医療情報の安全管理ガイドラインと生成AI｜第7.0版とQ&Aから読む、病院が使ってよい条件
仕様確認・更新日: · 編集: 株式会社ウェステリア
病院で生成AIを使おうとすると、最初に「安全管理ガイドライン上、使ってよいのか」という問いが出ます。厚生労働省の「医療情報システムの安全管理に関するガイドライン」は2026-06-29付けの通知で第7.0版が策定され、2026年9月にはQ&Aも公開されました。この記事では、2026-10-24時点で厚生労働省が公開している本文・通知・Q&Aを読み、生成AIについて書かれていること・書かれていないことを分けたうえで、病院の情報システム担当と事務長が確認すべき項目を表にまとめます。
結論から
- 第7.0版の本文(概説編・経営管理編・企画管理編・システム運用編・保守委託機関編)には、生成AIに特化した章や遵守事項はありません。改定の柱はサイバー対策、2省ガイドラインとの役割分担、クラウド活用の推進、保守委託機関編の新設です
- 生成AIに直接触れているのはQ&A(令和8年9月)のQ18です。入力した医療情報が「AIの学習等のために保存されないこと」が契約等で担保されていれば、サーバが国内法の適用を受けていることは必須ではない、と答えています。保存される場合は、企画管理編7章の遵守事項⑤がそのままかかります
- ガイドラインのほかに、個人情報保護委員会の注意喚起(2023-06-02)と、医療機器プログラムの該当性の考え方を合わせて確認します。事務作業の支援は医療機器に当たらない典型例ですが、診断・治療の判断に使う使い方は別の規制の話になります
検討中の使い方が、安全管理ガイドライン上どこを確認すべきか知りたい方へ。 使いたい業務を1〜3個送るだけで、患者情報を外に出すか、ログと権限、契約で確認することを3営業日以内に無料でお返しします → 支援メニュー・安全管理の考え方・よくあるご質問は「病院のAI活用支援」に →
第7.0版で何が変わったか
厚生労働省は2026-06-29付けの通知(産情発0629第1号)で、「医療情報システムの安全管理に関するガイドライン」第7.0版を策定したと都道府県等に知らせています。前の第6.0版は2023年5月の策定です。通知は改定の背景として、医療機関を狙ったサイバー攻撃が続いていること、サイバー対処能力強化法の成立、経済産業省・総務省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」(いわゆる2省ガイドライン。厚労省のガイドラインと合わせて「3省2ガイドライン」と呼ばれます)の第2.0版への改定を挙げています。
通知に書かれた改定の概要は次の表のとおりです。生成AIという言葉は、通知の中には出てきません。
| 改定の項目 | 通知に書かれている内容 |
|---|---|
| 構成 | 保守委託機関編を追加し、5編構成になった |
| 制度的な動向 | 関連法令にサイバーセキュリティ基本法を追加、サプライチェーンリスクを追記。医療機関と事業者の役割分担やリスクコミュニケーションを追記。クラウドサービスの積極的な活用を推進する旨を追記 |
| パスワード | 使い回しの禁止とアカウントロックを追記し、「定期的な変更」の要件を削除 |
| 二要素認証 | クライアント端末とサーバで対応することを明確化。2027-04-01時点で対応が難しい医療機関は、次のシステム改修での対応を許容 |
| 保守委託機関編 | すべてのサーバのセキュリティアップデートを委託(クラウドサービスの利用を含む)している医療機関は、保守委託機関編を守れば他の編も守れているとみなす |
仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(令和8年6月)」 / 厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版」の策定について(産情発0629第1号、2026-06-29) / 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(概説編)」
生成AIについて書かれていること・書かれていないこと
当社が2026-10-24に第7.0版の5編の本文を確認した範囲では、生成AIに特化した章や遵守事項はありませんでした。厚生労働省の作業班の資料(2026-05-29)でも、パブリックコメント294件のうち「AI、データ主権等のガイドライン本体外の論点」が3件と整理されており、AIは本文で扱う論点としては置かれていません。
一方で、2026年9月のQ&Aには生成AIに直接触れた問答が1つあります(企画管理編のQ18)。生成AIを使うときの考え方は、このQ18と、外部の事業者に医療情報を預けるときの一般的な遵守事項(企画管理編7章)を組み合わせて読むことになります。
| 論点 | ガイドライン・Q&Aに書かれていること | 場所 |
|---|---|---|
| 生成AI専用の要件 | なし(本文に生成AI固有の遵守事項はない) | 第7.0版 5編の本文 |
| プロンプトに医療情報を入れる場合のサーバの所在 | 入力情報がAIの学習等のために保存されないことが契約等で担保されていれば、国内法の適用は必須ではない | Q&A 企画管理編 Q18 |
| 医療情報を外部に保存する場合 | 守秘義務とペナルティの契約、2省ガイドライン遵守の契約、情報機器が国内法の適用・執行の及ぶ範囲にあることの確認など | 企画管理編 7章 遵守事項⑤ |
| 外部の事業者を選ぶとき | 基本方針・体制、バックアップ、Pマーク/ISMS、それがなければISMAP・SOC2等の認証、保存場所(地域・国)、国外法の適用可能性などを確認 | 企画管理編 7章 遵守事項⑥ |
| 一般向けのWebサービスを使う場合 | 利用は可能だが、医療情報システムとして安全性を評価する。MDS/SDSやサービス仕様適合開示書を事業者から入手してリスク評価する | Q&A 概説編 Q10 |
仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドラインQ&A(令和8年9月)」 / 厚生労働省 第32回 健康・医療・介護情報利活用検討会 医療等情報利活用WG 資料5「医療情報システムの安全管理に関するガイドライン改定について」(2026-05-29) / 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(企画管理編)」
Q18を正確に読む: 「学習に使わない」だけでは足りない
Q18の問いは「生成AIサービスのプロンプトとして医療情報を入力する場合、入力情報が『AIの学習等のために保存されないこと』が契約等において担保されていれば、サーバが国内法の適用を受けている必要はないと考えて良いか」です。答えは「国内法の適用を受けていることは必須ではありません」で、理由として、企画管理編7章の遵守事項⑤は「保存された情報を格納する情報機器等」についての規定であり、保存されないことが契約等で担保されていれば対象にならない、と説明しています。
読むときの注意は3つあります。1つ目に、条件は「保存されないこと」が「契約等で担保されている」ことです。利用規約に「学習に使わない」と書かれていても、不正利用の確認などのために入力内容を一定期間保存するサービスはありえます。学習に使うかどうかと、保存されるかどうかは別々に確認します。2つ目に、Q18が外しているのはサーバの所在(国内法の適用)の要件だけで、守秘の契約や事業者の選定時の確認がいらなくなるわけではありません。3つ目に、出力された文書を電子カルテや院内のファイルサーバに保存すれば、その保存先は通常の医療情報システムとして扱います。
- 契約・利用規約で、入力と出力が保存されない(または保存期間と場所)と書かれているか
- 学習に使わない設定が、個人の設定ではなく組織の契約として固定されているか
- 管理画面や監査ログで、誰がいつ使ったかを病院側で追えるか
- 保存される設定・プランを使う場合に、遵守事項⑤(守秘義務の契約、2省ガイドライン遵守の契約、国内法の適用・執行の及ぶ範囲)を満たすか
仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドラインQ&A(令和8年9月)」 / 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(企画管理編)」
生成AIサービスを選ぶときの確認表
ガイドラインとQ&Aの記述を、生成AIの製品・サービスを比べるときの確認表に直すと次のようになります。事業者に資料を求め、回答を残しておくと、委員会や経営層への説明にもそのまま使えます。企画管理編7章の遵守事項⑤は、重要度の高い委託について「経営層に丁寧に報告し、承認を得ること」も求めています。
| 確認すること | 事業者に求める資料・回答 | 根拠 |
|---|---|---|
| 入力・出力の保存の有無と期間 | 契約書・利用規約の該当条項 | Q&A 企画管理編 Q18 |
| セキュリティ対策の開示 | MDS/SDS(製造業者/サービス事業者による医療情報セキュリティ開示書)、サービス仕様適合開示書 | Q&A 概説編 Q10、企画管理編 Q17 |
| 第三者認証 | Pマーク・ISMS。ない場合はISMAP、CSゴールドマーク、SOC2/SOC3などの認証。認証の適用範囲が使うサービスを含むか | 企画管理編 7章 遵守事項⑥、Q&A Q19・Q20 |
| 保存場所と適用される法律 | データを保存する地域・国、国外法の適用可能性 | 企画管理編 7章 遵守事項⑥ h・i |
| 事業者側の閲覧権限 | 保守などで事業者が見られる範囲、例外アクセスの記録 | 企画管理編 7章 遵守事項⑤、Q&A Q21 |
| 契約終了時のデータ | 返却・消去の範囲と消去証明 | Q&A Q22 |
| 院内での利用者の管理 | 利用者ごとのアカウント、二要素認証、利用ログ | 策定通知(二要素認証の明確化) |
仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(企画管理編)」 / 厚生労働省「医療情報システムの安全管理に関するガイドラインQ&A(令和8年9月)」 / 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(保守委託機関編)」
ガイドラインの外で確認すること: 個人情報保護法
安全管理ガイドラインは医療情報システムの安全管理の指針で、個人情報の取扱いのルールは個人情報保護法と、個人情報保護委員会・厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」(令和8年4月一部改正)にあります。ガイダンスは、診療記録に書かれた病歴、診療の過程で知り得た診療情報、健康診断の結果などを、医療機関で想定される要配慮個人情報の例として挙げています。
個人情報保護委員会は2023-06-02に「生成AIサービスの利用に関する注意喚起等」を公表し、事業者に対して、個人情報を含むプロンプトを入力する場合は利用目的の達成に必要な範囲内かを十分に確認すること、本人の同意なく個人データを含むプロンプトを入力し、それが応答の出力以外の目的で扱われると法律に違反する可能性があるため、事業者が機械学習に使わないこと等を十分に確認すること、を求めています。ガイドラインのQ18とあわせて、「目的の範囲内か」「出力以外の目的で使われないか」を確認します。
仕様の出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」(2023-06-02) / 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」(平成29年4月14日、令和8年4月一部改正)
医療機器プログラムとの境界と、当社が扱わないこと
安全管理ガイドラインを満たしていても、それだけで「何に使ってもよい」ことにはなりません。プログラムが医薬品医療機器等法の医療機器に当たるかは、厚生労働省の「プログラムの医療機器該当性に関するガイドライン」(2021-03-31制定、2023-03-31一部改正)が示すとおり、製品の使用目的とリスクの程度で判断されます。同じガイドラインは、診療予約や受付、会計業務など医療機関の一般事務作業の負担軽減を目的とした院内業務支援プログラムを、医療機器に該当しない典型例に挙げています。
当社が病院で扱うのは、事務・文書の下書き・院内ナレッジの検索・電話や予約・集計までです。診断・治療方針・投薬の判断にAIの出力を使う仕組みは作りません。そうした使い方は医療機器プログラムとして規制の対象になりうるため、製品として承認・認証を受けたものを選ぶ領域です。
仕様の出典: 厚生労働省「医療機器プログラムについて」 / 厚生労働省「プログラムの医療機器該当性に関するガイドラインの一部改正について」(2023-03-31、新旧対照表)
院内で今日から確かめられること
厚生労働省のガイドラインのページには、第7.0版の本文・Q&Aのほか、「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和8年6月)と運用管理規程の文例が掲載されています。Q&A(経営管理編 Q3)は、ガイドライン自体に独立した罰則はないとしつつ、医療法に基づく立入検査で、ガイドラインやチェックリストに基づいた指摘を受ける可能性があると書いています。生成AIを入れる前に、次の順で確認しておくと、後から説明に困りません。
- 職員がすでに個人のアカウントで生成AIを使っていないか(使っているなら、何を入力しているか)
- 検討中のサービスについて、上の確認表の資料を事業者から取り寄せる
- 入力してよい情報の区分を決め、院内の規程に書く(利用ルールの作り方は別記事)
- 重要度の高い委託に当たる場合は、経営層に報告して承認を得る
仕様の出典: 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版(令和8年6月)」 / 厚生労働省「医療情報システムの安全管理に関するガイドラインQ&A(令和8年9月)」
よくあるご質問
- 第7.0版で、生成AIの利用は禁止されましたか
- 禁止されていません。本文に生成AI固有の遵守事項はなく、Q&A(令和8年9月)のQ18が、医療情報が保存されないことが契約等で担保されていれば、サーバの国内法の適用は必須ではないと答えています。外部の事業者を使うときの一般的な遵守事項は、生成AIでもそのままかかります。
- 海外の生成AIサービスに医療情報を入力してもよいですか
- 入力情報が保存されないことが契約等で担保されていれば、サーバが国内法の適用を受けていることは必須ではない、というのがQ18の答えです。保存される場合は、保存先が国内法の適用・執行の及ぶ範囲にあることを確実にする必要があります(企画管理編7章 遵守事項⑤)。個人情報保護法上の確認(利用目的の範囲、出力以外の目的で使われないか)も別に必要です。
- 「3省2ガイドライン」とは何ですか
- 厚生労働省の「医療情報システムの安全管理に関するガイドライン」と、経済産業省・総務省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」を合わせた呼び方です。前者は医療機関向け、後者は事業者向けで、Q&Aでも「３省２ガイドライン」という言葉が使われています。
- ガイドラインを守らないと罰則はありますか
- Q&A(経営管理編 Q3)は、ガイドライン自体に独立した罰則はないとしています。ただし、反する状態が個人情報保護法や医療法などの義務を満たしていないと評価される可能性があり、医療法に基づく立入検査でガイドラインやチェックリストに基づいた指摘を受ける可能性がある、と書いています。