# 生成AIに医療情報を入れるときのガイドライン｜安全管理GLのQ&Aと医師法【2026年】 - URL: https://clinic-tool-navi.com/blog/seisei-ai-iryo-joho - 公開: 2026-10-12／更新: 2026-10-12 - 編集: クリニックツールナビ編集部（https://clinic-tool-navi.com/editorial-policy） - 要約: 生成AIに患者の医療情報を入れるときの国の考え方は、2026年10月時点では厚生労働省「医療情報システムの安全管理に関するガイドライン」のQ&A（令和8年9月）の企画管理編のQ18に示されています。入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されていれば、サーバが国内法の適用を受けていることは必須ではないとされています。診療所が入れる前に契約と運用で確かめることを、Q&A・企画管理編・個人情報保護委員会の注意喚起・医師法第17条の通知から整理します。 生成AIに患者の医療情報を入れるときの国の考え方は、2026年10月時点では、厚生労働省「医療情報システムの安全管理に関するガイドライン」のQ&A（令和8年9月）の企画管理編のQ18に示されています。Q18は、入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されていれば、生成AIサービスのサーバが国内法の適用を受けていることは必須ではないとしています。診療所が文字起こし・要約・文書作成などの生成AIを使う前に確かめるのは、この「保存されないこと」が契約や規約で担保されているか、保存される場合は外部保存の委託先としての条件を満たすか、そして院内の利用ルールです。 ## 医療機関の生成AI利用に国の指針はあるか 2026年10月時点で、本記事で確かめた範囲では、医療機関の生成AI利用だけを対象にした厚生労働省の指針は見当たりません。考え方が示されているのは、次の3つの資料です。 | 資料 | 発行 | 生成AIに関わる内容 | |---|---|---| | 医療情報システムの安全管理に関するガイドラインQ&A（令和8年9月） | 厚生労働省 | 企画管理編のQ18：生成AIのプロンプトに医療情報を入れる場合のサーバと国内法の関係 | | 生成AIサービスの利用に関する注意喚起等（令和5年6月2日） | 個人情報保護委員会 | 事業者が個人情報を含むプロンプトを入力するときの注意点 | | AIを用いた診断・治療支援プログラムの利用と医師法第17条（平成30年12月19日） | 厚生労働省医政局医事課長 | 診断・治療の主体は医師で、最終的な判断の責任は医師が負う | 安全管理ガイドライン第7.0版そのものの改定点は[安全管理ガイドライン第7.0版の記事](https://clinic-tool-navi.com/blog/anzen-kanri-guideline-7)にまとめています。ここでは生成AIに関わる部分だけを扱います。 ## 安全管理ガイドラインのQ&A（企画管理編Q18）が示す条件 Q18の答えは「この場合、国内法の適用を受けていることは必須ではありません」です。「この場合」とは、入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されている場合を指します。 もとになっているのは、企画管理編の第7章（安全管理のための人的管理）の遵守事項⑤です。遵守事項⑤は、外部の事業者との契約で医療情報を外部保存する場合に、保存された情報を格納する情報機器等が「国内法の適用及び執行の及ぶ範囲にあることを確実にすること」を求めています。Q18は、医療情報が保存されないことが契約等で担保されている場合は、国内法の適用を受けていないサーバも利用できるとしています。 **比較: 生成AIに入れた情報が保存されるかどうか（Q18と企画管理編7章）** - **保存されないと担保** - 契約等で担保されている - 国内法の適用は必須ではない（Q18） - **保存される** - 外部保存の遵守事項で確かめる - 国内法の適用・執行の範囲にあること - 委託先の選定と契約の確認（⑥⑦） Q18が答えているのは、国内法の適用の要件についてです。入力した内容や作った文書・要約がサービスの側に残る使い方であれば、Q18の条件には当たりません。その場合は、企画管理編7章の外部保存の遵守事項に沿って事業者と契約を確かめることになります。 ## 個人情報保護委員会の注意喚起 個人情報保護委員会の注意喚起（令和5年6月2日）は、個人情報取扱事業者が生成AIサービスを使うときの注意点を2つ挙げています。 - 個人情報を含むプロンプトを入力する場合は、特定した利用目的を達成するために必要な範囲内であることを十分に確認する - あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合は、個人情報保護法の規定に違反する可能性がある。このため、サービスの提供事業者がその個人データを機械学習に利用しないことなどを十分に確認する 安全管理ガイドラインのQ18と同じく、入力した情報が学習などに使われないかを事業者との契約や規約で確かめることが出発点になっています。 ## 入れる前に契約で確かめること 契約・規約・事業者の資料で確かめる項目は、次のとおりです。保存される使い方の項目は、企画管理編7章の遵守事項とQ&Aによります。 **手順: 生成AIに患者の情報を入れる前の確認（安全管理GL・注意喚起から）** 1. 入力する目的を決める — 利用目的の範囲内か 2. 学習等に使わないか確かめる — 契約・規約で担保されているか 3. 保存されるかを確かめる — 入力・出力が残るか 4. 保存されるなら委託先を確かめる — 保存場所・認証・契約 5. 院内のルールを決める — 規程・教育・端末 | 確かめること | 中身 | 根拠 | |---|---|---| | 学習等に使わないこと | 入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されているか | Q&A Q18／注意喚起 | | 保存場所 | 保存される場合、情報機器が置かれている場所（地域・国）と、委託先に国外法が適用される可能性 | 企画管理編 7章 遵守事項⑥h・i | | 国内法の適用 | 保存される場合、情報機器等が国内法の適用及び執行の及ぶ範囲にあるか | 企画管理編 7章 遵守事項⑤ | | 認証等 | プライバシーマーク・ISMSの認証、どちらも無い場合はISMAPなどの認証等。認証・登録だけでは足りず、適用範囲や対象サービス、契約上の責任分界を資料で確かめる | 企画管理編 7章 遵守事項⑥f・g／Q&A 企画管理編 Q19・Q20 | | 守秘義務と提供のルール | 委託先の守秘義務と違反時のペナルティ、保存した情報を委託先が独自に提供しないルール | 企画管理編 7章 遵守事項⑤ | | 委託先の閲覧 | 保守作業に必要な情報以外を閲覧させないこと。閲覧は原則として委託元だけにし、事業者の例外アクセスは緊急時などに限って記録する | 企画管理編 7章 遵守事項⑤／Q&A 企画管理編 Q21 | | 分析等の目的での利用 | 委託元・患者等の許可なく、受託した医療情報を分析等の目的で取り扱わないこと | 企画管理編 7章 遵守事項⑦ | | 契約の終了 | 返却・移行・消去の方法と、バックアップを含む消去の証跡 | 企画管理編 7章 遵守事項⑨／Q&A 企画管理編 Q22 | - 遵守事項⑤は、保存した情報に「Cookie、匿名加工情報等、個人を特定しない情報を含む」としています。氏名を消した要約や文書も、保存される使い方なら確認の対象から外れません - 委託先の選定では、システム関連事業者の情報セキュリティ対策状況を示した資料（総務省・経済産業省のガイドラインの「サービス仕様適合開示書」など）を確かめることが求められています（企画管理編 7章 遵守事項⑤） - 生成AIを組み込んだ文字起こし・カルテ作成支援のツールは[AIカルテの比較](https://clinic-tool-navi.com/categories/ai-karte)で比べられます。AI問診やAIカルテ作成のツールが医療機器に当たるかは[AI問診・AIカルテは医療機器か](https://clinic-tool-navi.com/blog/ai-monshin-iryokiki)で扱います ## 院内で決めておくこと 契約の確認とあわせて、院内の運用も安全管理ガイドラインの対象です。生成AIに情報を入れるのは、ネットワークを通じて医療情報を院外のサービスへ送信する使い方です。 - 企画管理編8章は、医療情報の持ち出しの手順を定めるときに、ネットワークを通じて外部に医療情報を送信する場合も想定するよう求めています。Q&Aの企画管理編のQ26も、クラウドサービスなどのネットワークサービスを通じた持ち出しを想定し、持ち出せる情報・手順・管理方法を情報管理規程などで定めるよう求めています - Q26は、個人所有の端末（BYOD）を使う場合も、利用条件・範囲・管理方法を規程に含め、台帳で管理するとしています - 企画管理編7章は、個人情報の安全管理に関する職員への教育・訓練を、採用時と定期的に行うよう求めています。どのサービスに何を入れてよいかは、この教育で伝える内容になります - 外部保存を委託する場合は、あらかじめ患者に、必要に応じて個人情報が特定の外部の施設に送付・保存されることを、安全性やリスクを含めて院内掲示などで説明し、理解を得ることが求められています（企画管理編 7章 遵守事項⑩）。Q&Aは、院内掲示のほかウェブサイト・説明書・口頭説明なども使えるとしています 立入検査で確認されるサイバーセキュリティ対策チェックリストは[令和8年度版チェックリストの記事](https://clinic-tool-navi.com/blog/cyber-checklist-r8)にまとめています。 ## AIの出力と医師の責任（医師法第17条） 生成AIが作った要約や文書の下書きを使っても、診断・治療の主体は医師です。厚生労働省の通知（医政医発1219第1号、平成30年12月19日）は、AIを用いた診断・治療支援プログラムを使って診療する場合も、診断・治療等を行う主体は医師で、医師が最終的な判断の責任を負い、その診療は医師法第17条の医業として行われるとしています。 通知が引用する研究報告書は、AIを「医師主体判断のサブステップにおいて、その効率を上げて情報を提示する支援ツールに過ぎない」と整理し、AIの推測結果には誤りがあり得るとしています。生成AIの出力をカルテや文書に使うときは、医師が内容を確かめてから確定する運用にしておくことが、この通知の考え方に沿います。 無床の診療所でツールを選ぶときの観点は[無床診療所向けのページ](https://clinic-tool-navi.com/for/mushou)にまとめています。 ## よくある質問 ### 一般向けの生成AIサービスに患者の情報を入れてもよいですか 安全管理ガイドラインのQ&Aは、入れてよい・いけないを一律には決めていません。Q18の条件は、入力した情報が「AIの学習等のために保存されないこと」が契約等で担保されていることです。利用規約や契約でこれを確かめられない場合は、Q18の条件に当たりません。個人情報保護委員会の注意喚起も、事業者が個人データを機械学習に利用しないことなどを十分に確認するよう求めています。 ### 生成AIを使うことに患者の同意は必要ですか 個人情報保護委員会の注意喚起は、本人の同意を得ずに個人データを含むプロンプトを入力し、その個人データが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反する可能性があるとしています。また、入力した情報がサービス側に保存され外部保存の委託に当たる場合は、企画管理編が、必要に応じて特定の外部の施設に送付・保存されることを院内掲示などで患者に説明し、理解を得るよう求めています。 ### 氏名を消してから入れれば問題ありませんか 氏名を消しただけで確認が不要になるとは、ガイドラインには書かれていません。企画管理編7章は、外部保存した情報に個人を特定しない情報も含めてルールを定めるよう求め、外部保存の委託先との契約に、匿名化した情報でも匿名化の妥当性を検証して扱うことを含めるよう求めています（遵守事項⑦）。 ### 安全管理ガイドラインのQ&Aはどこで確かめられますか 厚生労働省の「医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）」のページに、Q&A（令和8年9月）が載っています（2026年10月時点）。使う前に、掲載ページで最新の版かを確かめてください。 ## 出典 1. 厚生労働省「医療情報システムの安全管理に関するガイドラインQ&A（令和8年9月）」 https://www.mhlw.go.jp/content/10808000/001752355.pdf 2. 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）」 https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html 3. 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版 企画管理編」 https://www.mhlw.go.jp/content/10808000/001716292.pdf 4. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」 https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/ 5. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日） https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf 6. 厚生労働省医政局医事課長「人工知能（AI）を用いた診断、治療等の支援を行うプログラムの利用と医師法第17条の規定との関係について」（医政医発1219第1号、平成30年12月19日） https://www.pmda.go.jp/files/000227450.pdf 制度・料金・製品の情報は変わることがあります。この記事は2026年10月12日時点の公開情報にもとづきます。