事例検討会の資料を生成AIで作る前に — 匿名化のどこを人が持つか

事例検討会資料における匿名化とは

事例検討会資料の匿名化とは、生成AIに渡す前に人が終わらせておく作業であり、渡してから機械に消させる作業ではない、ということである。

理由は精度の話ではなく、順序の話である。Anthropic のドキュメントは、リクエストに含まれるすべて（システムプロンプト、messages 内のすべてのメッセージ、ツール結果・画像・ドキュメントを含む）がコンテキストウィンドウにカウントされると説明している。つまり入力した文字列は、その時点でモデルに渡っている。「渡してから消す」余地は入力側に無い。

だから作業の順番はひとつしかない。人が匿名化する → 渡す。 逆にはできない。

難所は氏名ではない

筆者は前職が看護師である。事例検討会の資料は、施設名と患者氏名を伏せれば匿名になったものとして扱われがちである。しかし院内で回す資料では、「7月の第2週に転院してきた80代の男性」と書いた時点で、その病棟の人には誰のことか分かる。

匿名化の難所は氏名ではなく、日付・経路・希少さの組み合わせにある。ひとつずつは特定に足りない情報が、3つ重なると特定できてしまう。

落とす項目の型

「粗くできないなら題材を変える」が実務上いちばん効く判断である。 症例の希少さそのものが特定に効いてしまうとき、書き換えでは追いつかない。

手順

1. 元資料から、検討に必要な事実（経過・介入・反応）だけを抜き出す。ここが人の判断であり、機械に渡せない工程
2. 上の表に沿って置き換える
3. 置き換えた文だけを読み返し、「院内の人が読んで誰か分かるか」を自問する
4. ここまで済ませてから生成AIに渡す。渡したあとの用途は、構成の整理・読みやすさの調整・論点の抜けの指摘に限る

機械に匿名化を任せない理由

順序の問題に加えて、精度の問題もある。Anthropic のガイドは、ハルシネーション対策の各手法について「これらのテクニックはハルシネーションを大幅に減らしますが、完全に排除するわけではない」と明記し、重要な情報は常に検証するよう述べている。

取りこぼしが混ざる前提の道具に、取りこぼしが許されない工程を渡さない。これは生成AIに限った話ではなく、検査の運用でも同じ考え方が取られる。

やってはいけないこと

• カルテの記載をそのまま貼って「匿名化してください」と頼む（貼った時点で渡っている）
• 匿名化できているかどうかを機械に判定させ、その判定を最終確認にする
• 施設の規程を確認しないまま外部サービスに入力する。規程が優先する

FAQ

Q. 個人が特定できない程度に書き換えれば、患者情報を入力したことになりませんか。 可否の判断は施設の規程に従ってください。技術的に確かなのは、入力した文字列はそのままモデルに渡るということです。書き換えは入力前に終えている必要があります。

Q. 匿名化の抜けを機械にチェックさせるのは。 一次チェックには使えます。ただし最終確認は人が持ってください。取りこぼしが混ざる前提の道具です。

Q. 粗くすると症例の学びが薄くなりませんか。 検討に要る事実（経過・介入・反応）は残ります。落とすのは識別に効く情報です。両方を残せない題材は、検討会の題材として選び直すほうが早いです。

Q. どこまで粗くすればよいですか。 院内の人が読んで誰か分からないところまで、が実務的な線です。院外に出す資料はさらに厳しく見てください。

院内の資料を、患者情報を外に出さない形で扱える仕組みまで含めて検討する段階になりましたら、設計のご相談を承っています。