最終回です。
承認は取れた。ルールも作った。それでも、初日から全部門・全用途で始めてはいけません。
理由は単純で、信頼は一括では手に入らないからです。
セキュリティ部門も経営層も、承認の瞬間に確信していたわけではありません。「この範囲なら任せられる」という条件つきの信頼を出しただけです。その信頼を広げる通貨が、今回のテーマである記録です。
ㅤ
段階導入: 3ステップの階段
医療分野の生成AIガイドライン（HAIP第2版）が推奨する進め方は明快です。非患者情報の領域から始めて、評価しながら段階的に拡大する。
ステップ1: パイロット（1〜3ヶ月）
範囲を絞ります。部署1つ・用途2〜3個・非患者情報のみ。議事録の要約、文献検索、院内文書の下書きあたりが定番です。
このとき最初に決めるのは、何を記録するかです。利用件数、削減時間、ヒヤリハット（入れてはいけない情報を入れかけた等）、うまくいかなかった例。ポジティブな数字だけでなく、失敗の記録こそ次の承認の材料になります。
ステップ2: 評価と報告
稟議に書いた見直し期日に、記録を持って報告します。型は簡単で、数字（効果）・事故ゼロの証明（ログ）・ヒヤリハットと対策・次の範囲の提案の4点セット。この報告を1回やるだけで、あなたは組織の中で「AIを安全に運用できると実証した人」になります。
ステップ3: 拡大
範囲を広げます。部署を増やすか、用途を増やすか、一度にどちらか片方だけ。両方いっぺんに広げると、問題が起きたときに原因が切り分けられません。臨床試験の用量漸増と同じ発想です。
導入プロセス全体の設計（体制づくり・変革マネジメント・効果測定）は、AI導入のロードマップ講座が丸ごと1本あります。セキュリティの線を守りながら進める部分が本講座、組織を動かす部分があちら、という分担です。
ㅤ
組織のインシデント対応: 個人との違いは「報告ライン」
個人編の卒業ゲートで、事故の初動（止血→記録→開示判断→再発防止）をやりました。組織では、この流れに報告ラインが加わります。
- 誰に第一報を入れるか（管理責任者・情報システム部門）を、事故の前に決めて掲示しておく
- 医療機関では、重大なサイバーインシデントは厚労省への報告や、立入検査で確認される連絡体制の対象になりうる。個人の判断で抱え込まない
- 第一報は「完全な報告」でなくてよい。「何かおかしい」の段階で上げる文化を、ルールに明記する
注意
報告をためらわせる組織は、事故を隠す組織になる
ヒヤリハットを責める組織では、報告が止まり、次は本物の事故が隠れます。医療安全でインシデントレポートを非懲罰にしてきたのと同じ原理を、AI利用にも適用します。報告した人を責めない。この一文をルールに入れるだけで、組織の目の数が変わります。
ㅤ
続けるための仕組み: 情報の入り口を持つ
セキュリティの前提は動き続けます。担当者が個人の努力で追い続けるのではなく、組織として情報の入り口を持ちます。
- Health ISAC Japan（旧・医療ISAC）: 医療分野のセキュリティ情報共有団体。国内外のインシデント・対策情報が会員に共有される
- 厚労省の医療機関向けサイバーセキュリティ関連ページとチェックリストは毎年更新される。年1回、ガイドライン改定を確認する日を決めておく
- 使っているAIベンダーのTrust Centerとステータスページを、管理責任者の定期確認先に入れる
ㅤ
組織編の卒業ゲート
個人編の卒業条件は「自分のアプリにチェックリストを回しきる」でした。
組織編の卒業条件も、知識ではなく行動です。次のどちらか1つを、実際に書き上げる。
明日のアクション
組織編の卒業ゲート（どちらか1つ）
- 稟議書ドラフト: 自分の職場に入れたいAIツール1つについて、8つの箱（目的・理由・費用対効果・代替案・リスクと10の質問の回答・ロードマップ・見直し時期・根拠法令）を埋める
- 利用ルール1枚: 自分の組織のためのAI利用ガイドライン最小版（用途3分類・許可ツール・入力ルールへの導線・見直し日付・報告ライン）を書く
書き上げたものは、そのまま職場に持って行けます。この講座の全15回は、その1枚の裏付けとして機能します。
ㅤ
今日のまとめ
3行で振り返ります。
- 導入は非患者情報のパイロットから。範囲拡大は一度に一方向だけ。失敗の記録こそ次の承認の材料
- 組織の事故対応は個人の初動＋報告ライン。「報告した人を責めない」を明文化する
- 継続の鍵は情報の入り口（Health ISAC・厚労省更新・Trust Center）を組織の仕組みにすること
ㅤ
この講座を終えたあなたへ
全15回、お疲れさまでした。
個人編で覚えた4本の幹を、もう一度だけ。ブラウザに届いたものは見えている。外から来た文字列は命令ではない。鍵は金庫に。最終確認は人間。
組織編で、これに2本が加わりました。セキュリティは管理者の法的義務であり、経営の言葉では投資である。そして信頼は、記録で積む。
セキュリティを学んだ医療者は、組織の中で希少な存在です。現場の言葉と、審査の言葉と、経営の言葉。この3つを話せる人は、AI導入の議論で必ず座席があります。あなたの次の提案が、その席から始まりますように。
法規の層をまだ学んでいなければ医療データと法規の講座へ。導入プロセス全体の設計はAI導入のロードマップ講座へ。
ㅤ
参考・出典
- 医療AIプラットフォーム技術研究組合（HAIP）. 「医療・ヘルスケア分野における生成AI利用ガイドライン 第2版」(2025年7月). https://haip-cip.org/assets/documents/nr_20241002_02.pdf
- 厚生労働省. 医療分野のサイバーセキュリティ対策について. https://www.mhlw.go.jp/stf/seisakunitsuite/bunya/kenkou_iryou/iryou/johoka/cyber-security.html
- Health ISAC Japan. https://health-isac-japan.jp/
- 経済産業省・IPA. 「サイバーセキュリティ経営ガイドライン Ver3.0」（原則3: 平時からのコミュニケーション）. https://www.meti.go.jp/policy/netsecurity/mng_guide.html