病院の生成AI利用ルールの作り方｜職員向けの規程に書くこと
仕様確認・更新日: · 編集: 株式会社ウェステリア
病院で生成AIを使い始めるとき、製品選びより先に要るのが職員向けのルールです。ルールがないと、職員は個人のアカウントで使い始め、何が入力されたかを病院が把握できなくなります。この記事では、厚生労働省の安全管理ガイドライン第7.0版、同じページに掲載されている運用管理規程文例、個人情報保護委員会の注意喚起(2023-06-02)をもとに、院内の生成AI利用規程に書く項目と文例、作る手順をまとめます(2026-10-24時点)。
結論から
- 規程に書くのは、対象と目的、使ってよいサービス、入力してよい情報の区分、禁止する使い方、出力の確認責任、申請と承認、教育、事故時の報告、見直しの時期です。新しい規程を一から作るより、既存の運用管理規程・個人情報保護の規程に生成AIの章を足すほうが運用しやすくなります
- いちばん効くのは「入力してよい情報の区分」と「使ってよいサービス」の対応表です。患者を特定できる情報は、契約・保存・権限を確認したサービスに限ります
- 診断・治療方針・投薬の判断に出力をそのまま使わないことを、禁止事項として明記します。安全管理ガイドラインは職員への教育を採用時と定期に行い、実施状況を経営層に報告することを求めています
自院の場合、どの業務から手を付けるべきか先に知りたい方へ。 病床数の規模と負担が大きい業務を1〜3個送るだけで、AIで減らせる部分・減らせない部分と、安全管理上の確認点を3営業日以内に無料でお返しします → 支援メニュー・安全管理の考え方・よくあるご質問は「病院のAI活用支援」に →
なぜ製品より先にルールなのか
生成AIは、職員が個人のスマートフォンやパソコンからすぐに使えます。病院が何も決めていなければ、紹介状の文面を整えるために患者の情報を個人のアカウントに貼り付ける、といった使い方が起きても、病院はそれを知る手段がありません。個人情報保護委員会は、本人の同意なく個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われる場合、事業者が法律に違反する可能性があると注意喚起しています(2023-06-02)。
安全管理ガイドライン第7.0版の企画管理編は、個人情報の安全管理に関する職員への教育・訓練を採用時と定期に行い、その実施状況を定期的に経営層に報告することを遵守事項にしています。生成AIの使い方も、この教育の範囲に入れるのが自然です。
仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(企画管理編)」 / 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」(2023-06-02)
既存の規程とどうつなぐか
厚生労働省の安全管理ガイドラインのページには「運用管理規程文例」が掲載されています。文例の付表(一般管理における運用管理の実施項目例)は、総則、管理体制、管理者及び利用者、一般管理、業務委託の安全管理、情報及び情報機器の持ち出し、外部の機関との連携、自然災害やサイバー攻撃に備えたBCP、教育と訓練、監査、その他(規程の公開など)という項目で組み立てられています。
生成AIの利用ルールは、この構成のどこかに重ねると、既存の責任者や委員会をそのまま使えます。たとえば、使ってよいサービスと申請の手続きは「管理者及び利用者」、外部サービスの契約確認は「業務委託の安全管理」、職員への説明は「教育と訓練」に入ります。別の規程として作る場合も、責任者と承認する委員会は既存の運用管理規程と同じにしておくと、判断が分かれません。
仕様の出典: 厚生労働省「運用管理規程文例」(安全管理ガイドラインのページに掲載) / 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(令和8年6月)」
規程に書く項目と文例
院内の生成AI利用規程に書く項目と、文例の書き方の例です。文例は当社が作成したもので、自院の規程の用語(運用責任者、システム管理者、情報システム管理委員会など)に合わせて直してください。
| 項目 | 書く内容 | 文例 |
|---|---|---|
| 目的と対象 | 対象の職員(委託先の職員を含むか)、対象のサービス | この規程は、当院の職員が業務で生成AIサービスを利用する際の取扱いを定める。 |
| 使ってよいサービス | 院が契約・承認したサービスの一覧と、その管理者 | 業務での生成AIの利用は、別表1に掲げる院が承認したサービスに限る。個人で契約したアカウントは業務に使用しない。 |
| 入力してよい情報 | 情報の区分ごとに、使ってよいサービス | 入力できる情報は、別表2の区分に従う。患者を特定できる情報は、別表2で認めたサービス以外に入力しない。 |
| 禁止する使い方 | 診断・治療・投薬の判断、確認しないままの院外への送付など | 生成AIの出力を、診断、治療方針又は投薬の判断にそのまま用いない。 |
| 出力の確認 | 出力を使った文書の確認と確定の責任 | 生成AIの出力を用いて作成した文書は、作成者が内容を確認したうえで確定する。 |
| 申請と承認 | 新しいサービス・新しい用途を使いたいときの手続き | 別表1にないサービスを利用する場合、又は新たな業務に利用する場合は、システム管理者に申請し、情報システム管理委員会の承認を得る。 |
| 教育 | 採用時と定期の研修、受講記録 | 職員は、採用時及び年1回、生成AIの利用に関する研修を受講する。 |
| 事故時の報告 | 誤って入力した、誤った出力を使ったときの報告先 | 許可されていない情報を入力した場合は、直ちに個人情報保護責任者に報告する。 |
| 見直し | 見直しの時期と担当 | この規程は年1回及び関係する法令・指針の改定時に見直す。 |
いちばん効くのは「情報の区分」と「サービス」の対応表
職員が迷うのは「これを入れてよいか」です。規程の本文で原則を書き、別表で情報の区分ごとに使ってよいサービスを示すと、現場で判断できます。病歴・診療情報・健診結果は、公的なガイダンスで医療機関の要配慮個人情報の例に挙げられている情報です。
| 区分 | 例 | 使ってよいサービスの例 |
|---|---|---|
| A 公開してよい情報 | 病院のWebサイトの掲載内容、公表済みの資料 | 院が承認したサービスすべて |
| B 院内の情報(患者情報を含まない) | 院内規程、マニュアル、会議資料、職員向け通知 | 法人契約で、入力が学習に使われないサービス |
| C 職員などの個人情報 | 職員名簿、勤務表、評価 | 原則入力しない。必要な業務は個別に承認 |
| D 患者を特定できる情報(要配慮個人情報を含む) | 診療記録、紹介状、検査結果、健診結果 | 保存・学習利用・保存場所・事業者の閲覧権限を確認し、委員会が承認したサービスのみ |
仕様の出典: 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」(平成29年4月14日、令和8年4月一部改正) / 厚生労働省「医療情報システムの安全管理に関するガイドラインQ&A(令和8年9月)」
教育と周知で押さえること
規程を作っても、職員が知らなければ使われません。安全管理ガイドラインが求める採用時と定期の教育に、生成AIの内容を加えます。研修は長いものより、次のような具体例を見せるほうが伝わります。
- 入力してよい例・だめな例(紹介状の文面を整える場合、患者名を残したまま入力するのはだめ、など)
- 院が承認したサービスへのログインのしかたと、個人アカウントを使わない理由
- 出力のもっともらしい誤りの例と、確認のしかた
- 誤って入力したときの報告先(責めるためではなく、早く把握するための報告であること)
- 受講記録を残し、実施状況を経営層に報告する
運用で詰まりやすいところ
規程を作った病院でよく起きるのは、承認の手続きが重すぎて、結局は個人のアカウントで使われ続けることです。申請から承認までの期間を決め、よく使われる用途(院内文書の下書き、規程の検索、議事録の要約など)は最初から承認済みにしておくと、抜け道が減ります。
部署ごとに例外が増えるのも詰まりやすい点です。例外は委員会で承認した記録を残し、年1回の見直しのときにまとめて整理します。電子カルテベンダーの機能として生成AIが組み込まれる場合も、規程上は「院が承認したサービス」として別表に載せ、同じ扱いにします。
作る手順と、当社が手伝う範囲
当社は、病院向けの健診・人間ドック予約システム「健診イージー」を自社で開発・運用しています。規程づくりでは、業務の棚卸し、サービスの確認項目の整理、別表の作成、承認済みの仕組みの構築を手伝います。規程の法的な確認は、院内の個人情報保護責任者や顧問弁護士と進める前提です。診断・治療方針・投薬の判断にAIを使う仕組みは、医療機器プログラムとして規制の対象になりうるため、当社は扱いません。
- 職員アンケートなどで、すでに使われている生成AIサービスと用途を把握する
- 使いたい業務を書き出し、入力する情報の区分を付ける
- 院として契約するサービスを決め、契約・保存・学習利用を確認する
- 規程の本文と別表(サービス一覧、情報の区分表)を作り、情報システム管理委員会などで承認する
- 研修を行い、受講記録を残す
- 3〜6か月使ったあとに、申請の件数、例外、事故の報告を見て見直す
仕様の出典: 厚生労働省「プログラムの医療機器該当性に関するガイドラインの一部改正について」(2023-03-31、新旧対照表)
よくあるご質問
- 生成AIの利用を全面的に禁止してはいけませんか
- 禁止はできますが、職員が個人のアカウントで使い続けると、病院は何が入力されたかを把握できなくなります。院が契約したサービスを用意し、入力してよい情報を決めるほうが、管理できる範囲が広がります。
- 規程は独立したものにすべきですか、既存の規程に足すべきですか
- どちらでも構いませんが、責任者と承認する委員会は既存の運用管理規程と同じにしてください。厚生労働省の運用管理規程文例の構成(管理者及び利用者、業務委託、教育と訓練など)に重ねると、既存の仕組みをそのまま使えます。
- 委託先(医事業務の委託会社など)の職員にも適用しますか
- 院の業務で院の情報を扱う以上、対象に含めるのが自然です。委託契約で守秘義務を定めることは安全管理ガイドラインの遵守事項でもあり、生成AIの利用の扱いも委託契約や委託先への周知に含めます。
- AIを使って作った文書であることを記録する必要はありますか
- 法令で一律に求められているものではありませんが、誤りが見つかったときに原因をたどれるよう、どの文書に生成AIを使ったかを残す運用を勧めます。少なくとも試験導入の期間は記録しておくと、効果と誤りの検証に使えます。