AIに患者のことを入力してよいか

2026年9月27日2026年10月19日

問診の内容やカルテの下書きを、生成AIのチャット画面に打ち込みたくなる場面があります。ここで確認しておきたいのは、病歴が個人情報保護法の中でも特別に扱われる情報だということです。さらに個人情報保護委員会は、生成AIに個人情報を含む入力をする事業者に向けて、名指しで注意喚起を行っています。この記事は、法律の条文と、その注意喚起の原文を並べます。

病歴は「要配慮個人情報」にあたる

この記事で読んだのは、個人情報の保護に関する法律と、個人情報保護委員会生成AIサービスの利用に関する注意喚起等（令和5年6月2日）です。同法第2条第3項は、本人の人種・信条・社会的身分などと並べて、病歴を「要配慮個人情報」に含めています。患者の氏名と傷病名が結びついた情報は、この要配慮個人情報にあたります。

同法第20条第2項は、法令に基づく場合など一部の例外を除き、あらかじめ本人の同意を得ないで要配慮個人情報を取得してはならないと定めています。医院が患者本人から直接聞き取る場合とは別に、すでに院内にある情報を外部のサービスへ入力する場面で、この条文がどう関わるかを次に見ます。

入力する行為は、外部の事業者への「提供」にあたりうる

すでに院内で保有している患者情報を、生成AIのサービスに入力する行為は、その情報を外部の事業者に渡す行為でもあります。個人情報保護法第27条第1項は、一部の例外を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供してはならないと定めています。

ただし同条第5項第一号には例外があります。利用目的の達成に必要な範囲内で、取扱いの全部または一部を委託することに伴って個人データが提供される場合、提供を受けた相手は「第三者」に該当しないとされています。日常業務でクラウド型のレセコンや予約システムに患者情報を入力できているのは、多くの場合この仕組みによります。生成AIサービスへの入力も、単に業務の一部を委託しているだけであれば、この考え方に沿う可能性があります。クラウドのサービスに預けるときに医院の側に残る義務は、患者のデータをクラウドに置くときの記事で整理しています。

個人情報保護委員会が名指しで挙げた条件

この委託の範囲内かどうかを左右する条件を、個人情報保護委員会が令和5年6月2日の注意喚起で具体的に挙げています。事業者向けの注意点として、生成AIサービスに個人情報を含む文章を打ち込む場合は、あらかじめ決めてある利用の目的から外れていないかを、事前にしっかり見ておくよう求めています。

さらに、本人の同意を得ないまま個人データを含むプロンプトを入力し、そのデータが応答結果を出す目的以外（たとえば生成AIの学習）にも扱われる場合は、個人情報保護法の規定に違反することになる可能性がある、とも述べています。だからこそ入力する前に、そのサービスを提供する事業者が、入力したデータを機械学習に使わないことなどを確認するよう求めています。

確認する場所は、利用規約とプライバシーポリシー

同じ注意喚起は、一般の利用者に向けた留意点として、生成AIサービスの利用規約やプライバシーポリシーを十分に確認し、入力する情報の内容を踏まえて利用を判断するよう求めています。院内で確認する順番も、これに沿う形になります。まず、使おうとしているサービスの契約が個人向けの無料プランか、法人向けの契約かを分けて考えます。次に、入力したデータを学習に使うかどうかの設定（オプトアウトできるか、既定で使わない契約になっているか）を、利用規約またはプライバシーポリシーの文面で確認します。

確認が取れない、あるいは学習に使われる可能性が残る場合は、患者の氏名や生年月日など個人を特定できる部分を外してから入力する、という選び方もあります。入力してよいかどうかの線引きは、AIの種類ではなく、そのサービスが入力データをどう扱うかで決まります。

まとめ ── 便利さの前に、行き先を確認する

病歴を含む患者情報は、個人情報保護法が要配慮個人情報として特別に扱う情報です。生成AIへの入力は、外部の事業者への提供にあたりうる行為であり、委託の範囲内で収まるかどうかは、そのサービスが入力データを応答以外の目的に使うかどうかで変わります。個人情報保護委員会が名指しで確認を求めている点は、便利な機能を使う前に、まず利用規約とプライバシーポリシーを読むという、地味だが具体的な一歩です。患者ではなくスタッフの健康の情報をどう扱うかは、スタッフの健診結果、院長はどこまで見てよいかの記事で扱っています。