メインコンテンツへスキップ
AMPL
医療情報を入れる前に：氏名を消しても、消えない
レッスン 9 / 15|12分で読めます

医療情報を入れる前に：氏名を消しても、消えない

匿名化したつもり、がいちばん危ない。再識別リスク、仮名加工と匿名加工の違い、学会・医師会の指針。AIに入れてよい形まで落とす実技。

ここまでは、作ったアプリを守る話でした。

ここからの2回は、医療情報そのものを守る話です。

まず、多くの医療者が一度は通る錯覚から始めます。

「氏名は消したから、匿名化できている」

残念ながら、これは多くの場合、成り立ちません。

AIへの入力の基本ルール、つまり「患者の氏名・ID・生年月日を入れない」は、医療セキュリティの回で押さえました。今回はその一段深く、消したつもりでも残る個人情報の話をします。

  • なぜイニシャルにしても個人情報のままなのか？
  • 「仮名加工」と「匿名加工」は何が違うのか？
  • 結局、AIに入れてよい形とは何か？

ㅤ

病歴は、法律上の「特別扱い」

前提を1つ。

個人情報保護法は、病歴を要配慮個人情報に分類しています。人種や信条と並ぶ、不当な差別や偏見につながりうる情報として、取得には原則本人の同意が必要な、いちばん重い区分です。

つまり医療者が日常的に扱う情報は、法律の世界では最初から最重量級として扱われている。「たかが症例のメモ」という感覚と、法律上の重さの間には、大きな落差があります。

ㅤ

希少性は、それ自体が名札になる

では氏名を消せば要配慮個人情報でなくなるのか。ここが今日の核心です。

次の一文を見てください。

「70代女性、K.S.さん、都内在住、◯◯症候群（国内報告数十例）で当院通院中」

氏名はありません。しかし、国内数十例の疾患名と、年代と、地域の組み合わせは、知っている人が見れば一人に絞り込めます。希少性そのものが名札として機能するからです。

これは感覚論ではなく、公的な運用にも表れています。医療統計の公表では、集計値が10人未満の区分は非公開（市区町村単位では100人未満非公開）という目安が使われています。少数であること自体が、個人を指してしまうからです。

注意

「匿名化チェック」は氏名の有無ではなく、絞り込めるかで判定する

入力前の自問は「名前を消したか」ではなく、「この組み合わせで、知人・同僚・家族が本人にたどり着けるか」。稀少疾患、特徴的な経過、地域や施設が分かる文脈、正確な日付。これらは単体では無害でも、組み合わせで一人を指します。

ㅤ

加工には段階がある: 伏せ字・仮名加工・匿名加工

個人情報保護法は、加工のレベルを言葉で区別しています。実務の地図として、3段階で覚えてください。

段階何をするかできること
ただの伏せ字氏名をイニシャルに置き換えるほぼ何も守れていない（上の例のとおり）
仮名加工情報他の情報と照合しない限り識別できない形に加工組織の内部利用限定。第三者提供は原則不可
匿名加工情報特定も復元も不可能な形まで加工本人同意なしの第三者提供が可能になる水準

外部のAIサービスに入力する行為は、感覚的には「第三者に渡す」に近い行為です。だとすれば目指す水準は表のいちばん下、復元不可能なところまで落とすか、そもそも実在の患者を出発点にしないことになります。

ㅤ

実技: AIに入れてよい形まで落とす

具体的な手の動きは3つです。

1. ダミー化する

実在の患者から出発せず、架空の症例を組み立てる。年齢は「70代」でなく「たとえば72歳の架空の患者」、経過も典型例に組み替える。教育資料や患者説明文書のドラフトなら、これで目的は果たせます。

2. 構造だけ渡す

「◯◯という値が△△のとき、鑑別に何を考えるか」のように、個別の患者を消して臨床の質問だけにする。AIに聞きたいことの大半は、実はこの形に変換できます。

3. 一般化する

どうしても症例ベースで相談したいとき。稀少疾患名は「稀な代謝疾患」へ、正確な日付は「発症から約2週間」へ、施設と地域は消す。絞り込みの手がかりを、一段ずつ粗くする。

視点

公的な指針も「実患者情報を入れない」で揃っている

日本病院薬剤師会の指針（2026年3月）は「症例シナリオ等には実患者情報を含めず」と明記し、入力前の個人情報再確認をチェック項目にしています。日本医師会のAI検討委員会答申（2026年4月）、医療分野の生成AI利用ガイドライン（HAIP第2版、2025年）も同じ方向です。所属施設に独自の指針があれば、それが最優先。なければこれらの公開指針が拠り所になります。

なお、入力先のAI側の設定（学習利用のオン・オフ）は前回扱いました。設定を確認した上で、それでも実患者情報は入れない。二重の守りです。

ㅤ

今日のまとめ

3行で振り返ります。

  • 病歴は要配慮個人情報。医療者の扱う情報は法律上、最初から最重量級
  • 氏名を消しても、希少性の組み合わせが名札になる。判定は「絞り込めるか」で行う
  • AIに入れてよい形は3つ。ダミー化・構造だけ・一般化。実在の患者を出発点にしない

セルフチェック

1. 「70代・K.S.・都内・国内数十例の疾患で通院中」という記載。個人情報保護の観点で正しい評価は？

2. 外部の生成AIに症例ベースで相談したい。最も適切なのは？

ㅤ

次のレッスン

入力の前の守りはできました。次回は、入力の前後にある管理です。端末の暗号化、クラウド同期の落とし穴、チャット履歴という忘れられがちなデータ。手元の医療情報の置き場所を総点検します。

ㅤ

参考・出典