままとはかぎりません。だから、厚労省の要件とサービスの規約・契約を突き合わせて棚卸しし、変わっていないかを定期的に確かめ、そのうえで使ってよいかを都度判断する。できれば、規約の変更や設定の意味を法人の窓口に問い合わせて確認できる事業者と契約する。個人契約の無償プランには、この問い合わせ先がありません。医療機器マニュアルのように患者情報を含まない用途でも、この確認の筋道を通しておくと、判断がぶれません。

ここで「患者情報を扱う機関なのだから、まとめて禁止したほうが安全では」という反論が出ます。ですが禁止しても、現場は便利だから使います。線引きがないまま強い制限だけをかけるほど、個人契約のLLMに患者情報が流れる経路が見えないまま残ります。一律禁止は、止めなくてよいマニュアル参照まで止め、本当に止めたい患者情報の入力は現場の私的利用として視界から消します。安全に倒したつもりが、守りたい情報の流れを見えなくしてしまう。

不安を線引きに変える二つの作業

現場の不安は、「使っていいのか分からない」「何を入れると問題になるのか分からない」という、線が引かれていないことから来ています。この不安を消すのは、禁止の通達ではなく、次の二つです。

1. 棚卸し：誰が、どのツールに、どんなデータを入れているかを洗い出す。個人契約のLLMの利用も含めて、実態を数字にする。あわせて、厚労省の要件と、使っているサービスの規約・契約書も棚卸しの対象にする。
2. ポリシーの明文化：マニュアルのように入れてよいデータと、患者の個人情報のように入れてはいけないデータを、現場が読んで判断できる短い文書にする。学習に使われないことが契約で担保され、規約変更を法人の窓口で確認できるサービスに限る、といった条件もここに書く。規約は変わるので、定期的に見直す前提にする。

棚卸しとルールの明文化そのものの進め方は、シャドーAIを扱った別稿で書きました。本記事で追加したい論点は、医療のように個人情報に厳しい業種ほど、一律禁止で判断を止めやすく、その結果として現場の私的利用が見えなくなる、という点です。

また、ポリシーの明文化により線を引いても、私用スマホで撮って自宅のAIに渡す経路までは技術では追えません。だから明文化と教育は別々に要ります。それでも、業種でまとめて禁止するより、止める対象がはっきりします。担当者が不在でも回る運用と、患者情報を守る運用を、両立させる出発点になります。

参考・一次ソース

• 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版」に関するQ&A(令和7年5月、企Q-26 生成AIへの医療情報入力／PDF)
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」(2023-06-02)
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起」リーフレット(要配慮個人情報の入力・機械学習への利用)

■お問い合わせ

「マニュアルはLLMで引きたい、でも患者情報は止めたい」。この線をどこに引き、規約が変わっても回る運用にどう落とすか。アハクラフトは、AIを業務に入れる仕組みづくりから、使ってよい範囲を都度判断できる体制の設計まで、手を動かして一緒に作ります。利用実態の棚卸しだけ、運用ルールの整備だけ、といった一部の工程からでも入れます。

お問い合わせ