生成AIに医療情報を入れるときのガイドライン｜安全管理GLのQ&Aと医師法【2026年】

医療機関の生成AI利用に国の指針はあるか

2026年10月時点で、本記事で確かめた範囲では、医療機関の生成AI利用だけを対象にした厚生労働省の指針は見当たりません。考え方が示されているのは、次の3つの資料です。

安全管理ガイドライン第7.0版そのものの改定点は安全管理ガイドライン第7.0版の記事にまとめています。ここでは生成AIに関わる部分だけを扱います。

安全管理ガイドラインのQ&A（企画管理編Q18）が示す条件

Q18の答えは「この場合、国内法の適用を受けていることは必須ではありません」です。「この場合」とは、入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されている場合を指します。

もとになっているのは、企画管理編の第7章（安全管理のための人的管理）の遵守事項⑤です。遵守事項⑤は、外部の事業者との契約で医療情報を外部保存する場合に、保存された情報を格納する情報機器等が「国内法の適用及び執行の及ぶ範囲にあることを確実にすること」を求めています。Q18は、医療情報が保存されないことが契約等で担保されている場合は、国内法の適用を受けていないサーバも利用できるとしています。

Q18が答えているのは、国内法の適用の要件についてです。入力した内容や作った文書・要約がサービスの側に残る使い方であれば、Q18の条件には当たりません。その場合は、企画管理編7章の外部保存の遵守事項に沿って事業者と契約を確かめることになります。

個人情報保護委員会の注意喚起

個人情報保護委員会の注意喚起（令和5年6月2日）は、個人情報取扱事業者が生成AIサービスを使うときの注意点を2つ挙げています。

• 個人情報を含むプロンプトを入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確認する
• あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法の規定に違反する可能性がある。このため、サービスの提供事業者がその個人データを機械学習に利用しないことなどを十分に確認する

安全管理ガイドラインのQ18と同じく、入力した情報が学習などに使われないかを事業者との契約や規約で確かめることが出発点になっています。

入れる前に契約で確かめること

契約・規約・事業者の資料で確かめる項目は、次のとおりです。保存される使い方の項目は、企画管理編7章の遵守事項とQ&Aによります。

• 遵守事項⑤は、保存した情報に「Cookie、匿名加工情報等、個人を特定しない情報を含む」としています。氏名を消した要約や文書も、保存される使い方なら確認の対象から外れません
• 委託先の選定では、システム関連事業者の情報セキュリティ対策状況を示した資料（総務省・経済産業省のガイドラインの「サービス仕様適合開示書」など）を確かめることが求められています（企画管理編 7章 遵守事項⑤）
• 生成AIを組み込んだ文字起こし・カルテ作成支援のツールはAIカルテの比較で比べられます。AI問診やAIカルテ作成のツールが医療機器に当たるかはAI問診・AIカルテは医療機器かで扱います

院内で決めておくこと

契約の確認とあわせて、院内の運用も安全管理ガイドラインの対象です。生成AIに情報を入れるのは、ネットワークを通じて医療情報を院外のサービスへ送信する使い方です。

• 企画管理編8章は、医療情報の持ち出しの手順を定めるときに、ネットワークを通じて外部に医療情報を送信する場合も想定するよう求めています。Q&Aの企画管理編のQ26も、クラウドサービスなどのネットワークサービスを通じた持ち出しを想定し、持ち出せる情報・手順・管理方法を情報管理規程などで定めるよう求めています
• Q26は、個人所有の端末（BYOD）を使う場合も、利用条件・範囲・管理方法を規程に含め、台帳で管理するとしています
• 企画管理編7章は、個人情報の安全管理に関する職員への教育・訓練を、採用時と定期的に行うよう求めています。どのサービスに何を入れてよいかは、この教育で伝える内容になります
• 外部保存を委託する場合は、あらかじめ患者に、必要に応じて個人情報が特定の外部の施設に送付・保存されることを、安全性やリスクを含めて院内掲示などで説明し、理解を得ることが求められています（企画管理編 7章 遵守事項⑩）。Q&Aは、院内掲示のほかウェブサイト・説明書・口頭説明なども使えるとしています

立入検査で確認されるサイバーセキュリティ対策チェックリストは令和8年度版チェックリストの記事にまとめています。

AIの出力と医師の責任（医師法第17条）

生成AIが作った要約や文書の下書きを使っても、診断・治療の主体は医師です。厚生労働省の通知（医政医発1219第1号、平成30年12月19日）は、AIを用いた診断・治療支援プログラムを使って診療する場合も、診断・治療等を行う主体は医師で、医師が最終的な判断の責任を負い、その診療は医師法第17条の医業として行われるとしています。

通知が引用する研究報告書は、AIを「医師主体判断のサブステップにおいて、その効率を上げて情報を提示する支援ツールに過ぎない」と整理し、AIの推測結果には誤りがあり得るとしています。生成AIの出力をカルテや文書に使うときは、医師が内容を確かめてから確定する運用にしておくことが、この通知の考え方に沿います。

無床の診療所でツールを選ぶときの観点は無床診療所向けのページにまとめています。

よくある質問

一般向けの生成AIサービスに患者の情報を入れてもよいですか

安全管理ガイドラインのQ&Aは、入れてよい・いけないを一律には決めていません。Q18の条件は、入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されていることです。利用規約や契約でこれを確かめられない場合は、Q18の条件に当たりません。個人情報保護委員会の注意喚起も、事業者が個人データを機械学習に利用しないことなどを十分に確認するよう求めています。

生成AIを使うことに患者の同意は必要ですか

個人情報保護委員会の注意喚起は、本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反する可能性があるとしています。また、入力した情報がサービス側に保存され外部保存の委託に当たる場合は、企画管理編が、必要に応じて特定の外部の施設に送付・保存されることを院内掲示などで患者に説明し、理解を得るよう求めています。

氏名を消してから入れれば問題ありませんか

氏名を消しただけで確認が不要になるとは、ガイドラインには書かれていません。企画管理編7章は、外部保存した情報に個人を特定しない情報も含めてルールを定めるよう求め、外部保存の委託先との契約に、匿名化した情報でも匿名化の妥当性を検証して扱うことを含めるよう求めています（遵守事項⑦）。

安全管理ガイドラインのQ&Aはどこで確かめられますか

厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）」のページに、Q&A（令和8年9月）が載っています（2026年10月時点）。使う前に、掲載ページで最新の版かを確かめてください。