「患者情報をAIに入れてはいけない」——このブログで何度も書いてきたことですが、今日はその法律側の土台の話をします。キーワードは「要配慮個人情報」です。
聞き慣れない言葉かもしれません。でも実は、医療職が毎日触れている情報のほとんどがこれです。研修で名前だけ聞いた、という方も多いと思うので、今日は「定義 → 何が特別なのか → AI時代の守り方」の順で、現場目線で整理します。
本記事は法律・制度の一般的な説明です。法律の解釈や具体的な運用は事案によって異なるため、実務の判断は各施設の規程・担当部署・専門家にご確認ください。
要配慮個人情報とは：「漏れたら特に困る情報」の法律上の名前
個人情報保護法は、個人情報の中でも取り扱いに特に配慮が必要なものを「要配慮個人情報」として区別しています。本人への不当な差別・偏見・不利益につながりうる情報、という考え方です。
| 分類 | 具体例 |
|---|---|
| 法律に直接書かれているもの | 人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実 |
| 政令などで定められているもの | 障害があること、健康診断などの検査の結果、保健指導・診療・調剤の情報 など |
出典：個人情報保護委員会「『要配慮個人情報』とはどのようなものを指しますか」
お気づきでしょうか。病歴・検査結果・診療情報——つまり、カルテも、検査依頼票も、健診の判定結果も、私たちの日常業務そのものが、この「特別扱いの箱」の中にあります。
普通の個人情報と、何が違うのか
「個人情報はぜんぶ大事でしょ？」——その通りです。ただ、要配慮個人情報には法律上の扱いが一段厳しくなるポイントがあります。代表的なものを3つ。
1. 取得には原則、本人の同意が必要：氏名や住所などの一般的な個人情報より、入口の段階から厳格です
2. 「オプトアウト方式」での第三者提供ができない：「嫌なら申し出てください」方式で外部に渡すことが認められていません
3. 漏えいしたら（そのおそれを含めて）、個人情報保護委員会への報告と本人への通知が必要：漏らした場合の後始末も重い
出典：個人情報保護委員会FAQ
要するに法律は、「この種類の情報は、漏れたときのダメージが取り返しにくい」と言っているわけです。病歴や検査結果は、一度漏れたら回収できず、その人の生活・仕事・人間関係に長く影を落としうる。だから特別扱い——現場感覚とも一致する理屈だと思います。
医療現場のいちばんのリスクは「慣れ」
ここからが現場の話です。私たちは要配慮個人情報を毎日、大量に扱います。すると何が起きるか。慣れます。
- 検査結果の画面を開いたまま離席する
- 患者さんの話を、聞こえる場所で同僚とする
- 「これくらいの情報なら」とメモや写真に残す
どれも悪意ゼロの日常動作です。でも扱っているものは、法律が「特に配慮せよ」と名指しした情報。取り扱いの重さと、日常の気軽さのギャップ——これが医療現場の情報リスクの正体だと私は思っています。
そしてAI時代、このギャップに新しい落とし穴が加わりました。
AI時代の落とし穴：「入力」も取り扱いのうち
ChatGPTなどの生成AIに文章を入力する行為は、感覚としては「メモ帳に書く」に近い。でも実際は、外部のサーバーに情報を送信する行為です。
つまり、患者さんの病歴や検査結果をうっかりAIに入力すると、それは単なる「操作ミス」ではなく、要配慮個人情報を外部に出してしまった事案になりえます。前の章で見たとおり、漏えい（のおそれ）は報告・通知の対象です。「便利だから」の一歩が重い話につながる——ここがAI活用のいちばんの急所です。
だからこそ、AIを使うこと自体をやめるのではなく、入力する前に確認する「型」を持ちましょう。コピペで使える3問チェックを置いておきます。
【AIに入力する前の3問チェック】
Q1. この文章に、特定の患者さん・実在の人物の情報が含まれていないか？
（氏名がなくても、年齢＋疾患＋日付などの組み合わせで特定できないか）
Q2. 病歴・検査結果・診療内容など「要配慮個人情報」にあたる中身が、
実在の誰かと結びつく形で入っていないか？
Q3. この内容を職場の掲示板に貼れるか？（貼れないものはAIにも入れない）
→ 1つでも引っかかったら：実在の情報を消すか、架空の設定に置き換えてから使う3問目の「掲示板テスト」は、迷ったときの最終判定として優秀です。AIの入力欄を「社外の掲示板」だと思えば、感覚がずれません。
置き換えの具体的なやり方や、作業前にAIへ渡すルールファイルは、こちらの記事で詳しく書いています。
→ ChatGPT/Claudeに「医療の文章」を安全に書かせるコツ
→ 医療現場でAIに情報漏洩させない「事前読み込みルールファイル」の作り方
SNS・発信でも同じ物差しで
要配慮個人情報の考え方は、AIだけでなく発信全般の物差しにもなります。SNSで現場の話をするとき、「氏名を書いていないからセーフ」ではありません。日時・場所・疾患・経過の組み合わせで人が特定できれば、それは要配慮個人情報の漏えいと同じ結果を生みます。
現場の話は「どの施設にもある一般論」まで抽象化してから——このブログが守っているルールも、結局はこの法律の考え方と同じ場所につながっています。
まとめ：名前を知ると、扱いが変わる
- 要配慮個人情報＝病歴・検査結果・診療情報など、漏れたら特に困る情報の法律上の名前。医療現場の日常業務はこれだらけ
- 普通の個人情報より扱いが厳格：取得に本人同意・オプトアウト提供不可・漏えい時は報告と通知
- 最大のリスクは悪意ではなく「慣れ」。そしてAIへの入力は外部への送信
- 守り方は型で：入力前の3問チェックと「掲示板テスト」。迷ったら入れない・置き換える
「要配慮個人情報」という名前を知っているだけで、日常の動作が少し変わります。明日、検査結果の画面を開くとき、「これは特別扱いの箱の中身なんだ」と一瞬思い出してもらえたら、この記事の役目は果たせています。
【お知らせ】「うっかり」を仕組みで防ぎたい方へ
この記事で書いた3問チェックは、AI活用の安全対策の入口です。実際の業務で使うには、用途ごとの安全プロンプトや、うっかり入力してしまったときの動き方まで型にしておくと安心が違います。そのために作った有料note（500円）を公開しています。宣伝にはなりますが、「要配慮個人情報を扱う職場で、それでもAIを安全に使いたい」という方には合う内容だと思います。
- 患者情報を入れずに使える安全プロンプト集10本（検査説明・議事録・報告書テンプレなど）
- AIに最初に渡すルールファイルの完全版＋職種別の追記例（技師・看護・事務）
- うっかり入力してしまった時の対応マニュアル
- 職場に提案できる院内AI利用ガイドラインのひな形（全文）
→ 医療職のためのAI安全活用スターターキット〜「使いたいけど怖い」を、今日おわらせる〜
第1章まで無料で読めますので、まずはのぞいてみてください。
※本記事は個人情報保護法に関する一般的な情報の紹介であり、法的助言ではありません。法律の解釈・具体的な運用は事案や施設によって異なります。実務上の判断は、各施設の規程・個人情報保護の担当部署、必要に応じて専門家にご確認ください。制度は改正されることがあるため、最新の情報は個人情報保護委員会など公的機関の資料をご確認ください。
コメント