患者データはAI時代に
どう守るべきか

個人情報保護法改正案が医療機関に投げかける問い

医療DX、生成AI、電子カルテ情報共有サービス、PHR、マイナポータル、オンライン資格確認。 医療機関を取り巻くデジタル化は、急速に進んでいます。

一方で、忘れてはならないことがあります。 医療機関が扱う情報は、単なる「データ」ではありません。 それは、患者さんの病歴、服薬、検査結果、診療内容、家族背景、生活習慣、 支払情報、時には心理的・社会的な事情まで含む、極めてセンシティブな情報です。

個人情報保護法上の「要配慮個人情報」に該当し得る情報も多く、 医療機関は一般企業以上に慎重な取扱いが求められます。

そのような中、政府は「個人情報の保護に関する法律等の一部を改正する法律案」を国会に提出しました。 今回の改正案は、データ利活用の促進と、個人の権利利益の保護をどう両立させるかという、 AI時代の根本的なテーマを含んでいます。

医療機関にとって特に注目すべき論点の一つが、いわゆる 「統計作成等目的」に関する特例です。 一般的には「統計特例」や「AI特例」と呼ばれることもあり、 AI開発や統計利用との関係で大きな関心を集めています。

「同意なしでAI学習に使われる」という不安をどう捉えるか

今回の改正案をめぐっては、「本人の同意なしで個人情報がAI学習に使われるのではないか」 という不安が広がっています。

この不安は、決して過剰反応とは言い切れません。 なぜなら、医療機関の患者情報は、AI開発にとって非常に価値の高いデータだからです。

疾患、検査値、処方、治療経過、年齢、地域、受診行動などのデータは、 医療AI、予測モデル、業務効率化ツール、保険者分析、地域医療政策、創薬、 ヘルスケアサービスの開発に活用される可能性があります。

もちろん、統計情報やAI開発が社会に利益をもたらす場面は多くあります。 しかし、問題は「誰が、どのデータを、どの目的で、どの範囲まで利用し、 患者さんにどう説明するのか」です。

AI開発や統計利用という目的が掲げられたとしても、患者さんから見れば、 自分の診療情報がどこまで利用されるのか分からない、どの企業に提供されるのか分からない、 後から追跡できない、という状況は大きな不安につながります。

統計特例のポイント：医療機関は「使える」より先に「説明できるか」を考えるべき

改正案では、統計作成等目的による本人同意取得義務の免除が大きな改正項目として位置づけられています。 この論点は、AI開発や統計利用を進めるうえで重要な制度変更になり得ます。

しかし、医療機関が最も注意すべきなのは、 「法的に可能になるかもしれない」ことと、 「患者・地域・行政に説明できる運用である」ことは別だという点です。

医療機関は、一般企業とは異なります。 患者さんは、医療機関に対して、病気や身体の状態、生活の悩み、 家族の情報を預けています。そこには、強い信頼関係があります。

そのため、仮に法令上、一定の条件下で本人同意なしの提供や利用が認められる場面が広がったとしても、 医療機関としては、単に「法律上できるから使う」という姿勢では不十分です。

AI時代の医療機関に必要なのは、「データを使う力」だけではありません。 それ以上に、「データ利用を説明し、管理し、記録する力」です。

医療機関にとって最も危険なのは「ベンダー任せ」のAI活用

今後、医療機関にはさまざまなAIサービスが提案されるはずです。

• 診療録の要約AI
• 問診AI
• 予約最適化AI
• レセプトチェックAI
• 施設基準チェックAI
• 患者説明文作成AI
• 医療経営分析AI
• 画像診断支援AI
• 問い合わせ対応AI

これらのサービス自体は、医療現場の負担軽減に大きく貢献する可能性があります。

しかし、ここで危険なのが 「ベンダーが大丈夫と言っているから大丈夫」という判断です。

医療機関が確認すべきなのは、AIサービスの便利さだけではありません。 入力した情報がAIの学習に使われるのか、患者情報を外部サーバーに送信するのか、 国内保管か国外保管か、再委託先はあるのか、ログは残るのか、 削除依頼は可能か、学習利用を拒否できるのかを確認する必要があります。

これらを確認しないままAIを使うことは、患者情報を外部に渡しているにもかかわらず、 医療機関側が実態を把握していない状態になりかねません。

特に中小病院、クリニック、歯科医院、薬局、訪問看護ステーションでは、 情報システム部門や法務部門がないことも多く、 院長や事務長がサービス説明だけで判断してしまうリスクがあります。

AI活用が進むほど、医療機関には 「委託先管理」「契約管理」「責任分界点の整理」が求められます。

「統計なら安全」とは限らない

統計情報という言葉には、安全で匿名化されているような印象があります。

しかし、現代のデータ分析では、単純に氏名や住所を削除すれば安全というわけではありません。

年齢、性別、地域、疾患、受診日、検査値、処方内容、希少疾患、診療科、紹介元、 時系列データなどが組み合わされると、個人が推測されるリスクは残ります。

特に医療データは、希少性が高い情報を含みます。 「ある地域で、特定の年齢層で、特定の疾患を持ち、特定の薬を使っている患者」 という条件だけで、関係者には誰かが推測できることもあります。

したがって、医療機関が統計利用やAI開発にデータを提供する場合には、 単に「統計目的だから問題ない」と考えるのではなく、再識別リスク、少数集団への影響、 差別的利用、保険・雇用・信用判断への転用リスクまで含めて検討する必要があります。

365メディカルが考える、医療機関が今準備すべき5つの対応

今回の個人情報保護法改正案は、今後、成立時期、施行時期、 個人情報保護委員会規則、ガイドライン、Q&Aによって実務の詳細が定まっていくことになります。

しかし、医療機関は今から準備できます。 365メディカルでは、少なくとも次の5つの対応が重要だと考えます。

これらは、単なる個人情報保護対応ではありません。 医療DX時代の経営管理そのものです。

365RegistryとWEB掲示サポートが支援できる領域

365メディカルでは、医療機関の施設基準管理、WEB掲示、証憑管理、 医療情報システム安全管理を支援する仕組みとして、 365Registryおよび医療機関WEB掲示サポートを提供しています。

今回の個人情報保護法改正案を踏まえると、医療機関には今後、 次のような管理がますます求められます。

• 個人情報の利用目的の整理
• 患者向け説明文の整備
• プライバシーポリシーの更新
• AIサービス利用時の確認記録
• 委託先管理台帳
• 医療情報システム安全管理に関する証憑
• 施設基準・WEB掲示項目との整合性
• 厚生局・行政・患者からの問い合わせに対する説明資料

これらを紙やExcel、担当者の記憶だけで管理することは、今後ますます難しくなります。

医療DXが進むほど、データの流れは複雑になります。 AI活用が進むほど、患者情報の利用範囲は広がります。 制度改正が進むほど、説明責任は重くなります。

だからこそ、医療機関には「使うDX」だけでなく、 「守るDX」が必要です。

365メディカルは、医療機関が安心してDXを進めるために、 施設基準、WEB掲示、証憑管理、委託先管理、医療情報システム安全管理を 一体的に支援してまいります。

まとめ：AI時代の医療機関に必要なのは、データを守る経営体制である

個人情報保護法の改正案は、AI開発や統計利用を進めるための制度的な転換点です。

社会全体として、医療データの利活用が進めば、医療の質向上、研究開発、 地域医療政策、業務効率化に大きな恩恵が生まれる可能性があります。

しかし、その前提にあるのは、患者さんからの信頼です。

患者さんは、自分の情報がどのように使われているのか分からない医療機関よりも、 何を管理し、何を説明し、どのように守っているのかを明確に示せる医療機関を信頼します。

AI時代の医療機関に必要なのは、単に新しいツールを導入することではありません。

• 患者情報の所在を把握する
• 利用目的を整理する
• 委託先を管理する
• AI利用のルールを作る
• WEB上で必要な情報を説明する
• 証憑を残す
• 問い合わせに答えられる体制を作る

これこそが、これからの医療機関に求められるデータガバナンスです。

365メディカルは、医療機関の「攻めの医療DX」と「守りの情報管理」を両立させるため、 365Registry、医療機関WEB掲示サポート、医療情報システム安全管理MSOサービスを通じて、 持続可能な医療機関経営を支援してまいります。