院内の生成AI利用ガイドラインをどう作るか — 国のルールに「生成AI」の語が無い前提から始める

院内の生成AI利用ガイドラインとは

院内の生成AI利用ガイドラインとは、職員が生成AIをどこまで使ってよいかを、既存の医療情報の安全管理体制の中に位置づけて明文化した院内規程である。

一から作る仕事に見えるが、そうではない。医療機関には医療情報の安全管理に関する規程がすでにあり、生成AIはその枠に載せる「新しい外部サービス」の一つとして扱うのが最も早い。

国のルールに「生成AI」の語は無い

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、2026年6月に第7.0版へ改定された。構成は概説編・経営管理編・企画管理編・システム運用編・保守委託機関編の5編で、概説編は改定の要点をこう書いている。

第 7.0 版からは、本ガイドラインの根拠法に「サイバーセキュリティ対策基本法」（平成 26年法律第104 号）を追加し、「重要インフラのサイバーセキュリティに係る安全基準等策定指針」との整合性を確保した。また、すべてのサーバのセキュリティアップデートを事業者に委託している医療機関等の負担軽減を図るため、保守委託機関編を創設した。

そして、この5編を通して「生成AI」という語は出てこない。 2026年8月9日に厚生労働省のページから5編すべてのPDFを取得し本文テキストを検索したところ、「生成AI」「人工知能」の語はいずれも0件だった（図中の文字などテキストとして抽出されない箇所は検索の対象外）。

これは手抜きではない。このガイドラインは個別の製品カテゴリではなく医療情報の扱い方を規定しており、生成AIはその中の一形態にすぎないからである。したがって院内ガイドラインは二階建てで作る。

一階 — 既存の安全管理の枠に載せる

第7.0版の企画管理編には、生成AIを名指ししないまま生成AI導入にそのまま効く条文が並んでいる。読み替え先を先に決めると、院内規程の骨格はここで決まる。

とくに効くのが 3.2.2 である。第7.0版はここでシャドーIT（IT部門の管理・許可を受けずに独自に導入・利用しているIT機器やソフトウェア）を明記し、委員会を置かない規模の医療機関でも「情報システムの導入や変更に当たっては、経営層や医療情報システム安全管理責任者等の承認を必要とする仕組みを構築すること」と求めている。生成AIはカード1枚と数分で部署単位の契約が完結する。院内ガイドラインが無い状態は、ルールが無い状態ではなく、シャドーITを許容している状態として読める。

二階 — 生成AIを名指しで書いている文書

生成AIを正面から扱った日本語の文書に、非営利法人 医療AIプラットフォーム技術研究組合（HAIP）の「医療・ヘルスケア分野における生成AI利用ガイドライン（第2版）」がある。2025年7月11日付、令和5年度厚生労働行政推進調査事業費補助金による研究（研究課題番号 23CA2044）の成果である。

使う前に、この文書自身が置いている但し書きを読む必要がある。

本ガイドラインの発行時点では、医療現場における生成AIの利用についての政府の具体的方針がまだ発表されていない段階のため、記載しているリスクと対策内容はあくまで研究班の見解（特に４章に記載の内容）である事に留意ください。

行政の指針ではない。院内規程に取り込むときは出所を書き、法令上の義務と研究班の推奨を混ぜない。混ぜると、後で政府方針が出たときにどこを直せばよいか分からなくなる。

その上で、組織に求められている注意点は3つ — ①利用可能なサービスを選定して職員へ周知する、②利用ルールを規定して運用する、③便益とリスクを理解させる研修を実施する、である。②で規定を推奨されている項目は4つあり、それぞれ例示が添えられている。

• 法令等に違反した利用や不適正利用を禁止（例：薬事承認等を得ていない生成AIの出力結果を、医師が確認することなく患者の医学的判断等に使用することを禁止する）
• 利用者に求められる利用上・セキュリティ上の留意点を遵守（例：虚偽のデータの生成を意図したプロンプトの入力を禁止する）
• 職員が生成AIを誤用しないことを定期的にチェック（例：監査により生成AIの利用状況を半年に1回チェックする）
• 組織での生成AIの利用状況を把握（例：診療科・部署等において生成AIを利用する際は、組織のAIを管理している部署等へ申請を行う）

「半年に1回」「利用時は申請」という粒度まで書かれているのが実務上ありがたい。頻度を自分で決めようとすると、そこで議論が止まる。

使ってよい生成AIをどう選ぶか

HAIP第2版は、医療情報（医療に関する患者情報を含む情報）を扱う前提で、提供者へ確認すべき観点を挙げている。

入力データが再学習に使われる設定のまま本人の同意なく個人情報を入力すると、個人情報保護法の第三者提供に抵触する場合がある、というのがHAIP第2版の指摘である。

ここに第7.0版の委託先選定の確認事項（7章 遵守事項⑥）を重ねると確認票になる。第7.0版はプライバシーマーク認定またはISMS認証の取得を挙げ、いずれも無い場合は ISMAP、CSゴールドマーク、FedRAMP、SOC2／SOC3 等での確認を求めている。情報機器の設置場所（地域・国）と国外法の適用可能性も確認事項である。サービス選定は、この確認票を1枚埋める作業に落とせる。

医療情報を扱わない用途に限る道もあるが、その場合もHAIP第2版は「参考情報の収集のみに利用するなど、用途を限定しておく必要がある」としている。

職員に配る側の5項目

組織のルールとは別に、使う人が守る内容も要る。HAIP第2版が個人向けに挙げている5点は、そのまま周知文書にできる。

1. 利用する生成AIが、所属組織で利用可能と判断されているサービスであることを確認する
2. 生成AIの用途が法令等に違反していないことを確認する
3. 生成AIが出力した内容が正しいことを自ら確認する
4. 既存の著作物に類似する生成につながるプロンプトを入力せず、出力が既存の著作物等に類似していないことを確認する
5. 出力をそのまま利用する場合は、生成AIを利用している旨を通知する

2について、HAIP第2版は線引きを二つ例示している。医師法では診断書や処方箋等は医師が作成することとなっているため、生成AIで作成したそれらを医師が確認・修正等を行わずに利用することは違反にあたる。医薬品医療機器等法では服薬指導は薬剤師が行うこととなっているため、生成AIが出力した服薬指導の内容を薬剤師から説明せずに患者へ直接提示することも違反にあたる。「AIが下書きし、有資格者が確認して名前を出す」という順序を崩さないことが、両者に共通する要点である。

そのまま使える目次案

1. 目的と適用範囲（対象者・対象業務・医療情報を扱う場合と扱わない場合の区別）
2. 用語の定義（生成AI／医療情報／利用可能サービス）
3. 利用可能な生成AIサービスの一覧と、追加申請の窓口・様式
4. 使ってよい業務、使ってはいけない業務（医師法・薬機法にかかる線引きを含む）
5. 入力してよい情報・してはいけない情報
6. 出力の確認責任は誰にあるか
7. 生成AIを使ったことの表示・通知
8. 利用状況の把握（申請・台帳）と点検の頻度
9. 教育・訓練（受講後テスト、未受講者のフォロー）
10. 逸脱時の報告経路と、既存の安全管理体制との接続
11. 参照した文書と改定履歴

3〜5だけ先に配って残りを後から足す運び方でもよい。空白のまま置くよりは、暫定でも配ってあるほうが安全側に働く。 自院で使う場面が決まっているなら、HAIP第2版4章が8つのユースケース別に整理しているリスクと対策例を、4と5に写すと早い。

よくある詰まり方

「生成AIは禁止」だけの通達を出す。 使いたい動機は消えないので、個人アカウントでの利用に移るだけになる。禁止するなら、代わりに使える手段と申請経路を同時に示す。

ツールを選んで終わりにする。 選定はHAIPの3点のうち1点にすぎない。利用ルールと研修が無いと、確認せずに出力を使う運用が定着してから気づくことになる。HAIP第2版は受講後のテストと未受講者のフォローを検討事項に挙げ、第7.0版は教育・訓練の実施状況を定期的に経営層へ報告するよう求めている。記録に残す設計まで含めて研修である。

義務と推奨を混ぜて書く。 第7.0版自身も「本ガイドラインを利用する場合は、最新の版であることに十分留意すること」と書いている。改定履歴の欄を最初から用意しておく。

よくある質問

Q. 院内ガイドラインは誰が作るのですか。 A. 第7.0版では、規程の内容を検討して経営層の承認を得るのは企画管理者の業務とされています。技術的な部分は担当者へ権限移譲できます。

Q. 厚生労働省のガイドラインに従えば生成AIの対応は足りますか。 A. 足りません。第7.0版の5編に「生成AI」の語は出てきません。器としては使えますが、固有のリスクは別の文書で補う必要があります。

Q. 無料の生成AIサービスを職員が使うのは問題ですか。 A. 医療情報を扱わない前提なら、参考情報の収集など用途を限定した利用が想定されるとHAIP第2版は述べています。医療情報を入力する場合は、組織が選定したサービスに限る必要があります。

Q. まず何から始めればよいですか。 A. 利用可能なサービスを1つ決めて周知し、申請の窓口を作るところからです。利用状況が見えていないと、ルールの当否も判断できません。

国のガイドラインは第7.0版で器を整えたが、生成AIという語はまだそこに入っていない。中身を書くのは各医療機関である。逆に言えば、外部の文書が完成するのを待つ理由は無い。承認・台帳・証跡・研修という既存の枠に載せるところまでは、今日から着手できる。目次案を自院の規程に落とす段階で手が止まりましたら、設計のご相談を承っています。