カテゴリ 医療情報セキュリティ / 職員の生成 AI 利用のルール (個人情報保護法の従業者の監督・安全管理ガイドラインの持ち出し)

スタッフの生成AI——入れてよい情報を3つに分け、院の道具は1つ

職員が個人のスマホの生成AIに患者さんの情報を入れてしまう。国内でも2026年8月、保健指導の委託先で疾患の情報が個人で使う生成AIに入りました。禁止でなく、入れてよい情報を3つに分け、院の道具を1つ決める手順を、個人情報保護法と国のガイドラインから。記入用A4付き。

執筆・監修 クリニックAIラボ 編集長（現役内科医）

昼休みの診療所の受付で、事務の職員がスマートフォンを手にしたまま、パソコンの横の壁に貼られた1枚の紙に目を向けて手を止めているフラットイラスト。奥で院長が穏やかに見守っている
公開
2026-11-11
更新
2026-11-11
引用
PMID 0 件

この記事で学べること

  • 禁止だけでは隠れて使われる——国のガイドラインも、ルールが無いと従業員が管理の外で個人向けの生成 AI を使う恐れがあると書いている
  • 個人向けと法人向けで扱いが逆——主な 4 社の公式の説明では、個人向けは本人の設定しだい、院・会社として契約する版は最初から学習に使わない
  • 患者さんの情報は入れない (この記事の線)——学習などに使われると法違反の可能性。学習しない契約なら可とは国も言っていない
  • 3 つに分けて 1 枚に——入れてよい / 院の道具でなら / 入れない。迷ったら下の区分にする

読み終えたら、まずこれ

職員に「責めないので教えて」と前置きして生成AIの使い方を聞き、3つの区分と院の道具の名前を書いたA4を貼る

目次Index

はじめに——昼休みの手紙

ここからしばらくは、想定の場面です。

昼休みの受付。事務の職員 (スタッフ) が、健診の結果を患者さんに送る手紙を書いています。院長の下書きは専門の言葉が多く、「もう少しやさしく」と頼まれていました。

職員は自分のスマートフォンを取り出し、無料で使っている生成 AI (頼んだ文章を作って返す AI) の入力欄に、下書きをそのまま貼りつけます。患者さんの名前、生年月日、肝機能の数値、「精密検査をお勧めします」の一文。「高齢の方にも分かる言葉に直して」と打つと、数秒で読みやすい文が返ってきました。

職員に悪気はありません。院長の手間を減らそうとしただけです。

ただ、貼りつけた文は、そのスマートフォンの中ではなく、AI の会社のサーバーへ送られています。そこで何日残り、何に使われるのか。職員も、院長も知りません。

先生の診療所で、職員が仕事で生成 AI を使っているかどうか、ご存じでしょうか。

実際、2026 年 8 月には似たことが起きています。特定保健指導を受託していた会社の社員が、疾患の情報を含むデータを、個人で使っている生成 AI に誤って入れました[10][11]。特定保健指導は、健診の結果をもとに生活の改善を支える制度です (詳しくは後で)。

決めるのは院長

院は、患者さんの個人情報を扱う事業者です。職員に個人データを扱わせるときは、職員に対する「必要かつ適切な監督」を行う義務があります[5]。ここでいう職員には、医療の資格を持つ人だけでなく、受付・事務・派遣の人も含まれます[27]。

職員が個人の生成 AI に何を入れたかは、院の監督の範囲の話です。

この記事で決めることは 1 つです。生成 AI に入れてよい情報を 3 つに分けた院の 1 枚と、院が認める道具。禁止の貼り紙の代わりに、これを貼ります。

医師が診療の判断に生成 AI を使ってよいか、AI に予約や受付を任せるときの権限は、別の記事で扱います。この記事は、職員の毎日の入力の話です。

そもそも生成 AI に打つとは

本題の前に、入力欄に打った文がどこへ行くのかを、画面の見た目から確かめておきます。

打った文は、院の外へ出る

生成 AI は、頼んだ文章の下書きを数秒で返す AI です。画面の下に入力欄があります。「この文を丁寧な敬語に直して」と打って送ると、上に答えが返ってきます。

ノートパソコンとスマートフォンに同じつくりのチャット画面があり、下の入力欄と送信ボタン、上の答えの吹き出し、設定の画面の学習に使うかのスイッチに札が付いた図
図 1: 生成 AI の画面のつくり。下の入力欄に頼む文を打って送ると、上に答えが返る。設定の中に、入力を学習に使うかどうかのスイッチがあるサービスもある (編集部作成。特定の製品ではない)

答えを作っているのは、院のパソコンやスマートフォンの中ではありません。打った文は、インターネットを通って AI の会社のサーバー (データを預かって処理するコンピューター) へ送られます。答えはそこで作られて、戻ってきます。

ここまでは、メールを送るのと同じです。違うのは、送った後のことです。

① 入力したものの行き先

プロンプト
生成 AI の入力欄に打つ文や、貼りつける資料。この記事では「入力」と呼ぶ
学習 (モデルの改善)
AI の会社が、集めた入力や会話を材料にして AI をよくすること。個人向けでは、最初から使う設定になっていることがある
個人向けと法人向け
個人が自分のアカウントで申し込む版と、院や会社が契約し、管理する人が職員のアカウントを配る版。データの扱いは契約で決まる

会社と契約の種類によって、打った文は次の 3 つの扱いを受けることがあります。

左の診療所から院の外のAIの会社のサーバーへ入力の矢印が伸び、答えが戻る。サーバーから保存される・学習に使われる・人が読むの3本の枝が分かれ、どれになるかは会社と契約の種類しだいと書かれた図
図 2: 打った文の行き先。入力は院の外の AI の会社のサーバーへ送られ、答えが返ってくる。会社と契約の種類によっては、保存され、学習に使われ、一部を人が読むことがある (編集部作成。特定の会社の構成ではない)
  1. 保存される: 会話の履歴として、会社のサーバーに残る。期間は会社と契約で違う
  2. 学習に使われる: AI をよくするための材料として使われる
  3. 人が読む: 品質や不正の確認のために、会社の担当者が一部の会話を読む

院の外のサーバーに、院が決めていない期間、院の知らない使い道で残りうる。患者さんの名前を打つというのは、そういうことです。

個人向けと法人向けの違い

同じ会社の生成 AI でも、個人で申し込む版と院や会社として契約する版で、扱いが違います。主な 4 社の公式の説明から、「入力を学習に使うか」の 1 点を並べました (2026 年 11 月 11 日に確認)。

サービス個人向け (無料・有料)院・会社として契約する版
ChatGPT (OpenAI)最初からオン。設定でオフにできる[19]最初から使わない[20]
Gemini (Google)「アクティビティの保存」がオンなら使う[21]許可なく使わない[22]
Copilot (Microsoft)最初からオン。設定でオフにできる (旧アプリの説明。注)[23]使わない[24]
Claude (Anthropic)2025 年から、使うかを利用者が選ぶ[25]最初から使わない[26]

注: Copilot の個人向けは、2026 年 8 月に新しいアプリになり、新しい説明には学習の記載が見当たりませんでした。

保存の期間と、人が会話を読むことがあるかは、4 社の個人向けのページで書き方がそろっておらず、表には入れませんでした。どちらも、使う前に各社のページで確かめてください (「道具を決める前に確かめる 6 つ」)。

個人向けは本人の設定しだい (Copilot の新しいアプリは確認できず) で、法人向けは契約で最初から使わない形でした。

個人向けの設定でオフにしても、それは職員 1 人ひとりのアカウントの設定です。院からは、オフになっているかを確かめられません。

院長には、外注の検査に置き換えると分かりやすいと思います。検体は、契約を結んだ検査会社にしか出しません。結果の保存も、検体を別の目的に使わないことも、契約で決めます。院の契約で使う生成 AI はこれに近く、職員の個人のアカウントは、契約の無い会社に検体を渡す形に近い、と私は考えています。

② 患者さんの情報の呼び方

個人情報
生きている人について、その人が誰かを見分けられる情報。名前だけでなく、他の情報と容易に照らし合わせて誰か分かるものも含む
要配慮個人情報
個人情報のうち、病歴など、特に慎重に扱うよう法律が決めているもの。カルテに書かれた病歴、診療で知った病状、健診の結果などが当たる
左に職員が自分のスマートフォンを持つ個人向け、右に事務長が職員にアカウントを配る院の契約を並べ、学習の扱い・院から見えるか・退職のときの違いを3行ずつ比べた図
図 3: 個人向けと、院の契約。個人向けは学習に使うかが本人の設定しだいで、院からは見えない。院の契約は管理する人がアカウントを配り、最初から学習に使わない契約にでき、退職のときに止められる (編集部の整理。各社の扱いは本文の表と各社のページで確認)

院長がまず確かめることは 1 つです。職員がいま使っている生成 AI は、個人向けか、院の契約か。

禁止すると、隠れて使われる

では、いっそ「生成 AI は使用禁止」と貼り出せば済むでしょうか。

国の資料は、そう考えていません。総務省と経済産業省の AI 事業者ガイドライン (第 1.2 版) は、企業のルールが整っていない場合を挙げています。企業の管理の外で、従業員が業務外の利用者向けの生成 AI を使う恐れがある、という書き方です。そのうえで、機密情報を扱うときは、ビジネス利用を想定したサービスを使うよう勧めています[4]。

IPA (情報処理推進機構、国のセキュリティの専門機関) の「情報セキュリティ 10 大脅威 2026」も、同じ形を挙げました。職場に AI サービスが無いと、従業員が個人で使っている AI を業務に使うことがある。名前は「シャドー AI」です[7]。

国は、使うこと自体を止めていません。厚労省は、病院向けの業務の効率化の補助事業を出しています。その補助の対象に、「生成ＡＩを活用した各種業務支援サービス（ＡＩ問診や文書自動作成支援等）」が挙がっています[31]。診療所は対象ではありませんが、国が生成 AI の利用を後押ししていることは分かります。

問われているのは、使うかどうかより、何を入れるかです。

数字で見ると

セキュリティ会社が 2026 年 4 月に、パソコンをほぼ毎日使う国内の会社員 300 人に聞いた調査があります[8]。

  • 300 人のうち 201 人 (67%) が、生成 AI を仕事で使っていた
  • 300 人のうち約 15% は、会社のルールがはっきりしないまま、または認められていない道具で使っていた
  • 使っている人の約 60% が、何らかの業務の情報を入れたことがあった。氏名や連絡先などの個人情報は 10% (分母は書かれていないが、使っている人に対する割合と読める)
  • 会社の AI のルールが「ない・わからない」人は、約 45%

セキュリティ会社 1 社のインターネット調査です。

データの読み方 — 分母を確かめる

「約 15%」は、使っていない人も含めた 300 人が分母です。使っている 201 人の中で数え直すと、約 22% になります。割合を見たら、まず「何人のうちの何人か」を確かめる。それだけで、同じ数字の重さが変わります。この調査の発表文の中でも、「回答者の」と「利用者の」で書き方が揺れていました。

医療の現場では、病院薬剤師に聞いた学会員の調査があります。有効回答 348 人のうち 195 人 (56.0%) が、業務や薬物療法に関わる場面で生成 AI を使っていました[15]。医師向けの会員制サービスの 2025 年 5 月の調査では、クリニックに勤める医師の 36% が使っていました[16]。

薬剤師の調査は、使っている 195 人に気をつけていることも尋ねています。「個人情報を入力しない」を選んだのは 79.5%、「入力データを学習されないよう設定している」は 23.6% でした[15]。患者さんの情報を入れたかどうかを直接尋ねた設問は、公表された結果には、どちらにも見当たりません。患者さんの情報をどれだけ入れているかを直接尋ねた国内の調査は、編集部が探した範囲では見つかりませんでした。

米国には、医療従事者 518 人に聞いた調査があります。約 2 割が、勤め先の認めていない AI の道具を使ったことがあり、10 人に 1 人は患者さんのケアに直接使っていました。主な理由は、半数が挙げた「仕事を速くしたい」でした[14]。

すでに起きている

国内では 2026 年 8 月、特定保健指導を受託していた会社で起きました[10][11]。社員がデータの集計作業の途中に、個人で使っている外部の生成 AI に、対象者のデータを誤ってアップロードしたのです。データには、氏名や生年月日に加えて、高血圧症・糖尿病・脂質異常症といった疾患の情報が含まれていました[10]。

会社は、24 時間以内に削除したので、学習に使われた可能性はないと判断しています。一方で、生成 AI の事業者の担当者が読める状態だった可能性は、確認中としています[10]。

委託元の 1 つで、地方公務員の健康保険を担う共済組合の公表では、その組合の対象者は 726 人です[11]。会社員の健康保険を担う協会けんぽも、船員保険部の名前で事案を公表しました。委託先 (名前は伏せられています) が「許諾されていない個人利用の生成AIサービス」に誤ってアップロードした、という内容です[12]。同じ時期の事案ですが、同じものかは公表からは分かりません。

医療機関の事案ではありません。それでも、入ったのは診療所が毎日扱うのと同じ種類の情報です。

悪意のある攻撃ではありません。公表では、社員が集計作業の途中に、個人で使っている生成 AI に誤って入れたとされています。悪意が無くても起きる、ということです。

外来の風景に置き換える

診療所でも、同じ形は思い浮かびます。返書の下書き、患者さんへの説明文の言い換え、待合に貼る案内、職員の勤務表、審査で戻ってきたレセプトの返事の文面。生成 AI が得意な仕事は、受付・事務・看護の机の上にいくつもあります。

禁止の貼り紙だけでは、使いたい理由は消えません。私は、使ってよい範囲を院が先に区切り、院の道具を 1 つ渡すほうが、患者さんの情報を守れると考えています (見立て)。

左は事務室の壁に×の貼り紙があり職員が机の下でスマートフォンを操作している場面、右は壁に3色の帯の紙があり職員が院のパソコンで作業し院長がうなずいている場面を並べた図
図 4: 禁止の貼り紙と、区切る 1 枚。禁止だけでは、使いたい理由が残り、院の見えない所で使われやすい。入れてよい範囲を区切って院の道具を渡すと、使い方が院から見えるようになる (編集部の見立て)

だから最初の一手は、貼り紙ではありません。職員がいま何に使っているかを知ることです。

自院は当てはまるか

院長が 3 分で答えられる問いを 6 つ用意しました。「はい」か「分からない」が付いた問いは、表の右の列の手順へ進んでください。

6つの問いの札が縦に並び、それぞれから矢印が手順1から手順5の札へつながる判定の流れ図
図 5: 自院の当てはまりを測る 6 つの問い。「はい」か「分からない」が付いたら、右の手順へ進む (編集部作成)
問い「はい」「分からない」なら
1. 職員の誰かが、仕事で生成 AI を使っていそうだ手順 1 (聞き取り)
2. 院として契約した生成 AI は無い (あっても、職員に配っていない)手順 3 (院の道具を決める)
3. 返書・説明文・案内の下書きを、職員が自分のスマートフォンで作ることがある手順 2 (1 枚を貼る)
4. 患者さんの情報を「外のサービスに入れてはいけない」と、書いた決まりが無い手順 2 と手順 4 (規程に 1 行)
5. 電子カルテやレセコン、予約の仕組みに、最近「AI」の機能が付いた手順 5 (道具を決める前の 6 つ)
6. 院長自身も、個人のアカウントで仕事の文を作ったことがある手順 3

6 つのうち、私が最初に自分に向けるのは問い 6 です。決まりは、院長が守っているのを見て、職員が守るものだからです。

「いいえ」がそろっても、答えの根拠が「使っていないはず」なら、手順 1 だけは済ませてください。

「はい」が 1 つでもあれば、今日できるのは手順 1 と 2 です。

入れてよい情報を 3 つに分ける

この記事の中心です。院の情報を、生成 AI に入れてよい、院の道具でなら入れてよい、入れないの 3 つに分けます。

上から入れてよい、院の道具でなら、入れないの3本の帯に、それぞれの情報の例のアイコンと使ってよい道具が書かれ、左に迷ったら下へという矢印がある分類図
図 6: 入れてよい情報の 3 つの区分。① 入れてよい (公開している情報・一般的な言い回し)、② 院の道具でなら (院内の非公開の情報・誰か分からない形に直した文)、③ 入れない (患者さんや職員を特定できる情報・診療の記録・パスワード)。迷ったら下の区分にする (編集部の案)
区分何が入るか (例)どの道具なら
① 入れてよい院のホームページに載せている文、休診のお知らせ、求人の原稿、言い回しの直し、制度の一般的な調べものどの生成 AI でも
② 院の道具でなら院内のマニュアル、職員の名前の無い勤務の決まり、院の経営の数字、患者さんが誰か分からない形に直した文院が契約し、学習に使わないと確かめた道具だけ
③ 入れない: 患者さん名前・生年月日・住所・電話・保険証やカルテの番号、紹介状やカルテの文そのもの、検査の結果や画像どの生成 AI にも入れない
③ 入れない: 職員と院職員の個人情報、院のパスワードや機器の設定どの生成 AI にも入れない
③ 入れない: 取引先取引先から秘密として受け取った情報どの生成 AI にも入れない

迷ったら、1 つ下の区分として扱います。② か ③ か迷ったら ③ です。

AI 問診など、患者さんの情報を渡すことが前提の製品は、手順 5 で扱います。

法律の線と、院の線

3 つの区分には、法律がかかわる線と、編集部が院に勧める線が混ざっています。分けて書きます。

法律が特に重く扱う線は、③ の患者さんと職員の個人情報です。カルテに書かれた病歴や、健診の結果は、個人情報保護法で特に慎重に扱う「要配慮個人情報」に当たります[5][27]。

個人情報保護委員会 (個人情報保護法を所管する国の機関) は 2023 年 6 月、注意を促しました。本人の同意なく、個人データを含む入力をする。それが答えを返す以外の目的 (機械学習など) で扱われると、個人情報保護法の規定に違反することとなる可能性がある、という内容です[1]。

委員会の周知の紙は、もう一歩踏み込んでいます。AI の会社が、入力を学習に使うことにしているサービスがあります。そこに個人データを入れると、その会社に個人データを「提供」したことになる、という説明です[13]。患者さんの個人データを外の会社に提供するには、原則として本人の同意が要ります[5]。

では、学習に使わない契約なら、患者さんの情報を入れてよいのか。

国は、そうは言っていません。入力が法律の上で何に当たるかを、委員会が一般的に示した文書は、編集部が調べた範囲では見つかりませんでした。だから ③ は、院の道具でも入れない区分にしています。厚労省の Q&A は、契約で担保された場合の医療情報の入力を想定しています[2]。院の道具でも入れないのは、それより一段厳しい編集部の線です。

職種ごとの守秘義務もあります。医師・薬剤師・助産師は刑法、保健師・看護師・准看護師は保健師助産師看護師法が、業務で知った人の秘密を正当な理由なく漏らすことを禁じています[6]。臨床検査技師や診療放射線技師にも、それぞれの資格の法律に同じ定めがあります[6]。

受付や医療事務の職員は、医療の資格の法律による守秘義務の一覧には入っていません[27]。業務によっては、ほかの法律の守秘の定めがかかることもあります[27]。厚労省のガイドラインは、こうした職員には雇用契約などで守秘義務を課して管理するよう整理しています[28]。

院の線は、② と、③ のうち院のパスワードや取引先の秘密です。国の AI 事業者ガイドラインは、AI の利用者に、個人情報と機密情報を不適切に入力しないよう注意を払うことを求めています[3]。

院のマニュアルや経営の数字は、外に入れても、それだけで法律違反になるとは限りません。それでも、取引先との秘密の約束に触れることがあり、漏れれば院が困ります。業界団体の雛形も、個人情報に加えて、他社から秘密として受け取った情報と自組織の機密情報を、入れない情報に挙げています[17]。

先生の院で、エラーの画面を丸ごと貼って「これを直して」と AI に聞いたことはないでしょうか。

③ の中で、私がいちばん見落とされやすいと思うのは、院のパスワードと機器の設定です。設定の画面を丸ごと貼ると、パスワードや院内の機器の情報が一緒に入ります。患者さんの情報ではないので、気づきにくいのです。

名前を消しても、分かることがある

② の「患者さんが誰か分からない形に直した文」は、いちばん判断が難しい所です。

個人情報には、名前そのものだけでなく、ほかの情報と容易に照らし合わせて誰か分かるものも含まれます[5]。名前を消しても、カルテの番号や受診日が残っていれば、院の記録と照らし合わせて誰か分かります。法律の上でも、個人情報のままです。

記録と照らし合わせなくても、分かることがあります。先生の診療所の患者さんで、「70 代の男性、駅前の商店の店主、先週の木曜に転倒」で顔が浮かぶ方はいないでしょうか。地域の小さな診療所では、近所の人なら見当がつきます。

名前を消すだけでは足りません。直すときは、次の 5 つを消すか、ぼかします (編集部の案)。

文書の下書きの5か所に印が付き、右で灰色に塗られた紙と、名前と番号・生年月日と受診日・住所と勤務先と家族・めずらしい病名と画像・院の名前の5つの札が結ばれた図
図 7: 誰か分からない形に直すときに、消すかぼかす 5 つ。名前と番号、日付、住所や勤務先、めずらしい病名や画像、院の名前。名前だけ消しても、番号や日付が残れば院の記録と照らし合わせて誰か分かる (編集部の案)
  1. 名前・カルテの番号・保険証の番号
  2. 生年月日と、受診日などの日付 (「先週」「70 代」のように幅を持たせる)
  3. 住所・勤務先・学校・家族の名前
  4. めずらしい病名や経過、写真や画像
  5. 院の名前 (院の名前と組み合わさると、地域の患者さんに近づく)

日本病院薬剤師会のガイダンスも、入力するときは患者の氏名等を削除・マスクし、医療情報は最小限にとどめ、機微な情報は入れないとしています[18]。

それでも ② は、院の道具でだけ入れます。5 つを消しても、院の中には元のカルテがあり、照らし合わせれば誰か分かることがあります。法律の上で個人情報でなくなったとは考えず、学習に使われず、院が消せる場所にとどめておきます。

答えは、人が確かめる

最後に、区分とは別の話を 1 つだけ。生成 AI の答えは、もっともらしく間違えることがあります。

① の制度の調べものでも、答えをそのまま患者さんへの案内に使わず、厚労省などの元の資料で確かめます。医学の内容が入る文は、院長が読んでから外に出します。

院で決めることは 2 つです。② の「院の道具」をどれにするか。③ に院独自の項目 (院で扱う検査や、院の取引先の名前など) を足すかどうか。

院で回す手順

手順には、何に基づくかを示す印を付けます。

  • 〔法令〕: 個人情報保護法そのものが院に求めていること
  • 〔立入検査〕: 保健所などが院に来て確かめる立入検査で、厚労省のチェックリスト (令和 8 年度版) の項目として見られるもの
  • 〔ガイドライン〕: 厚労省の安全管理ガイドライン第 7.0 版と Q&A、個人情報保護委員会の注意喚起、AI 事業者ガイドラインに書かれていること
  • 〔推奨〕: 編集部の提案。資料に無い担当・時間・順番・文面を含む

チェックリストには、生成 AI の利用そのものを尋ねる項目はありません[9]。立入検査に関わるのは、院の決まりを書いた規程 (手順 4) です。

今日・30日以内・90日以内とその後の3列に、聞く・貼る・院の道具を決める・規程に1行・製品は別に確かめる・年に1回の研修の6つの手順の札が担当と時間付きで並ぶ流れ図
図 8: 院で回す手順。今日は聞いて貼る、30 日以内に院の道具を決めて規程に 1 行、その後は製品を別に確かめ、年に 1 回 15 分の研修をする (編集部作成。担当と時間は編集部の提案)

今日

  1. 職員に、責めずに聞く〔推奨〕

    担当: 院長。所要: 朝礼で 5 分と、紙を集めて 10 分。完了の確かめ方: 誰が、どの道具を、個人と院のどちらのアカウントで、何に使っているかの一覧ができている。

    最初に「これまでのことを責めるための質問ではない」と言ってから聞きます。責められると思えば、職員は使っていないと答えます。それでは、守る前の地図が描けません。

    聞くのは 4 つです。使っている道具の名前。個人のアカウントか、院の契約か。何に使ったか。患者さんや職員の名前が入った文を入れたことがあるか。

    4 つのうち、私がいちばん大事だと思うのは 2 つめです。道具の名前より、個人のアカウントか院の契約かで、情報の行き先が変わるからです。

    名前の入った文を入れていたと分かっても、その場で叱らないでください。話してくれたから、院は手を打てます。「教えてくれてありがとう」と伝えてから、次の順で進めます。

    • 消す前に書き留める: いつ、どの道具に、どの患者さんの、どんな情報 (名前・病名・検査の値など) を入れたか。画面の写しを院のパソコンに残してもかまいません。先に消すと、誰の何を入れたかが分からなくなります
    • 消して、止める: その会話を消し、学習に使う設定をオフにしてもらう。消しても、AI の会社のサーバーからすぐに消えるとは限りません
    • 院長が判断する: 病歴や検査の結果などを含む個人データが漏えいした、またはそのおそれがある。そのときは、個人情報保護委員会への報告と本人への通知が法律の義務です〔法令〕[5]。委員会は、発覚したら、まずは速やかに報告するよう案内しています[38]

    前の章の国内の事案でも、会社は委員会への報告を済ませたと公表し、共済組合の対象の人には、会社から電子メールで連絡しています[10][11]。迷ったら、委員会の相談ダイヤルに電話で聞けます (費用と頼れる先の節)。

  2. 1 枚を貼る〔推奨〕

    担当: 院長が決め、事務が印刷して貼る。所要: 10 分。完了の確かめ方: パソコンの横と休憩室に貼ってあり、職員全員が読んで、下の欄に名前を書いた。

    この記事の終わりにある記入用の A4 に、3 つの区分と、院が認めた道具の名前を書いて貼ります。院の道具がまだ決まっていない間は、A4 に刷ってある「決まるまでは、② の情報も ③ の情報も、どの生成 AI にも入れない」を守ります。

30 日以内

  1. 院の道具を 1 つ決める〔ガイドライン〕

    担当: 院長 (事務長と)。所要: 1〜2 時間。完了の確かめ方: 院の道具の名前、契約の種類、職員のアカウントを配って止める人が A4 に書いてある。

    まず、院がすでに契約しているものを確かめます。院のメールや文書に、Microsoft 365 や Google Workspace を使っているでしょうか。それなら、院のアカウントで使える生成 AI が含まれていることがあります (費用と頼れる先の節)。新しく契約するのは、それを確かめてからで構いません。

    決めたら、職員には院のアカウントを配ります。退職のときに、院がアカウントを止められるようにするためです。共有の 1 つのアカウントを皆で使う形は、誰が何を入れたかが分からなくなるので避けます (共有 ID の記事)。

    根拠は 2 つあります。厚労省の安全管理ガイドライン第 7.0 版は、院の外のネットワークのサービスに医療情報を送ることも「持ち出し」として扱います。そして、持ち出しができるネットワークのサービスは、院の管理者が承認したものだけを使えるようにする、としています[28]。生成 AI を名指しした文ではありません。入力欄に打った文は院の外へ送られるので、同じ考え方が当てはまると私は読んでいます。AI 事業者ガイドラインも、機密情報を扱うならビジネス利用を想定したサービスを使うよう勧めています[4]。

    職員の私物のスマートフォンを仕事に使う場合について、ガイドラインは、院の機器と同じ程度の対策ができるよう手順を作るよう求めています。使ってよい条件と範囲も、規程に書きます[29][2]。

    院の道具は、1 つで足ります。

  2. 規程と誓約書に 1 行ずつ足す〔法令〕〔立入検査〕〔推奨〕

    担当: 院長。所要: 30 分。完了の確かめ方: 運用管理規程 (院の情報システムの扱いを書いた決まり) と、職員の守秘の誓約書に、下の文が入っている。

    文の例です (編集部の案)。「院の生成 AI の区分」は、記事の終わりの A4 のことです。

    職員は、別に定める「院の生成 AI の区分」に従って、業務の情報を生成 AI に入力する。区分で認められた公開していない院の情報は、院が認めた生成 AI にだけ入力する。患者及び職員を特定できる情報、パスワード等のアカウントの情報、院の機器の設定、取引先から秘密として受け取った情報は、どの生成 AI にも入力しない。ただし、患者の情報を扱うことを前提とした製品で、院長が契約の内容を確かめて別に承認したものは、その手順に従って使う。

    個人情報保護法は、院が職員に個人データを扱わせるとき、職員に対する「必要かつ適切な監督」を求めています[5]。安全管理ガイドラインは、医療情報を扱う職員を採用するとき、雇用契約に在職中と退職後の守秘の条項を入れるよう求めています[28]。

    先生の院の誓約書には、退職した後の守秘の一文が入っているでしょうか。

    規程は、チェックリストの 4-① で、立入検査の確認の対象になる書類です[9]。生成 AI の行を入れること自体は求められていません。それでも、入れておけば院の決まりとして職員に示せます。

    決まりは、守られて初めて意味を持ちます。個人情報保護委員会は、医療機関で内規が守られなかった事案について、組織体制や従業者の監督が十分でなかったことの表れだと指摘しました[30]。口で伝えただけでは、監督したことを後から示せません。

90 日以内と、その後

  1. AI の機能が付いた製品は、別に確かめる〔ガイドライン〕

    担当: 院長。完了の確かめ方: 電子カルテ・予約・問診の製品に付いた AI の機能について、次の節の 6 つの答えがそろっている。

    患者さんの情報を AI に渡すことが前提の製品は、この記事の 3 区分の外にあります。たとえば AI 問診 (受診前に AI が症状を聞き取る仕組み) や、診察の会話からカルテの下書きを作る AI スクライブです。院が契約の中身を確かめ、院長が認めたときだけ使います。製品を入れる前に聞く 20 問は、AI 導入前の 20 項目の記事にまとめました。

  2. 年に 1 回、15 分の研修と見直し〔ガイドライン〕〔推奨〕

    担当: 院長か事務長。所要: 15 分。完了の確かめ方: 研修の日付と参加者が A4 の下の欄にあり、区分の例が 1 つ以上更新されている。

    安全管理ガイドラインは、職員への教育・訓練を、採用時と定期的に行うよう求めています[28]。年に 1 回・15 分という長さは、編集部の提案です。新しく人を採用したときにも、同じ読み合わせをします。

    読み合わせるのは、この A4 と、実際に起きた事案の公表文 1 つです。最後に「この 1 年で、③ に入れたくなった場面」を 1 人 1 つずつ挙げてもらい、区分の例を足します。

人も時間も無い院の最小の手は、手順 1 と 2 だけです。聞いて、貼る。それで、院の知らない使い方が、院の見える使い方に変わりはじめます。

道具を決める前に確かめる 6 つ

院の道具の候補が決まったら、契約の前に次の 6 つを確かめます〔推奨〕。質問の文面は編集部の案です。1 の学習の扱いは、この記事の表の 4 社なら公式のページに書いてあります。ほかは、ページで見つからなければ販売元か代理店に送ってください。

件名: 生成 AI の契約の前に確認したいこと (ご質問)

いつもお世話になっております。当院で職員が業務に使う生成 AI として、貴社のサービスの契約を検討しています。次の点を教えてください。

  1. 当院の職員が入力した文や資料、AI の答えは、貴社の AI の学習 (モデルの改善) に使われますか。使われない場合、それは契約書・利用規約のどこに書かれていますか。
  2. 入力した文や会話の履歴は、どのくらいの期間保存されますか。当院が期間を決めたり、削除したりできますか。
  3. 品質や不正の確認のために、貴社や委託先の担当者が当院の会話を読むことはありますか。ある場合、どんな場合ですか。
  4. 入力した情報は、どの国のサーバーで処理・保存されますか。
  5. 当院の管理者が、職員のアカウントを追加・停止し、誰がいつ使ったかの記録を見られますか。
  6. 個人情報の取り扱いについての契約 (データ処理に関する契約など) を結べますか。その写しをいただけますか。

よろしくお願いいたします。

質問 1 と 6 が中心です。個人情報保護委員会は、個人データを含む入力をするなら、提供する事業者が機械学習に使わないこと等を十分に確かめるよう求めています[1]。だから「学習に使いません」という営業の言葉ではなく、契約書や規約のどこに書いてあるかを聞きます。

質問 1 に、規約の場所で答えられない会社は、私なら候補から外します。

質問 4 は、外国の会社が院の入力を扱う場合、個人情報保護法の「外国にある第三者への提供」の決まりにも関わるからです[5]。

厚労省の Q&A には、医療情報を生成 AI に入力する場合の答えがあります。学習等のために保存されないことが契約等で担保されていれば、サーバーが国内法の適用を受けていることは必須ではない、という内容です[2]。これは安全管理ガイドラインの要件についての答えで、患者さんの情報を入れてよいという意味ではありません。この記事の区分では、③ を入れない決まりは、どの道具を選んでも変わりません。

答えは A4 と同じ綴りに入れておきます。各社の扱いは変わることがあるので、契約の更新のたびに 1 と 2 は確かめ直します。

費用と頼れる先

先生の院のメールは、どこの会社のサービスでしょうか。

院の道具の費用は、すでに契約しているものしだいで、0 円から始まります。各社の公式のページの表示を、2026 年 11 月 11 日に書き写しました。税の扱い・割引・最低人数は変わるので、契約の前に各社のページで確かめてください。

すでに使っているもの院の道具にできるもの費用 (公式の表示)
Microsoft 365Copilot Chat (院のアカウントでサインイン)追加料金なし (Web の範囲)[32]。Business Basic は 1 人月 1,049 円 (税抜・年払い)[33]
Google WorkspaceGeminiBusiness Starter (1 人月 800 円、税の表記なし) 以上に含まれる[34]
どちらも無いChatGPT Business1 人月 3,050 円 (年払い)、2 人から[35]
どちらも無いClaude の Team1 人月 20 米ドル (年払い)、2 人から。円の表示はページに無い[36]

新しく契約する場合、職員 3 人の院で、月 1 万円前後です (年払いの例。3,050 円 × 3 人、または 20 米ドル × 3 人)。

私は、この費用を、患者さんの情報が個人のアカウントに入ったときの後始末と比べて決めます。書き留め、消してもらい、委員会への報告が要るかを確かめ、患者さんに説明する。月 1 万円前後は、その手間より軽いと私は考えます (見立て)。

頼れる先は、どれも無料です。

  • 個人情報保護委員会の「個人情報保護法相談ダイヤル」: 03-6457-9849。受付は平日 9:30〜17:30 (土日祝日・年末年始を除く)。法律の考え方を聞ける窓口で、個別の事案が適法か違法かの判断はしていません[37]
  • 漏えい等の報告: 要配慮個人情報を含む個人データの漏えい (またはそのおそれ) は、委員会への報告と本人への通知が必要です。報告の手順は委員会の案内のページにあります[5][38]
  • 日本ディープラーニング協会 (JDLA) の「生成 AI の利用ガイドライン」の雛形: 会社向けの雛形で、入力してはいけない情報の書き方の例があります。2023 年の版で、診療所向けではありません[17]
  • 日本病院薬剤師会の生成 AI 利活用ガイダンス: 薬剤師向けですが、患者さんの情報の扱いの禁止事項と、組織の側の対策が短くまとまっています[18]

今日のうちにできるのは、院のメールの契約画面を開き、プランの名前を A4 の「院が認めた道具」の欄の横に書いておくところまでです。それで、手順 3 の半分が終わります。

記入用の A4

ここまでの内容を、そのまま印刷して貼れる A4 1 枚にしました。上から、3 つの区分と例、院が認めた道具、名前を消すときの 5 つ、迷ったとき・入れてしまったときにすること、職員の確認の欄の順です。入れてしまったときの欄は、次の順です。

  1. 消さずに、すぐ院長か担当の人に伝える (責められません)
  2. いつ・どの道具に・誰の何を入れたかを、一緒に書き留める
  3. 会話を消し、学習の設定をオフにする
  4. 報告が要るかは、院長が判断する

記入用の「院の生成 AI の 1 枚」の A4 (PDF) をダウンロード

A4の記入用紙の見本。上に入れてよい・院の道具でなら・入れないの3つの区分と例の表、中ほどに院が認めた道具の欄と名前を消すときの5つ、その下に迷ったとき・入れてしまったときの手順と個人情報保護法相談ダイヤルの番号、最後に職員全員の名前と研修の日の欄がある
図 9: 記入用の A4 の見本。区分の例は編集部の案で、院で足す欄がある。相談ダイヤルの番号は 2026 年 11 月 11 日に確認。書き写す前に、個人情報保護委員会のページで番号と受付時間を確かめてください (編集部作成)

まとめ

この記事でわかったこと

  • 禁止だけでは隠れて使われる——国の AI 事業者ガイドラインも、ルールが整っていないと、従業員が管理の外で業務外の利用者向けの生成 AI を使う恐れがあると書いている
  • 個人向けと法人向けで扱いが逆——主な 4 社の公式の説明では、個人向けは本人の設定しだい、院・会社として契約する版は最初から学習に使わない (2026 年 11 月 11 日確認)
  • 患者さんの情報は入れない (この記事の線)——同意なく入れて学習などに使われると、個人情報保護法の違反となる可能性があると個人情報保護委員会が注意している。学習に使わない契約なら入れてよいとは国も言っていないので、院の道具でも入れない
  • 名前を消しても個人情報のことがある——カルテの番号や日付が残れば、院の記録と照らし合わせて誰か分かる
  • 3 つに分けて 1 枚に——入れてよい / 院の道具でなら / 入れない。迷ったら下の区分
  • 国内でも起きた——2026 年 8 月、保健指導の委託先で、疾患の情報を含むデータが個人で使う生成 AI に入った

やることリスト

今日 (15 分)

  • 「責めないので教えて」と前置きして、職員に生成 AI の使い方を聞き、一覧にする推奨

今日 (10 分)

  • 記入用の A4 に 3 つの区分と院の道具 (未定なら「決まるまで ② ③ は入れない」) を書いて貼り、全員の名前をもらう推奨

30 日以内

  • 院の道具を 1 つ決める。まず、契約中の Microsoft 365 や Google Workspace に含まれていないか確かめるガイドライン
  • 契約の前に 6 つの質問の答えをそろえる (学習・保存・人の確認・国・管理・契約)推奨
  • 運用管理規程と、職員の守秘の誓約書に、生成 AI の 1 行を足す (職員の監督は法律の義務。1 行の書き方は編集部の案)推奨

年に 1 回

  • A4 と実際の事案の公表文 1 つを読み合わせる研修をし、区分の例を足す (定期の教育はガイドライン。15 分は編集部の案)ガイドライン

おわりに——聞いて、貼る

冒頭の昼休みの受付に戻ります。

パソコンの横に A4 が貼ってあり、③ の欄に「患者さんの名前・生年月日・検査の結果」と書いてあるとします。職員は、スマートフォンを取り出す前に手を止められます。院の道具の欄に名前が書いてあれば、名前・生年月日・検査の数値を消して、「高齢の方に分かる言葉に」と頼む先も分かります。

職員が生成 AI を使うのは、仕事を早く片づけたいからです。その気持ちは止めなくていい、と私は考えています。入れてよい場所を、院が先に決めておく。今日できるのは、職員に聞いて、1 枚を貼ることです。

次は、予約や受付を AI に任せるときに渡す権限を「読む・書く・消す」に分けるAI の権限の記事(準備中)です。AI 問診などの製品を入れる前に聞くことはAI 導入前の 20 項目の記事、攻める側の AI についてはAI 時代のサイバー攻撃の記事にまとめています。

なお、本記事は 2026 年 11 月 11 日時点の公表資料と各社の公式のページに基づく、一般的な情報提供です。個別の契約・就業規則・法的判断についての助言ではありません。冒頭の場面は説明のための想定で、実在の診療所の出来事ではありません。民間の情報メディアが、国の機関の公表資料と各社・各機関の公表文を読んでまとめたもので、各機関の見解ではありません。弁護士や情報セキュリティの専門家の監修も受けていません。〔推奨〕と「編集部の案」、「私は〜」と書いた部分は、資料に無い編集部の考えです。

本記事は、取り上げた会社・機関から依頼・報酬・資料提供を受けて書いたものではありません。表で並べた OpenAI・Google・Microsoft・Anthropic の 4 社とは、送客や紹介の契約を含め、報酬の関係はありません。特定の製品・サービスの推奨もしていません。4 社は、職場で広く使われている生成 AI のうち、個人向けと法人向けの扱いを公式のページで確かめられたものです。ほかの生成 AI (国内の会社のものを含む) も、「道具を決める前に確かめる 6 つ」で同じように確かめられます。クリニックAIラボは、事業者への送客などから収益を得ることがあります (詳しくは利益相反の開示)。広い画面では記事の右の列に製品の紹介が無作為に出ます (お金を受けて載せているものではありません)。記事の末尾には、サイトの製品比較のページへの案内が自動で付きます。

参考文献

ページは紙面に印刷された番号です (印刷の無いものは PDF のページ)。各社のページは 2026 年 11 月 11 日に確認しました。

主な参考文献 (5 件)

  1. 個人情報保護委員会. 生成AIサービスの利用に関する注意喚起等について (別添1 PDF p.2「個人情報取扱事業者における注意点」②). 令和5年6月2日. https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
  2. 厚生労働省. 医療情報システムの安全管理に関するガイドライン Q&A (企画管理編 Q18 p.10、Q26 p.12). 令和8年9月. https://www.mhlw.go.jp/content/10808000/001752355.pdf
  3. 総務省・経済産業省. AI事業者ガイドライン 第1.2版 別添 (機密情報の流出 PDF p.21、AI利用者向け PDF p.171). 令和8年3月31日. https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_3.pdf
  4. 個人情報の保護に関する法律 第2条第1項・第3項、第16条第3項、第17条、第18条、第23条、第24条、第25条、第26条、第27条、第28条 / 個人情報の保護に関する法律施行規則 第7条 (e-Gov 法令検索、2026年11月11日確認). https://laws.e-gov.go.jp/law/415AC0000000057 / https://laws.e-gov.go.jp/law/428M60020000003
  5. 厚生労働省. 医療情報システムの安全管理に関するガイドライン 第7.0版 企画管理編 (7 遵守事項①② p.26、7.1 p.27、7.3 p.28、8 遵守事項⑥ p.30、8.2.3 p.32). 令和8年5月. https://www.mhlw.go.jp/content/10808000/001716292.pdf
すべての参考文献 (38 件) を見る
  1. 個人情報保護委員会. 生成AIサービスの利用に関する注意喚起等について (別添1 PDF p.2「個人情報取扱事業者における注意点」②). 令和5年6月2日. https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf
  2. 厚生労働省. 医療情報システムの安全管理に関するガイドライン Q&A (企画管理編 Q18 p.10、Q26 p.12). 令和8年9月. https://www.mhlw.go.jp/content/10808000/001752355.pdf
  3. 総務省・経済産業省. AI事業者ガイドライン 第1.2版 本編 (第5部 AI利用者 U-4・U-5、p.40). 令和8年3月31日. https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf
  4. 総務省・経済産業省. AI事業者ガイドライン 第1.2版 別添 (機密情報の流出 PDF p.21、AI利用者向け PDF p.171). 令和8年3月31日. https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_3.pdf
  5. 個人情報の保護に関する法律 第2条第1項・第3項、第16条第3項、第17条、第18条、第23条、第24条、第25条、第26条、第27条、第28条 / 個人情報の保護に関する法律施行規則 第7条 (e-Gov 法令検索、2026年11月11日確認). https://laws.e-gov.go.jp/law/415AC0000000057 / https://laws.e-gov.go.jp/law/428M60020000003
  6. 刑法 第134条第1項 / 保健師助産師看護師法 第42条の2 / 臨床検査技師等に関する法律 第19条 / 診療放射線技師法 第29条 (e-Gov 法令検索、2026年11月11日確認). https://laws.e-gov.go.jp/law/140AC0000000045 / https://laws.e-gov.go.jp/law/323AC0000000203
  7. 独立行政法人情報処理推進機構 (IPA). 情報セキュリティ10大脅威 2026 解説書 [組織編] (p.16-17「AIの利用をめぐるサイバーリスク」). 2026年3月. https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf
  8. 株式会社サイバーセキュリティクラウド. 生成AI利用者の35%がヒヤリハットを経験、“AI過信”によるコピペと機密情報入力が主因に (調査 2026年4月21〜22日、会社員300名). PR TIMES. 2026年5月13日. https://prtimes.jp/main/html/rd/p/000000344.000009107.html
  9. 厚生労働省. 令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル～医療機関・薬局・事業者向け～ (p.18 4-①). 令和8年6月. https://www.mhlw.go.jp/content/10808000/001716186.pdf
  10. RIZAP株式会社. 当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ. 2026年9月3日. https://business.rizap.jp/news/2492
  11. 地方職員共済組合. 委託先における個人情報漏えいの可能性のある事案の発生について. 令和8年9月4日. https://www.chikyosai.or.jp/info/pdf/info_260904.pdf
  12. 全国健康保険協会 船員保険部. 個人情報漏洩の可能性に関する事案の発生（生成AIサービスへの個人情報データ入力）. 令和8年9月30日. https://www.kyoukaikenpo.or.jp/senpo/about/administrative_processing_error/r08/1365.html
  13. 個人情報保護委員会. 生成AIサービスの利用に関する注意喚起 (周知用リーフレット、日付の記載なし). https://www.ppc.go.jp/files/pdf/generativeAI_notice_leaflet2023.pdf
  14. Wolters Kluwer Health. Wolters Kluwer survey finds broad presence of unsanctioned AI tools in hospitals and health systems (調査 2025年12月、米国の医療従事者518人). 2026年1月22日. https://www.wolterskluwer.com/en/news/wolters-kluwer-survey-finds-broad-presence-of-unsanctioned-ai-tools-in-hospitals-and-health-systems
  15. 清宮啓介, ほか. 生成AIの病院薬剤師業務における利活用の現状と課題：横断的アンケート調査. 医療薬学. 2026;52(3):136-150. doi:10.5649/jjphcs.52.136. https://www.jstage.jst.go.jp/article/jjphcs/52/3/52_136/_article/-char/ja
  16. 株式会社Medii. 生成AIで見えてきた、医師が“本当に欲しい”情報とは (調査 2025年5月27〜28日、Medii Eコンサル会員医師609名). 2026年2月20日. https://note.com/medii_ecns/n/n9c7268737ff5
  17. 一般社団法人日本ディープラーニング協会 (JDLA). 生成AIの利用ガイドライン【簡易解説付】第1.1版 (5「データ入力に際して注意すべき事項」). 2023年10月. https://www.jdla.org/document/
  18. 一般社団法人日本病院薬剤師会. 生成AI利活用ガイダンス (2026年2月18日版) (p.19・p.21). 2026年3月31日公表. https://jshp.or.jp/activity/guideline/20260331.pdf
  19. OpenAI. How your data is used to improve model performance / Data Controls in ChatGPT (Help Center). https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance / https://help.openai.com/en/articles/7730893-data-controls-in-chatgpt
  20. OpenAI. Business data privacy, security, and compliance. https://openai.com/business-data/
  21. Google. Gemini Apps Privacy Hub (Gemini アプリのプライバシー ハブ). https://support.google.com/gemini/answer/13594961
  22. Google. Generative AI in Google Workspace Privacy Hub. https://support.google.com/a/answer/15706919
  23. Microsoft. Privacy FAQ for Microsoft Copilot / Microsoft Copilot privacy controls (2026年8月18日より前のアプリの説明。新しいアプリの説明 https://support.microsoft.com/en-us/privacy/microsoft-copilot/overview には学習の記載が見当たらない). https://support.microsoft.com/en-us/microsoft-copilot/privacy-faq-for-microsoft-copilot
  24. Microsoft. Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat. https://learn.microsoft.com/en-us/copilot/plan/enterprise-data-protection
  25. Anthropic. Updates to Consumer Terms and Privacy Policy (2025年8月28日) / How long do you store my data? https://www.anthropic.com/news/updates-to-our-consumer-terms / https://privacy.claude.com/en/articles/10023548-how-long-do-you-store-my-data
  26. Anthropic. How do you use personal data in model training? (商用サービス). https://privacy.claude.com/en/articles/7996885-will-anthropic-train-on-my-inputs-and-outputs
  27. 個人情報保護委員会・厚生労働省. 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス (Ⅱ 3 p.10、Ⅳ 7 (1)② p.36、(2)④⑤ p.37-38). 平成29年4月14日 (令和8年4月一部改正). https://www.ppc.go.jp/files/pdf/260401_iryoukaigo_guidance.pdf
  28. 厚生労働省. 医療情報システムの安全管理に関するガイドライン 第7.0版 企画管理編 (7 遵守事項①② p.26、7.1 p.27、7.3 p.28、8 遵守事項⑥ p.30、8.2.3 p.32). 令和8年5月. https://www.mhlw.go.jp/content/10808000/001716292.pdf
  29. 厚生労働省. 医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編 (7.2.1 p.15、7.4 p.16、7 遵守事項⑨ p.17). 令和8年6月. https://www.mhlw.go.jp/content/10808000/001716295.pdf
  30. 個人情報保護委員会. 「医療機関における個人情報の取扱い」に関する注意喚起 (PDF p.2). 令和4年11月2日. https://www.ppc.go.jp/files/pdf/221102_houdou_2_2.pdf
  31. 厚生労働省医政局長. 令和８年度（令和７年度からの繰越分）医療分野における業務効率化・職場環境改善支援事業の実施について (医政発0213第22号、PDF p.2・p.5). 令和8年2月13日. https://www.mhlw.go.jp/content/10800000/001656395.pdf
  32. Microsoft. Microsoft 365 のエージェント管理ガイド (Copilot Chat の料金). https://learn.microsoft.com/ja-jp/microsoft-365/copilot/agent-essentials/m365-agents-admin-guide / Updated Windows and Microsoft Copilot Chat experience (Web の範囲は Entra アカウントで追加料金なし). https://learn.microsoft.com/en-us/windows/client-management/manage-windows-copilot
  33. Microsoft. Microsoft 365 Business のプランと価格. https://www.microsoft.com/ja-jp/microsoft-365/business/microsoft-365-plans-and-pricing
  34. Google. Google Workspace の料金プラン. https://workspace.google.com/pricing?hl=ja
  35. OpenAI. ChatGPT の料金 (ビジネス). https://chatgpt.com/ja-JP/pricing/?type=team
  36. Anthropic. Claude pricing (Team). https://claude.com/pricing
  37. 個人情報保護委員会. 個人情報保護法相談ダイヤル. https://www.ppc.go.jp/personalinfo/pipldial/
  38. 個人情報保護委員会. 漏えい等の対応とお役立ち資料. https://www.ppc.go.jp/personalinfo/legal/leakAction/

お使いの製品の口コミを募集しています。口コミを書く →

セキュリティシリーズ

立入検査の 19 項目と、いま院長がやることを 1 ページで

セキュリティのページへ →

シリーズのほかの記事

この記事に関係する製品を比較する

料金・規制区分・エビデンスを医師が一次資料で並べた比較表です。順位はお金で変わりません。

関連する記事

Comments

この記事への質問・ご意見をお寄せください

「ここが分かりにくかった」「この数字の根拠をもっと知りたい」「次はこれを取り上げてほしい」。どんな一言でも歓迎です。編集長 (現役の内科医) がすべて読み、できるだけ返信します。いただいた声は、記事の改稿と次の記事に生かします。

ロボットでないことの確認に Cloudflare Turnstile を使います (外部送信について)。

コメントは承認制です。個別の診療・法律・税務の判断はお答えできません。製品の使い心地や評価は、口コミの欄 へお寄せください。

← 記事一覧へ戻る