生成AIへの患者情報の送信は誰が許可する？院内の承認と確認者の置き方

先に結論

生成AIへ患者情報を送ってよいかは、医療情報システム安全管理責任者が、企画管理者の確かめた契約と設定を見て承認します。出力を確かめる人は、紹介状なら担当医というように、その文書を普段確定している職種を業務ごとに決めて規程の別表に書きます。

国外のサーバーで動くサービスでも、入力した医療情報が保存されないことが契約で担保されていれば許可の対象にできます。個人向けの無料版で学習をオフにしただけでは契約上の保証にならないので、患者情報は送りません。生成AIに手伝わせてよいのは、契約書から保存と学習の条項を抜き出す下準備までで、許可と確定は人が持ちます。

送信の許可は、現場でなく安全管理責任者が持つ

厚生労働省が令和8年6月に改めた安全管理ガイドライン第7.0版の経営管理編は、医療情報システム安全管理責任者と企画管理者を置くよう求めています。複数の部門がある医療機関には、委員会を置かない場合も、情報システムの導入や変更に経営層や安全管理責任者等の承認を要する仕組みを作るよう求めています。

生成AIのサービスへ患者情報を送り始めることも、院の外にある仕組みを業務に組み込む変更として、この承認の対象に含めます。

各部署の判断に任せると、同じサービスについて部署ごとに答えが変わります。契約書を誰が読み、どの条項を見て使ってよいとしたのかも残りません。ガイドラインは、統制の対象にシステム関連事業者の担当者や派遣社員など、院が直接雇用していない人も含めるよう求めています。申請してくる人は職員に限らないので、受け付ける窓口と承認する人を1つにしておくほうが漏れません。

企画管理者は、経営層の指示を受けて、リスク管理に必要な体制やルールの企画・整備・管理を担う役です。院内の肩書との対応は院ごとに違います。

たとえば診療所なら院長が安全管理責任者を兼ねて承認し、事務長が企画管理者として契約書を読む形が考えられます。部門が分かれていない診療所でも、安全管理責任者を置くことは求められているので、その人に承認を集めると決め方が単純になります。

どの業務から始め、どの段階の患者情報まで入れるかという院の線は、最初の業務と入れてよい患者情報の範囲を決める記事で扱っています。承認の流れは、その線をもとに個々の申し出へ許可を出すための手続きです。

申請から承認まで、4段の決裁の流れで回す

外部送信の許可は、現場の申請、企画管理者による契約と設定の確認、安全管理責任者の承認、利用台帳への登録の4段で回します。台帳に載るまでは、試しであっても患者情報を送りません。

図の要点：申請する職員が申請票を出し、AIが契約書から保存と学習の条項を抜き出し、企画管理者が原文と照合して確認書に残し、安全管理責任者が承認か差し戻しを決め、承認したものを企画管理者が利用台帳に登録する流れ図。台帳に載るまで患者情報は送らない。

図の中でAIが受け持つのは2段目の下準備だけで、条項の読みと承認は人が行います。契約書に患者情報は含まれないので、抜き出しに生成AIを使っても患者情報の送信にはなりません。

申請票の欄は、使う業務、入れる情報の段階、サービス名と契約形態、入力を保存・学習に使わない旨の契約上の記載、出力の確認者の5つです。次は、冒頭の場面を申請票にした【説明用の架空の記入例】です。

• 使う業務: 退院指導の説明文の下書き／入れる情報の段階: 患者を特定できる診療情報（病名・退院時処方）／サービス名と契約形態: 院で契約している法人向けの生成AIサービス（サーバーは国外）／保存・学習の扱い: 契約書の該当条項の写しを添付／出力の確認者: 受け持ち看護師、薬の欄は病棟薬剤師

2段目の確認書は、ガイドラインが業務を委託するときに求める、責任分界を書面等で可視化して保管する作業に当たります。

個人情報保護委員会も、本人の同意を得ずに個人データを含むプロンプトを入力する場合について注意を促しています。入力した個人データを事業者が機械学習に使わないかなどを、十分に確かめるようにという内容です。委託に当たる場合は、個人情報保護法第25条により委託先の監督も院の仕事になります。確かめる項目は、最初の業務と患者情報の範囲を決める記事に挙げた3点を使い、確認書には結果と読んだ条項を書きます。

3段目で安全管理責任者が見るのは、申請票と確認書の2枚です。確認書に空欄がある、確認者の欄が空いている、保存の扱いを示す条項が見つからない、のどれかに当たれば差し戻します。4段目で台帳に載ったサービスだけが、院として承認したサービスになります。

国外サーバーの生成AIを許可できる条件

同ガイドラインのQ&A（令和8年9月）のQ18に沿えば、国外サーバーの生成AIサービスも許可の対象にできます。条件は、プロンプトに入れた医療情報をAIの学習等のために保存しないと契約等で約束されていることです。Q18は、この場合に国内法の適用を受けるサーバーであることは必須ではないと回答しています。冒頭の看護部の申請も、この条件を満たせば許可の対象になります。

逆に、入力した情報が保存されるなら、企画管理編7章の遵守事項⑤に戻ります。保存された情報を格納する機器等が国内法の適用を受けることを確かめる、という定めです。企画管理者は、契約の状態を次の表のどれに当たるかで分けて確認書に書きます。

表の上の2行は契約の条項で判断でき、下の2行は契約上の約束が無いか足りない状態です。

法人向けの契約で入力を保存しないと定めた状態と、個人向け無料版の設定画面で学習をオフにした状態は、どちらも学習に使われない点では似ています。違うのは、前者は事業者が契約で約束し、後者は約束が無いことです。名古屋大学医学部附属病院などが令和8年4月に出した方針通知も、個人向けサービスの学習オプトアウトの設定は契約上の保証がないことが多いとしています。

Q20は、ISMAPなどの公開リストへの掲載は選定材料の一つにすぎず、認証の適用範囲や契約上の責任分界を資料で確かめるよう求めています。契約書に保存の目的や期間が書かれていて、Q18の「保存されない」に当たるか読み切れないときは、企画管理者だけで決めずに承認を保留し、事業者に書面で照会します。

Q18が答えているのは、サーバーの所在の要件です。国外の事業者へ送ることが本人の同意を要する提供に当たるかは別の問題として残ります。その判断は企画管理者が抱え込まず、院の個人情報保護の担当者から顧問弁護士へ相談してもらいます。

出力の確認者は、その文書を確定する職種に置く

AIの出力の確認者とは、その文書を普段確定している職種のことで、紹介状なら担当医、服薬説明文なら薬剤師を、業務ごとに規程の別表に書きます。申請した人が確認者になるとは限りません。医事課の職員が紹介状の下書きを申請しても、確認者は担当医です。

この表は、確認者を「AIの使い方に詳しい人」ではなく「その文書の中身に責任を持つ人」で決めるための見本です。診療録は医師法で医師が記載すると定められた記録なので、下書きをAIが作っても確定するのは診察した医師です。退院指導の説明文に退院時処方の説明が入るなら、その欄だけは薬剤師も確かめます。

日本病院薬剤師会のガイダンスも、活用事例ごとに検証する職種を名指ししています。インシデント分析なら、AIの分析結果は薬剤師あるいは医療安全管理者が検証する、という書き方です。確認者が不在の日に備えて、別表には代わりの確認者も書いておきます。

申請票の確認者の欄、別表、利用台帳では、同じ役職名を使います。表記がずれると、差し戻しが起きたときに誰へ戻すのか分からなくなります。

業務ごとの確かめ方の細部は、レセプト点検のAI指摘を誰が確定するかと検査説明書を看護師が原本と照合する手順で扱っています。予約や問診など他の業務で確認者を決めるときは、医療機関のAI活用の業務別一覧を起点にしてください。

規程は別表と台帳で動かし、年に一度見直す

院内規程の本文には承認者と申請手順だけを書き、業務ごとの確認者と承認済みのサービスは別表と利用台帳に分けて、年に一度見直します。サービスが増えたり担当が異動したりするたびに、規程本文の改定の手続きを踏まずに済むからです。

規程本文に書くのは、目的、外部送信を承認する人、申請票の様式と申請の手順、入れてよい情報の段階、誤って入力したときの報告先です。利用台帳の欄は、サービス名と契約形態、承認した業務、入れてよい情報の段階、承認日と承認者、保存・学習の条項の所在、確認者、次の見直し日とします。委託先や派遣の担当者が申請したときは、申請者の欄に所属する会社名も書きます。

ガイドラインは、経営層が定期的に管理状況の報告を受けて監査し、見直しと改善を企画管理者等に指示するよう求めています。間隔は院で決め、たとえば年に一度、企画管理者が台帳を安全管理責任者へ報告する形にします。

日本病院薬剤師会のガイダンスも、定期的な監査と利用状況の把握を組織の対策に挙げています。名古屋大学の方針通知は、利用したツール名・目的・利用日時を記録するよう求めています。規程の章立てや誤入力時の対応は、AI活用の基礎・選び方の記事群で順に取り上げます。

見直しでは、台帳の行ごとに、承認後に使われたかと、確認者が出力を差し戻した件数を見ます。使われていない行は承認を外します。差し戻しが続く業務は、確認者と申請した部署の責任者で原因を話し合い、続けるか止めるかを安全管理責任者が決めます。事業者が契約や利用規約を改めたときは、見直しの時期を待たずに2段目からやり直します。

承認の流れを院内で回せるか、外部と作るか

院内で持てるかどうかは、Q18の「保存されない」担保を、契約書や利用規約のどの条項で読み取れるかで見ます。入力の保存期間、学習への利用、再委託先の扱いが日本語の条項で明記され、確認書に条項の番号を写せるなら、企画管理者の確認から承認までは院内で完結します。

外の専門家に渡すのは、条項を読んでも決めきれない部分です。たとえば、学習以外の目的で一定期間保存すると書かれていて「保存されない」と言えるか判断できない条項や、英文の規約で保存先や再委託の範囲が読み取れない条項です。これらは契約に詳しい外部の支援者と読み合わせ、国外の事業者への送信に患者の同意が要るかという論点は顧問弁護士に預けます。規程・別表・台帳を一から作る院では、条項の読み方を確認書の様式に落とすところから外部と作れます。