たとえば、夜勤明けの職員が個人のスマートフォンで無料の生成AIを開き、患者さんの経過記録をそのまま貼り付けて、要約を頼む。悪気はありません。看護記録の下書きや紹介状の文案、会議の要約など、生成AIで楽になる仕事は医療現場にたくさんあります。こうしたことは、どの医療機関でも起こり得ます。
患者さんの情報を入力すると、何が問題になるのか
患者さんの病歴や診療の内容は、個人情報保護法の「要配慮個人情報」にあたります（2条3項）。「病歴」は条文にそのまま書かれていて、診療を受けた事実も、政令で同じ扱いと定められています（同法施行令2条3号）。これを本人の同意なしに生成AIへ入力し、AI事業者が回答を作る以外の目的で使うと、個人情報保護法に違反するおそれがあります。
「名前さえ消せば大丈夫」と考えがちですが、そうとは限りません。年齢、病名、手術日が重なって特定の人だと分かるなら、個人情報にあたり得ます（法2条1項1号）。
分かれ目は、入力先の会社がその情報をどう扱うかです。個人情報保護委員会のQ&A（Q7-53）は、クラウドサービスについて、事業者が個人データを取り扱わないと契約で定められ、適切なアクセス制御もされているなら、第三者への個人データの提供にはならないと整理しています。生成AIでも、入力した内容が機械学習に使われるのか、サーバに保存されるのか、運営会社の人が見られる仕組みなのか。ここが重要な分かれ目になると考えられます。
国は、生成AIの利用について、どんな注意を呼びかけていますか
個人情報保護委員会は、2023年6月2日付の「生成AIサービスの利用に関する注意喚起等」で、個人情報取扱事業者に二つのことを求めています。プロンプトへの入力が、利用目的の達成に必要な範囲内であるかを確かめること。個人データを入力するなら、AI事業者がそれを機械学習に利用しないことなどを、事前に十分確認することです。
厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、令和8年6月に第7.0版へ改定されました。令和8年9月付のQ&A（企画管理編Q18）には、生成AIの設問が加わっています。入力した情報がAIの学習等のために保存されないことが契約等で担保されていれば、サーバが国内法の適用を受けている必要はない、という回答です。ただし、これはサーバの所在地についての回答にとどまります。どんな患者情報でも自由に入力してよい、という意味ではありません。
入力に気づいたら、まず聴き取りと保全から
最初にするのは、入力した職員からの聴き取りです。使ったサービスとアカウントの種類、入力した日時と内容、何人分か。画面と履歴は、院内で保全しておきます。次に、利用規約で、機械学習への利用、データの保存期間、運営側の閲覧の有無を調べ、履歴の削除と学習利用の停止の設定をします。
そのうえで、個人情報保護法26条に基づく報告対象事態にあたるかを判断します。要配慮個人情報を含む個人データは、漏えい等が実際に起きた場合だけでなく、「発生したおそれがある」段階でも報告の対象です（同法施行規則7条1号）。報告対象にあたるときは、事態を知った日（法人のいずれかの部署が知った時点）から報告期限を起算して、対応を進めます。
個人情報保護委員会への報告は、二段階です。報告対象事態を知ったら、速やかに第1報（速報）を入れます。「速やか」の目安は概ね3〜5日以内とされています。続く確報は、知った日から30日以内、不正の目的をもって行われたおそれがある場合は60日以内です（施行規則8条）。患者さんご本人への通知も求められます（法26条2項）。
ただ、生成AIへの入力が直ちに「漏えい等」にあたるかどうかは、入力先サービスの契約条件によって判断が分かれ得ます。個人情報保護委員会の通則ガイドラインの定義では、漏えいとは「個人データが外部に流出すること」です。入力先のAI事業者がデータを取り扱わない条件だと確認できれば、外部への流出にはあたらないと整理できる余地があります。反対に、学習への利用や運営側の閲覧を否定できないなら、漏えいのおそれがある事態として、報告を検討する場面です。
確認している間も、期限は進んでいます。迷ったら、早めにご相談ください。
職員の処分は、ルールの周知が前提です
職員を懲戒処分にする場合、行為の性質や態様その他の事情に照らして、客観的に合理的な理由を欠き、社会通念上相当であると認められないときは、権利の濫用として処分は無効になります（労働契約法15条）。
手続の面では、最高裁平成15年10月10日判決が、懲戒処分には二つのことが必要だとしています。あらかじめ就業規則に懲戒の種別と事由を定めておくこと。そして、その就業規則を労働者に周知させる手続が採られていることです。院内に生成AIへの入力を禁じる明確なルールがなく、事前の研修もしていなかったのなら、重い処分は後から効力を争われやすくなります。
処分の妥当性を考えるときは、入力した情報の機微性と件数、事前のルールの周知や研修の有無、故意か過失か、生じた実害の程度、自主的な申告の早さ、過去の同種事案との均衡などが考慮され得ます。
医療資格には、法律上の守秘義務もついてきます。医師、薬剤師、助産師は刑法134条、看護師などは保健師助産師看護師法42条の2と44条の4に定めがあり、違反の罰則は、いずれも6月以下の拘禁刑または10万円以下の罰金です（2025年6月1日より拘禁刑に改正）。どちらも被害者の告訴がなければ起訴されない親告罪です（刑法135条、保助看法44条の4第2項）。なお、生成AIへの入力が「秘密を漏らした」にあたるかどうかは、入力先サービスの仕組みや管理のしかたによって、見解が分かれ得ます。
院内ルールに書く5点
決めておくのは、利用を認めるサービスの指定、入力してはならない情報の範囲、匿名化の具体的な手順、例外的に利用するときの承認手続、誤って入力したときの報告窓口の5点です。就業規則や情報管理規程に明記して、周知します。従業者の監督義務（個人情報保護法24条）を果たすために、医療機関が講じ得る措置です。
利用を認めるのは、学習に使われないこと、データが保存されないことなどを法人契約等で確認できたサービスに限ります。私用の個人アカウントでの業務利用は認めない、とするのが分かりやすい形です。入力を禁じる情報は、氏名、患者ID、生年月日、住所などの基本情報に加えて、診療録の文章や検査画像の貼り付けまで具体的に挙げます。匿名化の手順も、日付は月単位に丸める、年齢は年代に置き換える、といった基準まで。
もう一つ、誤って入力した職員が「処分されるかもしれない」と恐れて隠してしまうと、初動が遅れます。気づいた当日に申し出ることをルールにし、すぐに自己申告した場合の扱いも決めておきます。個人情報保護委員会と厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」にも、離職後を含む守秘義務の徹底、教育研修の実施、報告連絡体制の整備が挙げられています。研修をしていなかったなら、職員を処分する前提も欠けることになります。
弁護士に相談すると
入力に至った経緯と、利用サービスの規約を拝見するところから始めます。そのうえで、個人情報保護委員会への報告対象にあたるかの法的な見極め、報告書面や患者さんへの説明文案の準備、当該職員への聴き取りと処分の検討、再発を防ぐ院内規程の整備まで、順に進めます。
事案ごとに判断が異なるため、結論をお約束することはできません。ただ、限られた報告期限の中で法的な根拠を整理し、対応の優先順位をはっきりさせることはできます。
よくあるご質問
Q. 氏名を消して入力すれば、問題にならないのですか？
氏名を削除しただけで、問題がなくなるとは限りません。年齢や希少な病名、手術日などの組み合わせで特定の患者さんだと分かるなら、個人情報にあたり得ます（個人情報保護法2条1項1号）。どこまで削るかは、具体的な手順として院内で決めておきます。
Q. 院内で生成AIを全面的に禁止すれば足りますか？
全面禁止だけでは、足りないことが多いです。禁止しても、現場に楽にしたい仕事がある限り、職員が私物のスマートフォン等で隠れて使う状況が生まれやすく、病院が実態をつかめなくなるためです。使ってよい環境と入力できる情報の範囲を決め、承認と報告のルールを整えるほうが、現場の実態に合った管理になります。
Q. 入力が分かったとき、患者さんに知らせる必要はありますか？
個人情報保護法26条の報告対象事態にあたるなら、患者さんご本人への通知が法律上義務付けられています（同条2項。通知が困難な場合は、代わりの措置をとります）。報告対象にあたらない場合でも、入力先サービスの条件や患者さんへの影響によって、説明が要るかどうかは変わります。対外的な連絡をする前に、ご相談ください。
医療機関の個人情報・労務のご相談
大元・秋山法律事務所（広島市中区八丁堀）は、医療機関を運営する側から、個人情報の取り扱い、職員の労務管理や懲戒処分、院内規程の整備のご相談をお受けしています。ご予約・ご紹介の方は初回30分無料です。
医療機関向けの法務のご案内はこちら／職員の労務問題のご案内はこちら／職員のSNS投稿による情報漏えい対応のコラムはこちら／ご相談のお申し込みはこちら