はじめに：3省2ガイドラインが生まれた理由
2023年5月、厚生労働省は「医療情報システムの安全管理に関するガイドライン」を第6.0版に改定しました。この改定は、ランサムウェア攻撃による医療機関の被害（半田病院2021年、大阪急性期・総合医療センター2022年）を受け、クラウドサービスの普及に伴うリスクに対応するための大規模な見直しでした。
このガイドラインを含む通称「3省2ガイドライン」（厚生労働省ガイドラインと経済産業省・総務省ガイドライン）は、医療情報の電子的な管理に関する日本のルールの中核です。
3省2ガイドライン第6.0版：クラウド時代の医療情報管理
背景: 電子カルテのクラウド化が進む中、2021-2022年に半田病院・大阪急性期総合医療センターがランサムウェア攻撃を受け、電子カルテが使用不能に。従来のガイドラインでは、クラウドサービス特有のリスクへの対応が不十分だった。
改定のポイント:
- 全体構成を「概説編」「経営管理編」「企画管理編」「システム運用編」の4編に再編
- 経営層の責任を明確化（「経営管理編」の新設）
- クラウドサービス利用時の責任分界を明確化
- サイバーセキュリティ対策の強化（バックアップの3-2-1ルール等）
影響: 医療機関は2024年度中に第6.0版への対応が求められ、特にクラウドサービス利用時の委託契約見直しが必要に。
2023年5月改定。医療情報の電子保存、クラウド利用、サイバーセキュリティに関する包括的ガイドライン
医師法における診療録の義務
診療録記載義務（医師法第24条）
医師法第24条第1項は、「医師は、診療をしたときは、遅滞なく診療に関する事項を診療録に記載しなければならない」と規定しています。
記載すべき事項（医師法施行規則第23条）:
- 診療を受けた者の住所、氏名、性別、年齢
- 病名及び主要症状
- 治療方法（処方及び処置）
- 診療年月日
AI診断支援使用時の記録
AI診断支援を使用した場合の診療録記載について、法令上の明確な規定はまだありませんが、以下の記載が推奨されます:
視点
AI使用時の診療録記載：推奨される3項目
- AI使用の事実: 「○○AI診断支援システム（製品名・バージョン）を使用」
- AIの出力結果: 「AIは○○の可能性を示唆（信頼度○%）」
- 医師の最終判断と根拠: 「AIの結果および臨床所見を総合的に判断し、○○と診断」
→ この記録は、後日の医療訴訟において医師の注意義務の履行を証明する重要な証拠となる。AIの判断に従った場合も従わなかった場合も、その理由を記録しておくことが重要。
保存義務（医師法第24条第2項）
診療録の保存期間は5年間（医師法第24条第2項）。なお、これは最低限の義務であり、医療訴訟の消滅時効（不法行為: 損害及び加害者を知った時から5年、不法行為時から20年）を考慮すると、実務上はより長期の保存が推奨されます。
電子保存三原則の詳細
真正性：誰が書いたかを証明する
比較
紙カルテ vs 電子カルテの真正性
紙カルテ: 医師の自筆による署名・押印で作成者を特定。改ざんは物理的に検出可能。
電子カルテ: (1) 電子署名またはタイムスタンプによる作成者の認証、(2) アクセスログによる操作履歴の記録、(3) 改ざん検知機能による完全性の担保が必要。
→ AIが自動生成した記録も、最終的に医師が確認・承認したことを電子的に記録する仕組みが必要。
見読性：いつでも読める状態を維持する
- 必要に応じて肉眼で見読可能な状態に表示できること
- 紙への出力（印刷）が可能であること
- 診療録の開示請求に対応できること
保存性：法定期間中の完全な保存
- バックアップ: 3-2-1ルール（3つのコピー、2種類のメディア、1つはオフサイト）
- 媒体の劣化対策: 記録媒体の定期的な移行
- 災害対策: 地震・火災等に備えた分散保存
守秘義務の法的構造
刑法第134条第1項：秘密漏示罪
「医師、薬剤師、医薬品販売業者、助産師、弁護士、弁護人、公証人又はこれらの職にあった者が、正当な理由がないのに、その業務上取り扱ったことについて知り得た人の秘密を漏らしたときは、六月以下の懲役又は十万円以下の罰金に処する。」
| 法律 | 対象 | 罰則 | 特徴 |
|---|---|---|---|
| 刑法第134条1項 | 医師個人 | 6月以下の懲役/10万円以下の罰金 | 親告罪（被害者の告訴が必要） |
| 個人情報保護法 | 医療機関（法人） | 命令違反で1年以下の懲役/100万円以下の罰金 | 法人に1億円以下の罰金（法人重課） |
| 保健師助産師看護師法第42条の2 | 看護師等 | 6月以下の懲役/10万円以下の罰金 | 医師と同等の罰則 |
AI活用時の守秘義務の論点
問い
考えてみよう
クラウド型AI診断支援サービスに患者の医用画像を送信する場合、守秘義務との関係はどうなるでしょうか？
→ AI企業がデータ処理の委託先として位置づけられる場合、委託に必要な範囲での情報提供は守秘義務違反にはなりません。ただし、(1) 適切な委託契約の締結、(2) 委託先の監督義務の履行、(3) 患者への説明と必要に応じた同意取得が求められます。
サーバが海外にある場合は、個人情報保護法の「外国にある第三者への提供」（法第28条）の規制も加わり、より慎重な対応が必要です。
医療機関間の情報共有
地域医療連携と法的要件
地域医療情報連携ネットワークでの情報共有には:
- 患者の同意: 連携ネットワークへの参加について同意を取得
- アクセス管理: 連携先ごとのアクセス権限の設定
- 監査証跡: 誰がいつどの情報にアクセスしたかのログ記録
AI診断支援の法的位置づけ
AI診断支援システムは法的には医師の診断を「支援する」ツールです。最終的な診断は医師が行い、AI利用の有無にかかわらず、診療録の作成・保存・守秘義務は医師に帰属します。
まとめ
医療法と医師法は、AI時代にも変わらない基本原則：診療録の記載義務、保存義務、守秘義務：を定めています。一方で、3省2ガイドライン第6.0版は、クラウド化やサイバー攻撃という新しいリスクに対応する実務指針を提供しています。AI診断支援を使用する際は、AIの使用事実・出力結果・医師の最終判断を診療録に記録することが、法的保護の第一歩です。
次のレッスンでは、データの匿名化と加工の法的要件を学びます。
明日のアクション
AI診断支援ツールを使用した際の診療録記載テンプレートを作成しましょう。「AI使用の事実（製品名・バージョン）」「AIの出力結果（判定内容・信頼度）」「医師の最終判断と根拠」の3項目を含む記載フォーマットを作り、部署内で共有してみてください。