メインコンテンツへスキップ
AMPL
お問い合わせ

医療情報を入れる前に：氏名を消しても、消えない

匿名化したつもり、がいちばん危ない。再識別リスク、仮名加工と匿名加工の違い、学会・医師会の指針。AIに入れてよい形まで落とす実技。

  • レッスン 9 / 15
  • 8分

このレッスンで

終わる頃には、次ができるようになります

  • 氏名を消しても希少疾患と属性の組み合わせで個人を絞り込めると説明できる
  • 仮名加工情報と匿名加工情報を、利用できる範囲の違いとして使い分けられる
  • AIに入れる前にダミー化・構造化・一般化のいずれかへ変換できる

ここからの2回は、医療情報そのものを守る話です。

多くの医療者が一度は通る錯覚があります。「氏名は消したから、匿名化できている」は、多くの場合、成り立ちません。

AIへの入力の基本ルール「患者の氏名・ID・生年月日を入れない」は医療セキュリティの回で押さえました。今回はその一段深く、消したつもりでも残る個人情報を扱います。

ㅤ

病歴は、法律上の「特別扱い」

個人情報保護法は、病歴を要配慮個人情報に分類しています。人種や信条と並ぶ、不当な差別や偏見につながりうる情報として、取得には原則本人の同意が必要な、いちばん重い区分です。

ㅤ

希少性は、それ自体が名札になる

では氏名を消せば要配慮個人情報でなくなるのか。次の一文を見てください。

「70代女性、K.S.さん、都内在住、◯◯症候群（国内報告数十例）で当院通院中」

氏名はありません。しかし、国内数十例の疾患名と、年代と、地域の組み合わせは、知っている人が見れば一人に絞り込めます。希少性そのものが名札として機能するからです。

公的な統計の公表でも、同じ基準が使われています。集計値が10人未満の区分は非公開（市区町村単位では100人未満非公開）という運用です。

注意

「匿名化チェック」は氏名の有無ではなく、絞り込めるかで判定する

入力前の自問は「名前を消したか」ではなく、「この組み合わせで、知人・同僚・家族が本人にたどり着けるか」。稀少疾患、特徴的な経過、地域や施設が分かる文脈、正確な日付。これらは単体では無害でも、組み合わせで一人を指します。

ㅤ

加工には段階がある: 伏せ字・仮名加工・匿名加工

個人情報保護法は、加工のレベルを3段階で区別しています。

加工の3段階

1

ただの伏せ字

氏名をイニシャルに置き換えるだけ。ほぼ何も守れていない

2

仮名加工情報

他の情報と照合しない限り識別できない形に加工。組織の内部利用に限られ、第三者提供は原則不可

3

匿名加工情報

特定も復元も不可能な形まで加工。本人同意なしの第三者提供が可能になる水準

外部のAIサービスへの入力は、実質「第三者に渡す」行為です。目指すのは復元不可能な水準まで落とすか、そもそも実在の患者を出発点にしないことです。

ㅤ

実技: AIに入れてよい形まで落とす

具体的な手の動きは3つです。

01

ダミー化する

実在の患者から出発せず、架空の症例を組み立てる。教育資料や説明文書のドラフトならこれで足りる

02

構造だけ渡す

個別の患者を消し「◯◯のとき鑑別に何を考えるか」という臨床の質問だけにする

03

一般化する

稀少疾患名を「稀な代謝疾患」へ、正確な日付を「発症から約2週間」へ、手がかりを粗くする

AIに入れてよい形まで落とす3つの手

視点

公的な指針も「実患者情報を入れない」で揃っている

日本病院薬剤師会の指針（2026年3月）は「症例シナリオ等には実患者情報を含めず」と明記し、入力前の個人情報再確認をチェック項目にしています。日本医師会のAI検討委員会答申（2026年4月）、医療分野の生成AI利用ガイドライン（HAIP第2版、2025年）も同じ方向です。所属施設に独自の指針があれば、それが最優先。なければこれらの公開指針が拠り所になります。

なお、入力先のAI側の設定（学習利用のオン・オフ）は前回扱いました。設定を確認した上で、それでも実患者情報は入れない。二重の守りです。

ㅤ

セルフチェック

1. 「70代・K.S.・都内・国内数十例の疾患で通院中」という記載。個人情報保護の観点で正しい評価は？

2. 外部の生成AIに症例ベースで相談したい。最も適切なのは？

ㅤ

次のレッスン

入力の前の守りはできました。次回は、入力の前後にある管理です。端末の暗号化、クラウド同期の落とし穴、チャット履歴という忘れられがちなデータ。手元の医療情報の置き場所を総点検します。

ㅤ

参考・出典

このレッスンは役に立ちましたか？