院内の生成AI利用ガイドラインは、何を土台に作ればよいか

要点

対象：生成AIの院内規程を作る病院・診療所の担当者

1. 安全管理ガイドライン5編に「生成AI」の語は無い
2. 導入の承認制でシャドーITを防ぐ
3. HAIPの推奨は法令の義務と分けて書く

院内の生成AI利用ガイドラインは、一から作る必要はありません。医療情報システムの運用管理規程（運用のルールを定めた院内の規程）があるなら、生成AIもその中で扱えます。

この記事の目次（9節）

1. 院内の生成AI利用ガイドラインとは
2. 国のガイドラインに「生成AI」の語は無い
3. 一階　国のガイドラインの枠に載せる
4. 二階　HAIPのガイドラインで中身を補う
5. 使ってよい生成AIの選び方
6. 職員に配る5項目
7. そのまま使える目次案
8. よくある失敗
9. よくある質問

院内の生成AI利用ガイドラインとは

職員が生成AIをどこまで使ってよいかを、医療情報の安全管理の体制の中に位置づけて書いた院内規程です。 材料になる文書は2つあります。1つは厚生労働省の「医療情報システムの安全管理に関するガイドライン」で、この記事では「国のガイドライン」と呼びます。もう1つは、医療AIプラットフォーム技術研究組合（HAIP）の「医療・ヘルスケア分野における生成AI利用ガイドライン（第2版）」で、「HAIPのガイドライン」と呼びます。

承認や証跡の仕組みは一階の国のガイドラインのものを使い、生成AIに固有の注意を二階で書き込みます。この記事では、こうして作る院内の生成AI利用ガイドラインを「院内規程」と呼びます。

国のガイドラインに「生成AI」の語は無い

国のガイドラインは、2026年6月に第7.0版へ改定されました。概説編・経営管理編・企画管理編・システム運用編・保守委託機関編の5編で構成されています。¹²

この5編のどこにも、「生成AI」という語は出てきません。 2026年8月9日に5編すべてのPDFの本文を検索すると、「生成AI」も「人工知能」も0件でした（図の中の文字など、テキストとして取り出せない部分は検索できていません）。

国のガイドラインは、特定の製品を対象にせず、医療情報の扱い方を定めています。生成AIも、医療情報を扱う情報システムの1つとして扱えます。

一階　国のガイドラインの枠に載せる

国のガイドラインの企画管理編には、生成AIを名指ししていないのに、生成AIの導入にそのまま使える記述が並んでいます。³ どう読み替えるかを先に決めれば、院内規程の骨組みができます。

とくに使えるのが3.2.2です。ここにはシャドーITが明記されています。IT部門の管理や許可を受けずに、各部門が独自に導入・利用しているIT機器やソフトウェアのことです。国のガイドラインは、委員会を置かない規模の医療機関にも、承認の仕組みを構築するよう求めています。情報システムの導入や変更に、経営層か医療情報システム安全管理責任者などの承認を必要とする仕組みです。³

生成AIは、クレジットカードがあれば数分で部署ごとに契約できてしまいます。院内規程が無いまま使わせるのは、シャドーITを見過ごしているのと同じです。

二階　HAIPのガイドラインで中身を補う

HAIPのガイドラインは、生成AIを正面から扱った日本語の文書です。厚生労働省の補助金による研究の成果で、第2版は2025年7月11日付です。ただし、発行の時点では政府の具体的な方針がまだ出ていないため、リスクと対策（特に4章）は研究班の見解だと断っています。⁴⁵

行政の指針ではありません。 院内規程に取り込むときは出典を明記し、法令の義務と研究班の推奨を分けて書きます。混ぜると、あとで政府の方針が出たときに、どこを直せばよいか分からなくなります。

HAIPのガイドラインは、組織として取り組むことを3つ挙げています。使ってよいサービスを選んで職員に周知する、利用ルールを規定して運用する、便益とリスクを理解させる研修を実施する、の3つです。利用ルールでは、次の4項目を規定するよう勧めています。⁴

• 法令などに違反した利用や不適正な利用を禁止する（例：薬事承認などを得ていない生成AIの出力を、医師が確認しないまま患者の医学的判断などに使うことを禁止する）
• 利用上・セキュリティ上の留意点を守らせる（例：虚偽のデータを作らせるプロンプト（指示文）の入力を禁止する）
• 職員が生成AIを誤用していないかを定期的に点検する（例：監査で半年に1回、利用状況を点検する）
• 組織の中の生成AIの利用状況を把握する（例：診療科や部署で生成AIを使うときは、AIを管理する部署に申請する）

点検の頻度や申請の要否まで例が示されているので、一から議論せずに済みます。

使ってよい生成AIの選び方

HAIPのガイドラインは、医療情報（患者の情報を含む、医療に関する情報）を扱う前提で、提供事業者に確認すべき点を挙げています。⁴

研究班は、再学習に使われる設定のまま、本人の同意なく個人情報を入力することにも注意を促しています。個人情報保護法の第三者提供に抵触する場合がある、という指摘です。⁴

この表に、国のガイドラインの委託先選定の確認事項（7章 遵守事項⑥）を重ねると、確認票ができます。国のガイドラインは、プライバシーマークかISMS認証の取得を挙げています。どちらも無ければ、ISMAP、CSゴールドマーク、FedRAMP、SOC2・SOC3など、ほかの第三者認証で確認するよう求めています。機器の設置場所（地域・国）と、国外の法律が適用される可能性も確認事項です。³ サービスを選ぶときは、この確認票を1枚埋めれば足ります。

医療情報を入力させない方法もあります。その場合も、参考情報を集めるだけに使うなど、使い道を絞っておく必要があります。⁴

職員に配る5項目

組織のルールとは別に、利用者が守るべきこともあります。HAIPのガイドラインは、個人向けに次の5点を挙げています。⁴ そのまま職員向けの周知文にできます。

1. 使う生成AIが、所属する組織で利用可能と判断されたサービスかを確認する
2. 生成AIの用途が法令などに違反していないかを確認する
3. 生成AIの出力が正しいかを自分で確認する
4. 既存の著作物に似たものを作らせるプロンプトを入力せず、出力が既存の著作物に似ていないかを確認する
5. 出力をそのまま使うときは、生成AIを利用したことを通知する

2については、線引きの例が2つ示されています。医師法では、診断書や処方箋などは医師が作成することになっています。生成AIで作成したものを、医師が確認や修正をせずに使えば違反です。医薬品医療機器等法では、服薬指導は薬剤師が行うことになっています。生成AIが出した服薬指導の内容を、薬剤師が説明せずに患者へそのまま示すことも違反です。⁴ AIが下書きし、有資格者が確認して自分の名前で出すという順番を崩さないことが、2つに共通する要点です。

そのまま使える目次案

1. 目的と適用範囲（対象者・対象業務・医療情報を扱う場合と扱わない場合の区別）
2. 用語の定義（生成AI／医療情報／利用可能なサービス）
3. 利用可能な生成AIサービスの一覧と、追加を申請する窓口・様式
4. 使ってよい業務と、使ってはいけない業務（医師法・薬機法にかかわる線引きを含む）
5. 入力してよい情報と、入力してはいけない情報
6. 出力の確認責任
7. 生成AIを利用したことの表示・通知
8. 利用状況の把握（申請・台帳）と点検の頻度
9. 教育・訓練（受講後のテスト、未受講者へのフォロー）
10. 違反時の報告経路と、既存の安全管理体制との連携
11. 参照した文書と改定履歴

3〜5だけを先に配り、残りを後から足す進め方でも構いません。空白のままにしておくより、暫定版でも配ってあるほうが安全です。

HAIPのガイドラインの4章は、8つのユースケース（利用場面）ごとにリスクと対策の例を示しています。⁴ 自院で使う場面が決まっているなら、これを4と5に反映すると早く作れます。9の受講後のテストと未受講者へのフォローも、HAIPのガイドラインが検討事項に挙げています。⁴

よくある失敗

「生成AIは禁止」の通達だけ

使いたい理由は消えないので、個人のアカウントでの利用に移るだけです。例えば、医事課の職員が会議の議事録の要約に、私物のスマートフォンで生成AIを使い続けたとします。どのサービスに何が入力されたかを、病院には把握できません。禁止するなら、代わりに使える手段と申請の経路を同時に示しましょう。

ツールを選んで終わり

選定は、HAIPのガイドラインが組織に求める3つのうちの1つにすぎません。⁴ 利用ルールと研修が無いと、出力を確認せずに使う運用が根づいてから気づくことになります。国のガイドラインは、教育・訓練の実施状況を定期的に経営層へ報告するよう求めています。³ 受講の記録を残す仕組みまで含めて、研修です。

義務と推奨の混在

国のガイドラインは、利用するときは最新版であることに十分留意するよう求めています。² 院内規程も改定が前提です。義務と推奨のどちらを改めたのかが分かるよう、改定履歴の欄を最初から用意しておきます。

よくある質問

---

中身を書くのは、それぞれの医療機関です。外部の文書がそろうのを待つ理由はありません。承認・台帳・証跡・研修という既存の枠に載せるところまでは、今日から始められます。

出典

1. 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（令和8年6月）」（参照 2026-08-09）
2. 医療情報システムの安全管理に関するガイドライン 第7.0版 概説編（参照 2026-08-09）
3. 医療情報システムの安全管理に関するガイドライン 第7.0版 企画管理編（参照 2026-08-09）
4. 医療AIプラットフォーム技術研究組合「医療・ヘルスケア分野における生成AI利用ガイドライン（第2版）」2025年7月11日（参照 2026-08-09）
5. 医療AIプラットフォーム技術研究組合「医療・ヘルスケア分野における生成AI利用ガイドラインを策定」（参照 2026-08-09）