目次
結論：生成AIは「外部のクラウドサービス」だから
先に結論からお伝えします。患者情報を生成AIに入力してはいけない最大の理由は、ChatGPTのような生成AIが、あなたのパソコンの中で動いているのではなく、インターネットの向こう側にある外部事業者のサーバー（クラウド）で動いているからです。
つまり、生成AIに何かを入力するという行為は、「外部の会社にデータを送って、預ける」ことと同じです。手元のメモ帳に書くのとはまったく意味が違います。
この一点さえ腹落ちすれば、あとの理由はすべてここから自然に導かれます。順番に見ていきましょう。
💡 この記事の位置づけ
本記事は、生成AIを安全に使うための一般的な考え方を解説するものです。法令や公的ガイドラインの逐条解説ではなく、特定施設のルールを保証するものでもありません。実際の運用は、必ず所属施設の情報セキュリティ規程・個人情報保護方針に従ってください。
理由①：入力した情報が「外部に渡る」
先ほどの結論の、いちばん直接的な帰結です。生成AIに患者の氏名や病歴を入力すると、その情報は外部事業者のサーバーに送信・保存されます。
医療の世界では、患者情報を院外に持ち出すことに極めて慎重なはずです。紙のカルテを院外に持ち出すのが厳禁なのと同じように、生成AIへの入力も「情報を院外に出す」行為にあたります。画面の中の出来事なので実感が湧きにくいだけで、本質は変わりません。
この考え方は、国が示している「医療情報システムの安全管理に関するガイドライン」（第7.0版）の枠組みとも一致します。このガイドラインは、クラウドサービスを使うときに「医療機関と事業者のどちらが何を守るのか（責任分界）」や「外部委託・個人情報の取り扱い」を重視しています。生成AIもクラウドサービスの一種なので、同じ考え方がそのまま当てはまります。
だからこそ、出発点は「この情報は、そもそも院外に出してよいものか？」を施設のルールで判断することになります。
理由②：入力が「学習に使われる」ことがある
2つ目の理由は、送ったデータがAIの学習（改善）に使われる場合があることです。
サービスや契約の種類によっては、入力した内容がモデルの改善に利用されることがあります。そうなると、入力した情報が、巡り巡って別の人への回答に影響する可能性もゼロとは言い切れません。
ここで重要なのは、「学習に使われない設定にすれば安全」と単純に考えないことです。たしかに、法人向けの契約や設定によって「入力を学習に使わない」とされているサービスもあります。しかし——
- その設定が本当に有効になっているかを個人が確認するのは難しい
- 設定に関わらず、データが外部に送信されている事実は変わらない（理由①）
- サービスの仕様や規約は変わることがある
つまり「学習に使われるか」は理由の1つにすぎず、それをクリアしたからといって、患者情報を入れてよいことにはなりません。判断の軸は、あくまで理由①の「外部に出してよい情報か」です。
理由③：法令と施設ルールに触れる
3つ目は、ルールの問題です。患者情報は個人情報保護法で守るべき情報であり、医療従事者には守秘義務があります。
患者情報を許可なく外部サービスに入力することは、これらに触れるおそれがあります。さらに、多くの医療機関には独自の情報セキュリティ規程があり、生成AIの業務利用について方針を定めている（または「原則禁止」としている）ことも増えています。
⚠ 「施設のルール」が常に優先されます
個人の判断で「大丈夫だろう」と使うのではなく、所属施設に生成AIの利用ポリシーがあるかをまず確認してください。ポリシーがある場合は必ずそれに従い、無い場合や不明な場合は、勝手に判断せず情報システム部門などに確認するのが安全です。本記事や各種ガイドの内容よりも、自院のルールが常に優先されます。
📌 2026年の個人情報保護法改正について（誤解しやすい点）
2026年7月、個人情報保護法の改正法が成立・公布されました（主な改正の施行は2028年ごろの予定です）。この改正には、AIの学習や統計の作成を目的としたデータ利用について、一定の条件のもとで本人の同意なしに利用できるとする規制緩和が含まれています。
ここで、ぜひ誤解しないでください。これは主にAIを開発する事業者などが、データを「統計や学習の材料」として使う場面を想定した緩和です。医療従事者が日々の業務のなかで、個々の患者情報を外部の生成AIに入力してよくなった——という意味ではありません。
そもそもこの記事で説明してきた「情報が外部に渡る」「守秘義務」というリスク（理由①・③）は、法改正があっても変わりません。この改正の詳しい中身と、医療現場への本当の影響については、別の記事で改めて解説する予定です。
実際に起きている事故
「理屈は分かったけれど、本当にそんな問題が起きるの？」と思うかもしれません。残念ながら、実際に起きています。ここでは報道などで知られている類型を紹介します（特定の事案を断定するものではなく、起こり得るパターンとして整理しています）。
| 類型 | 何が起きたか |
|---|---|
| 許可のないAI利用 （シャドーAI） |
業務利用を許可されていない生成AIに、患者情報を含むファイルをアップロード。氏名・病歴などが外部に渡った |
| 社内情報の入力 | 一般企業でも、社員が社内の機密情報を生成AIに入力し、情報が流出したと報じられた例がある |
| サービス側の不具合 | サービス側のバグにより、他人の入力履歴が一時的に閲覧できる状態になった例がある |
| アカウントの流出 | アカウント情報が不正に取得され、売買される例がある。過去の入力履歴ごと第三者に渡るリスク |
注目してほしいのは、最後の2つは「自分がどれだけ気をつけていても」起こり得るという点です。サービス側の不具合やアカウント流出は、利用者側では防ぎきれません。だからこそ、「そもそも重要な情報を入力しない」ことが最大の防御になります。
「これくらいなら」がなぜ危ないか
事故の多くは、悪意からではなく「これくらいなら大丈夫だろう」という小さな判断から始まります。
たとえば「名前は消したから大丈夫」と思っても、年齢・性別・病名・経過・地域などを組み合わせると、個人が特定できてしまうことがあります。珍しい疾患や特徴的な経過であればなおさらです。氏名を消すことは、匿名化の入口にすぎません。
ここで役立つのが、「学会発表の匿名化基準でも出せないものは、生成AIにも入れない」という考え方です。学会発表では、患者が特定されないよう細心の注意を払います。その基準で「これは出せない」と感じる情報は、生成AIにも入れない——これを1つの目安にすると、判断がぶれません。
💡 送信ボタンを押す前の「5秒」
迷ったときは、送信の前に一呼吸おいて自問してください。「これは院外に出してよい情報か？」「個人が特定され得る要素はゼロか？」「使っているツールは施設で許可されているか？」。1つでも引っかかったら、送らない。この5秒の習慣が、事故を防ぎます。
では、どう使えば安全か
ここまで「してはいけない」を中心に説明してきましたが、生成AIは正しく使えば非常に役立つ道具です。禁止するためではなく、安心して使うために線を引いています。基本の考え方は3つです。
| 原則 | 内容 |
|---|---|
| ① 個人情報は入力しない | 氏名・患者ID・生年月日・画像・詳細な症例経過など、個人が特定され得る情報は入れない |
| ② 出力は必ず検証する | 生成AIの答えには誤り（ハルシネーション）が混ざる。医学的内容は一次情報で確認し、下書きとして使う |
| ③ 施設のルールが優先 | 所属施設のポリシーを最優先する。不明なときは自己判断せず確認する |
たとえば、個人が特定されない形にすれば、生成AIは安全に活用できます。一般的な医学知識の整理、英語論文の要約、患者説明文の「たたき台」づくり、書類のひな型作成——こうした使い方なら、業務を大きく助けてくれます。大切なのは、「何を入れないか」を先に決めてから使うことです。
「入力してよい／ダメ」を判断できるチェックシートを無料配布
この記事の考え方を、現場ですぐ使える形にまとめた「医療現場の生成AI 安全活用ガイド」を公式LINEで無料配布しています。入力可否チェックシート・送信前の判断フロー・出力の検証手順・そのまま使える「マイAIルール」テンプレまで収録。友だち追加でどうぞ。
まとめ
要点を振り返ります。
- 患者情報を生成AIに入力してはいけない最大の理由は、生成AIが「外部のクラウドサービス」で、入力＝外部への情報提供になるから
- そこから、①情報が外部に渡る ②学習に使われ得る ③法令・施設ルールに触れるという理由が導かれる
- サービス側の不具合やアカウント流出は利用者側で防げないため、「そもそも入力しない」が最大の防御
- 判断の目安は「学会発表の匿名化基準でも出せないものは入れない」
- 生成AIは個人が特定されない形なら安全に活用できる。禁止でなく、安心して使うための線引き
「なぜダメなのか」が腹落ちすれば、日々の判断はぐっと楽になります。ルールを丸暗記するより、仕組みを理解して自分で判断できるようになること——それが、これからの医療現場でAIと付き合っていくための、いちばん確かな土台になります。
医療現場での生成AIの広がりについては病院の生成AI活用、カルテの次は退院サマリ・看護業務へで、医療従事者がAIを学ぶ意義については医療従事者がAIを学ぶべき5つの理由でも解説しています。
📚 参考にした公的情報（2026年7月25日確認）
・厚生労働省「医療情報システムの安全管理に関するガイドライン（第7.0版）」
・個人情報の保護に関する法律（個人情報保護法）※2026年7月に改正法が公布（令和8年法律第56号）。主な改正の施行は2028年ごろの予定です。
※本記事は一般的な考え方を解説するものです。制度やサービス仕様は変わる可能性があります。実際の運用は所属施設の規程および最新の公的情報をご確認ください。