あなたの患者データは、AI時代にどう守られるべきか
個人情報保護法改正案から考える、医療機関の「守るDX」
医療DX、生成AI、電子カルテ、PHR、マイナポータル、オンライン資格確認。
医療の世界でも、デジタル化は急速に進んでいます。
業務が効率化される。
情報共有がしやすくなる。
AIで文書作成や確認作業が楽になる。
患者さんにとっても、医療機関にとっても、便利になる部分はたくさんあります。
しかし、その一方で、私たちは大切な問いを忘れてはいけません。
それは、
患者さんのデータは、誰が、どこまで、どのように使ってよいのか。
という問いです。
医療機関が扱う情報は、単なるデータではありません。
病歴。
服薬情報。
検査結果。
診療内容。
家族背景。
生活習慣。
支払情報。
時には、心理的・社会的な事情まで含まれます。
これらは、個人情報の中でも特に慎重な取り扱いが求められる情報です。
だからこそ、AI時代の医療DXでは、データを「活かす」だけでは不十分です。
同時に、データを「守る」こと。
そして、患者さんや行政に対して「説明できる」こと。
この2つが、これからの医療機関に強く求められます。
個人情報保護法改正案が投げかけるもの
現在、国会で審議されている個人情報保護法の改正案では、AI時代のデータ利活用を見据えた制度変更が議論されています。
その中で注目されているのが、いわゆる「統計作成等目的」に関する特例です。
一般的には、
「統計特例」
「AI特例」
と呼ばれることもあります。
簡単に言えば、一定の条件を満たす場合、統計作成やAI開発などの目的で、本人の同意を個別に取らなくてもデータを利用・提供できる可能性が出てくる、という考え方です。
もちろん、これは社会にとって大きな意味があります。
たとえば医療分野では、データを活用することで、病気の早期発見、重症化リスクの予測、医療資源の最適配置、医療費分析、創薬、地域医療政策などに役立つ可能性があります。
AIを使った診療支援や、医療機関の業務効率化にもつながるかもしれません。
しかし、医療機関の立場で考えると、ここには大きな注意点があります。
それは、
「法律上できるかもしれないこと」と「患者さんに説明できること」は、同じではない
ということです。
「同意なしでAI学習に使われる」という不安
今回の改正案をめぐっては、
「自分の個人情報が、知らないうちにAIの学習に使われるのではないか」
という不安の声もあります。
この不安は、決して過剰なものではありません。
特に医療データは、AI開発にとって非常に価値の高い情報です。
疾患名。
検査値。
処方内容。
治療経過。
年齢。
地域。
受診行動。
紹介元。
診療科。
これらの情報は、医療AIや予測モデル、経営分析ツール、保険者分析、地域医療政策などに活用される可能性があります。
もちろん、それによって医療の質が上がる可能性もあります。
しかし、患者さんから見れば、
自分の診療情報がどこまで使われるのか分からない。
どの企業に提供されるのか分からない。
AIの学習に使われたのか分からない。
後から追跡できない。
拒否できるのか分からない。
こうした状態は、大きな不安につながります。
医療機関は、この不安を軽視してはいけません。
なぜなら、医療は患者さんとの信頼関係の上に成り立っているからです。
医療機関は「使える」より先に「説明できるか」を考えるべき
AIや統計利用の制度が整えば、医療データの活用はさらに進むでしょう。
しかし、医療機関が考えるべき順番は、
「このデータは使えるか」
ではありません。
まず考えるべきなのは、
「このデータ利用を患者さんに説明できるか」
です。
たとえば、次のような点を整理できているでしょうか。
患者情報の利用目的は明確か。
どのデータを、どの目的で使うのか。
提供先は誰か。
再提供や二次利用は制限されているか。
AI学習に利用されるのか。
委託先との契約は整っているか。
患者向けの説明文はあるか。
院内で承認された運用か。
問い合わせや苦情があったときに説明できるか。
証憑として記録が残っているか。
AI時代の医療機関に必要なのは、データを使う力だけではありません。
むしろ重要なのは、
データ利用を説明し、管理し、記録する力
です。
ここが弱いままAI活用だけを進めると、医療機関にとって大きなリスクになります。
一番危ないのは「ベンダー任せ」のAI活用
これから医療機関には、さまざまなAIサービスが提案されるはずです。
診療録の要約AI。
問診AI。
予約最適化AI。
レセプトチェックAI。
施設基準チェックAI。
患者説明文作成AI。
医療経営分析AI。
画像診断支援AI。
問い合わせ対応AI。
どれも、現場の負担を減らす可能性があります。
特に人手不足が深刻な中小病院、クリニック、歯科医院、薬局、訪問看護ステーションにとって、AIは大きな助けになるかもしれません。
しかし、ここで最も危険なのが、
「ベンダーが大丈夫と言っているから大丈夫」
という判断です。
医療機関側が確認すべきことは、たくさんあります。
入力した情報はAIの学習に使われるのか。
患者情報を外部サーバーに送信するのか。
データは国内に保存されるのか、国外に保存されるのか。
再委託先はあるのか。
ログは残るのか。
保存期間はどれくらいか。
削除依頼はできるのか。
学習利用を拒否できるのか。
匿名化や仮名化はどのように行われるのか。
要配慮個人情報の取り扱いはどうなっているのか。
医療情報システム安全管理ガイドラインと整合しているのか。
これらを確認しないままAIサービスを使うと、患者情報を外部に渡しているにもかかわらず、医療機関自身がその実態を把握していない、という状態になりかねません。
これは非常に危険です。
AI活用が進むほど、医療機関には「委託先管理」「契約管理」「責任分界点の整理」が求められます。
「統計だから安全」とは限らない
統計利用と聞くと、何となく安全な印象があります。
個人名は出ない。
匿名化されている。
全体の傾向を見るだけ。
そう考えがちです。
しかし、医療データの場合は、単純に氏名や住所を削除すれば安全というわけではありません。
年齢。
性別。
地域。
疾患。
受診日。
検査値。
処方内容。
希少疾患。
診療科。
紹介元。
時系列データ。
こうした情報が組み合わされると、個人が推測されるリスクがあります。
特に、希少疾患や地域性の強い情報では、関係者が見れば誰のことか分かってしまう可能性もあります。
つまり、医療機関は、
「統計目的だから大丈夫」
と簡単に判断してはいけません。
再識別リスク。
少数集団への影響。
差別的利用。
保険、雇用、信用判断への転用リスク。
こうした点まで含めて考える必要があります。
患者情報は、医療機関にとって「資産」である前に、患者さんからの「信頼の預かり物」です。
医療機関が今から準備すべきこと
個人情報保護法改正案の詳細は、今後、成立時期、施行時期、規則、ガイドライン、Q&Aなどによって具体化されていきます。
しかし、医療機関が今からできることはあります。
まず必要なのは、患者情報の棚卸しです。
どのシステムに、どの患者情報が保存されているのか。
電子カルテ。
レセコン。
予約システム。
問診システム。
画像管理システム。
検査会社。
クラウドストレージ。
チャットツール。
AIツール。
情報の所在を把握することが、すべての出発点です。
次に、利用目的と第三者提供の整理です。
患者情報を、診療、請求、医療連携、研究、統計、AI、経営分析、委託業務のどの目的で利用しているのか。
院内掲示、WEB掲載、同意書、プライバシーポリシーと内容が一致しているか。
ここを整理する必要があります。
さらに、AIサービスを利用する際のチェックリストも必要です。
AIに入力してよい情報。
入力してはいけない情報。
学習利用の有無。
外部送信の有無。
保存期間。
削除方法。
再委託。
国外移転。
契約条項。
これらを確認せずに、便利だからという理由だけで使うのは危険です。
そして、委託先管理と責任分界点の明確化も欠かせません。
電子カルテベンダー。
レセコンベンダー。
クラウド事業者。
AIベンダー。
保守委託先。
外部コンサル。
WEB制作会社。
医療情報に触れる可能性がある事業者との契約や責任範囲を整理する必要があります。
最後に、証憑管理です。
契約書。
仕様書。
セキュリティチェックシート。
委託先確認記録。
同意書。
院内規程。
WEB掲載内容。
更新履歴。
事故対応記録。
これらを、後から説明できる形で保管しておくことが大切です。
「使うDX」だけでなく「守るDX」が必要になる
医療DXというと、どうしても便利なシステムや新しいAIツールに目が向きがちです。
しかし、これからの医療機関に必要なのは、それだけではありません。
データを使うDX。
業務を効率化するDX。
患者利便性を高めるDX。
これらはもちろん重要です。
でも、それと同じくらい重要なのが、
守るDX
です。
患者情報を守る。
利用目的を整理する。
委託先を管理する。
WEB上で必要な情報を説明する。
証憑を残す。
問い合わせに答えられる体制を作る。
この「守るDX」がなければ、AI活用は医療機関の信頼リスクになります。
逆に言えば、守る体制を整えた医療機関は、AIや医療DXを安心して活用しやすくなります。
365メディカルが支援できること
365メディカルでは、医療機関のDXを、単なるシステム導入ではなく、医療機関経営を支える仕組みづくりとして捉えています。
特に重要だと考えているのが、次の領域です。
施設基準管理。
WEB掲示対応。
証憑管理。
医療情報システム安全管理。
委託先管理。
診療報酬改定対応。
365Registryは、医療機関の施設基準、WEB掲示、証憑管理を支援するサービスです。
また、医療機関WEB掲示サポートでは、ホームページ上で整理すべき施設基準、保険外負担、医療DX体制、安全管理体制などの情報掲載を支援します。
今回の個人情報保護法改正案を踏まえると、医療機関には今後、次のような管理がますます求められます。
個人情報の利用目的の整理。
患者向け説明文の整備。
プライバシーポリシーの更新。
AIサービス利用時の確認記録。
委託先管理台帳。
医療情報システム安全管理に関する証憑。
施設基準・WEB掲示項目との整合性。
厚生局、行政、患者さんからの問い合わせに対する説明資料。
これらを紙やExcel、担当者の記憶だけで管理することは、今後ますます難しくなります。
医療DXが進むほど、データの流れは複雑になります。
AI活用が進むほど、患者情報の利用範囲は広がります。
制度改正が進むほど、説明責任は重くなります。
だからこそ、医療機関には「仕組みで守る体制」が必要です。
AI時代の医療機関に必要なのは、データを守る経営体制
個人情報保護法の改正案は、AI開発や統計利用を進めるための制度的な転換点です。
医療データの利活用が進めば、医療の質向上、研究開発、地域医療政策、業務効率化に大きな恩恵が生まれる可能性があります。
しかし、その前提にあるのは、患者さんからの信頼です。
患者さんは、自分の情報がどのように使われているのか分からない医療機関よりも、何を管理し、何を説明し、どのように守っているのかを明確に示せる医療機関を信頼します。
AI時代の医療機関に必要なのは、単に新しいツールを導入することではありません。
患者情報の所在を把握する。
利用目的を整理する。
委託先を管理する。
AI利用のルールを作る。
WEB上で必要な情報を説明する。
証憑を残す。
問い合わせに答えられる体制を作る。
これこそが、これからの医療機関に求められるデータガバナンスです。
365メディカルは、医療機関の「攻めの医療DX」と「守りの情報管理」を両立させるため、365Registry、医療機関WEB掲示サポート、医療情報システム安全管理MSOサービスを通じて、持続可能な医療機関経営を支援してまいります。
引用・参照
個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案」関連資料
個人情報保護委員会「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」
厚生労働省「医療情報システムの安全管理に関するガイドライン」
関連報道および法律実務解説資料
免責事項
本記事は、2026年7月時点で公表されている資料および関連情報をもとに、医療機関経営・医療DX・情報管理の観点から一般的な解説を行うものです。個人情報保護法改正案の内容、成立時期、施行時期、政省令、個人情報保護委員会規則、ガイドライン、Q&A等は今後変更・追加される可能性があります。個別の法的判断、患者同意、第三者提供、AI利用、委託先管理、医療情報システム安全管理については、必ず最新の法令・通知・ガイドラインを確認し、必要に応じて弁護士、個人情報保護・医療情報安全管理の専門家にご相談ください。
noteタイトルを少し強めるなら、
「AI時代、患者データは“使う”前に“守る”時代へ」
も相性が良いです。
