メインコンテンツへスキップ
AMPL
お問い合わせ

医療で使う法的・倫理的注意点

個人情報・著作権・診療責任。AIに患者情報を貼る前に絶対に知っておきたい境界線。

  • レッスン 4 / 13
  • 11分

教育目的の教材です。生成AIの出力を診断・治療の判断にそのまま使わないでください。最終判断は医師が行います。

このレッスンで

終わる頃には、次ができるようになります

  • 診療情報は個人情報保護法の要配慮個人情報に該当すると理解し、患者を特定できない水準まで匿名化してAIに入力できる
  • AIの診断や治療提案は参考情報にすぎず、診療の最終責任は使用した医師にあると説明できる
  • AIツールを導入する前に院内の担当部署へ確認し、出力はそのまま使わず自分の言葉に書き直して事実を原典で確認できる

ツールの全体像が見えた。次は境界線の話をする。

はじめに：実際に起きたこと

ある初期研修医が退院サマリーの下書きをChatGPTに任せた。氏名、生年月日、病院名、診断、検査値、家族構成。全部そのまま貼り付けた。個人情報保護法上の要配慮個人情報の第三者提供に該当しうる行為である。

AIが現場に入る速度は、ルール整備の速度をはるかに上回っている。自分の頭にやっていいこと/やってはいけないことの境界線を持っておく。若手の段階でこれができているかどうかで、キャリアリスクが変わる。

個人情報・要配慮個人情報

氏名を消しても、日付や経過の組み合わせで人が分かってしまう図。
AIに入力する前に患者を特定できる情報を取り除くことが、個人情報保護法上の基本です。

患者情報をAIに入力した瞬間、データはAI事業者のサーバーに送信される。法律上の分かれ目は、送った個人データをAI事業者が取り扱うかどうかだ。取り扱うなら、本人の同意が要る第三者提供か、委託先の監督が要る委託にあたる。外国の事業者なら、外国にある第三者への提供の規律も加わる [1]。「学習に使わない」設定は確かめる項目の一つで、それだけで足りるとは限らない。

個人で契約した汎用のAIサービスで、こうした条件を自分で確かめきるのは難しい。だから患者の情報は、誰のことか分からない水準まで削ってから入れる。施設が契約を結んで導入したAIは、施設の定める範囲で使う。

個人情報保護法は、診療情報・病歴・障害・健康診断結果を要配慮個人情報に分類している。本人の同意なしの第三者提供は、原則として禁止されている。これとは別に、医師には刑法の守秘義務がある（業務上知った人の秘密を、正当な理由なく漏らしてはならない。刑法第134条）[2]。

2026年7月には個人情報保護法の改正法が公布された。統計情報等の作成（統計作成等と整理できるAI開発を含む）にだけ使う場合に、公表や書面の合意などの条件で本人の同意を不要とする特例ができた。ただし改正法の施行は、一部を除き、公布から2年以内の政令で定める日で、この特例はまだ使えない [3]。退院サマリーの下書きのように個別の患者の文書を作る使い方は統計の作成ではないので、この特例の対象とは考えにくい。

Case Study/ 日本/ 2023

個人情報保護委員会によるOpenAIへの注意喚起

個人情報保護 · 要配慮個人情報

2023年6月、個人情報保護委員会はOpenAIに対し、個人情報の取得・利用に関する注意喚起を行った [4]。日本政府がAI事業者の個人情報取扱いに直接対応した初期の重要事例だった。

注意

入力してはいけない情報の例

  • 患者氏名・カルテ番号・生年月日・住所・電話番号
  • 症例を特定しうる固有の組み合わせ（疾患名＋日付＋病院名＋年齢など）
  • 顔写真・画像所見でも個人特定が可能なもの
  • 家族構成・職業・宗教など患者が特定されうる情報

→ どうしても症例検討に使いたいときは、「30代男性、発熱5日、頸部リンパ節腫脹、血沈高値」のように、誰のことか分からない水準まで匿名化する。法律では、他の情報と容易に照らし合わせて誰か分かる情報も個人情報にあたる。病院の記録と突き合わせれば分かる組み合わせ（日付・施設名・まれな経過）も外す。

著作権と二次利用

AIだけの生成物と、人が手を入れた作品を比べた図。
AI出力の著作権は国によって扱いが異なり、そのまま転用すると意図せず問題が生じることがあります。

AIの出力には、論文・教科書・ウェブ記事の内容が形を変えて紛れ込む。ChatGPTの生成文をそのまま論文やスライドに転用すると、意図せず他者の著作権を侵害する可能性がある。

AI生成物自体の著作権も未整備だ。米国著作権局はAI単独生成物に著作権を認めない方針を示している [5]。日本では人間の創作的寄与がある場合に限り著作物性が認められるとされる（文化庁の審議会の整理で、法的な拘束力はない）[6]。

実務上の対処は単純である。AIの出力をそのまま使わない。自分の言葉で書き直し、事実は原典に当たる。著作権のリスクと医学的な誤りを、どちらも同時に防げる。

診療責任とAIの出力

AIの下書きを医師が判断のレバーで選別し、患者に渡す文書へ仕上げる図。
AIの出力は参考情報であり、最終的な判断の責任は医師にあります。

AIが「この所見は肺炎です」「この薬剤を投与すべきです」と答えても、最終責任は使った医師にある。厚生労働省は2018年の通知（医師法第17条との関係の整理）で、AIを用いた診断・治療支援のプログラムを使う場合も、診断・治療の主体は医師であり、医師が最終的な判断の責任を負うとした [7]。AIは判断の主体ではなく、支援の道具という位置づけだ。

薬機法の承認や認証を受けた医療AI（画像診断AIなど）でも同じだ。出力を確かめずに採用して患者に不利益が生じれば、医師の注意義務が問われうる。過失の有無は個別の事案で判断されるが、判断の主体はあくまで使った医師だ。

国際的にも同じ方向に進んでいる。EU AI Act（欧州AI規制法、2024年成立）は、医療機器規則（MDR/IVDR）で第三者の評価が要る医療AIを高リスクに分類し、透明性・説明責任・人間による監督などを義務づけた [8]。その適用は2026年7月の改正で延び、医療機器にあたるAI（Annex I）は当初の2027年8月2日から2028年8月2日に、独立型の高リスク用途（Annex III）は当初の2026年8月2日から2027年12月2日になった [8]。

米国FDAは2021年1月に、AIを使う医療ソフトウェアについての方針（アクションプラン）を公表した。性能を上げる変更をあらかじめ計画して届ける仕組み（PCCP）の整備や、実際の診療での性能を見守る試行（任意参加）を進めるという内容だ [9]。2025年1月には、AI搭載機器の開発から市販後までの管理についてのドラフトガイダンスを公表したが、拘束力のない推奨で、2026年10月時点で最終版ではない [10]。

AIは判断を代替するものではなく、判断材料を増やすもの。この構造は技術が進歩しても変わらない。

院内ルール・ガバナンス

法律以前の話がある。各医療機関には独自のAI利用ポリシーがある。特定のクラウドAIへの院内ネットワークからのアクセスを禁止している施設もあれば、利用可能ツールをホワイトリスト化しているところもある。

施設がAIを導入するときの拠りどころは、厚生労働省の「医療情報システムの安全管理に関するガイドライン」（第7.0版、2026年）だ。2026年9月のQ&Aでは、入力した医療情報が「AIの学習等のために保存されないこと」を契約などで担保できれば、サーバーに国内法の適用が及ばなくても、保存先に国内法の適用を求める遵守事項の妨げにはならないとしている [11]。逆に言えば、契約の中身を確かめるのは施設の仕事で、個人の判断では済まない。

新しいツールを業務で使う前に、所属施設の医療情報部か情報セキュリティ担当に確認する。これを習慣にしてほしい。便利だから使った、が後からルール違反として発覚すると、個人にも組織にもダメージが大きい。

安全に使うための4原則

匿名化・根拠確認・人の判断・施設ルールの4つの原則を示す図。
4つの原則をすべて守ることで、法的・倫理的なリスクを最小化した運用ができます。

ここまでを4つに絞る。

  1. 入力前に匿名化。誰のことか分からない水準まで削る（日付・施設名・まれな経過も外す）。
  2. 出力をそのまま使わない。自分の言葉に書き直し、原典で裏を取る。
  3. 判断と責任は医師のもの。AIの出力は仮説にすぎない。
  4. 施設ルールを先に確認。法律より厳しい院内規程は珍しくない。

参考文献

  1. 個人情報保護委員会.「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（2025年7月1日更新）. Q7-53（クラウドサービスの利用と第三者提供・委託）、Q12-4（外国にある第三者への提供）. https://www.ppc.go.jp/files/pdf/250701_APPI_QA.pdf
  2. 刑法（明治40年法律第45号）第134条（秘密漏示）. e-Gov 法令検索. https://laws.e-gov.go.jp/law/140AC0000000045
  3. 個人情報保護委員会.「個人情報の保護に関する法律等の一部を改正する法律」の公布について. 2026年7月17日. https://www.ppc.go.jp/news/press/2026/260717/
  4. 個人情報保護委員会. 生成AIサービスの利用に関する注意喚起等について（別添2 OpenAIに対する注意喚起の概要）. 2023年6月2日公表（注意喚起は6月1日付）. https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
  5. U.S. Copyright Office. Copyright and Artificial Intelligence, Part 2: Copyrightability. January 2025. https://www.copyright.gov/ai/
  6. 文化審議会著作権分科会法制度小委員会. AIと著作権に関する考え方について. 2024年3月15日. https://www.bunka.go.jp/seisaku/bunkashingikai/chosakuken/pdf/94037901_01.pdf
  7. 厚生労働省. 人工知能（AI）を用いた診断、治療等の支援を行うプログラムの利用と医師法第17条の規定との関係について. 医政医発1219第1号. 2018年12月19日. https://www.mhlw.go.jp/content/10601000/000468150.pdf
  8. European Parliament. Regulation (EU) 2024/1689 (EU AI Act). 2024年8月1日発効（高リスクの適用期日は Regulation (EU) 2026/1744〔2026年7月27日発効〕で改正）. 欧州委員会「AI Act」. https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
  9. U.S. FDA. Artificial Intelligence/Machine Learning (AI/ML)-Based Software as a Medical Device (SaMD) Action Plan. January 2021. https://www.fda.gov/media/145022/download
  10. U.S. FDA. Artificial Intelligence-Enabled Device Software Functions: Lifecycle Management and Marketing Submission Recommendations（Draft Guidance。拘束力のない推奨事項）. January 2025. https://www.fda.gov/regulatory-information/search-fda-guidance-documents/artificial-intelligence-enabled-device-software-functions-lifecycle-management-and-marketing
  11. 厚生労働省. 医療情報システムの安全管理に関するガイドライン 第7.0版 Q&A（2026年9月）企画管理編 Q18. 掲載ページ https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html Q&A の PDF https://www.mhlw.go.jp/content/10808000/001752355.pdf

セルフチェック

1. 個人情報保護法上、患者の診療情報は「要配慮個人情報」に分類される。これをAIに入力する際の正しい姿勢はどれか？

2. 厚生労働省の通知（2018年）で、AIを用いた診断・治療支援のプログラムを使うとき、診断・治療の最終的な判断の責任を負うとされているのは誰か？

明日のアクション

自分の所属する病院・大学のAI利用ポリシーを今週中に確認してみてほしい。文書化されていない場合は、医療情報部や上級医に「ChatGPTを業務で使うときの院内ガイドラインはあるか」と聞いてみる。これだけで、自分の判断軸が安定する。

このレッスンは役に立ちましたか？