セキュリティの参考資料
閲覧にはパスワードが必要です
中島クリニック 鑪様 / 02

セキュリティの参考資料

医療現場でAIを使うときの「線引き」と、仕組みの作り方の参考。動画は再生ボタンでこのページ内に開きます

2026年9月1日・最新

アメリカでは、AIが電子カルテにつながり始めました

  • OpenAIの「ChatGPT for Healthcare」が、電子カルテEpic(米国の病院の約4割が使用)と連携。検査結果や投薬状況を質問すると、カルテに基づいた要約が返ってきます(読み取り専用)
  • 27の臨床ユースケース・4,363件の評価で、99.1%の回答が安全と確認(OpenAIの自社評価)

日本ではまだ本格提供されていません。ただ、厚生労働省の「電子カルテ情報共有サービス」が HL7 FHIR という国際規格で標準化を進めており、本格運用は2026年度の冬ごろの予定です。アメリカの連携も同じFHIRの上で実現しているため、日本でもカルテ側に「標準の接続口」ができる年が目前にあります。

だからこの資料の位置づけは、「AIに患者情報を入れない」ための線引きであると同時に、その線が動いたときに慌てないための準備でもあります。
詳しい流れは 回答ページの「この分野は、いま急速に動いています」 をご覧ください。
🔎まず1本だけなら:動画「医療現場でClaude・ChatGPTを使うと違法?」(約12分)。記事なら「要配慮個人情報――法律が名指しした情報たち」。この2つで、今回の回答②の考え方はほぼつかめます。
🗾よくある疑問:なぜ「東京リージョン」にこだわるのか
厚労省のQ&Aでは、「入力がAIの学習に使われないことが契約で担保されていれば、サーバーが国内にある必要はない」とされています。つまり海外リージョンでも直ちに違反ではありません。
それでも東京(asia-northeast1)を選ぶ理由は3つです。①国内保存なら3省2ガイドラインの「外部保存」について院内・監督官庁に説明しやすい ②万一の際に日本の法律・裁判所で扱える(2026年1月、Googleは公的機関向けに準拠法を日本法・管轄を東京地裁とする規約改定を実施)③個人情報保護法の「外国にある第三者への提供」の議論を避けられる。
要するに、技術的な必須要件というより「説明のしやすさ」を買う選択だとお考えください。

YouTube と note

「何がダメで、何なら大丈夫か」「どう組めば安全か」を、動画4本・note記事5本・Web記事5本で。各要約は見出し+箇条書きにしています

▶ YouTube(4本)— 再生ボタンでこのページ内で見られます
医療現場でClaude・ChatGPTを使うと違法?セキュリティの真実を徹底解説
FRENVOX(現役理学療法士×AI)
ご質問② 安全な扱いFRENVOX(現役理学療法士×AI)11分40秒まずこれ

「医療現場でChatGPTやClaudeを使うと違法なのか?」に、現役の理学療法士の方が約12分で答える動画。

  1. AIに入力する行為は、外部の会社に個人情報を「渡す」ことになる場合がある
  2. 関係する法律の条文を順に解説:要配慮個人情報/安全管理措置/第三者提供/外国の会社への提供
  3. 「クラウドサービスなら例外になるケース」の考え方
  4. 法人向けプラン(学習に使わない契約・データを保持しない設定・医療向け契約)を選ぶ理由
  5. 概要欄に、参照した法令・ガイドライン・各社規約へのリンク一覧

こんな使い方ご質問②の土台。まず最初にこれを見ると「何がダメで、何なら大丈夫か」の線引きが分かります。

再生ボタンでこのページ内に動画が開きます。開かない場合は右のボタンからどうぞ。 YouTubeで開く ↗
医療機関のセキュリティは何が変わったのか|ガイドライン第7.0版と重要インフラ
AcraneSystem
ご質問② 安全な扱いAcraneSystem16分

2026年の春〜夏に動いた「医療機関のセキュリティの前提」を、12のチャプターで整理した約16分の動画。

  1. 海外で起きた出来事と、日本政府の対応
  2. 「重要インフラ」と「基幹インフラ」の違い
  3. 2026年6月、医療分野が基幹インフラに追加された
  4. 厚労省「医療情報システムの安全管理に関するガイドライン」第7.0版との関係
  5. まとめ:これからは「守れているか」に加えて「説明できる状態か」が問われる

こんな使い方「誰が・いつ・何を承認したかを記録に残す」をおすすめした背景です。全部覚える必要はなく、流れをつかむ用に。

再生ボタンでこのページ内に動画が開きます。開かない場合は右のボタンからどうぞ。 YouTubeで開く ↗
Claude Codeの必須セキュリティ対策 / AIは万能ではない / 非エンジニアでも実践可能
ウェブ職TV@AIセキュリティ専門
ご質問③ AIの使い方ウェブ職TV@AIセキュリティ専門17分

CodexやClaude Codeを使い始めた人向けに、最低限のセキュリティ対策を6つにしぼった約17分の動画(エンジニアでなくてもOK)。

  1. 機密ファイルをAIから見えない場所に置く
  2. 作業履歴のファイルを消す
  3. APIキー(サービスの合鍵のようなもの)を直接書かない
  4. サンドボックス(AIが触れる範囲を区切る仕組み)を有効にする
  5. AIへの指示書ファイルを活用する
  6. 作業のたびに文脈をリセットする

こんな使い方すでにCodexをお使いなので「今の使い方で抜けがないか」のチェックリストに。まず①③④の3つだけでも。

再生ボタンでこのページ内に動画が開きます。開かない場合は右のボタンからどうぞ。 YouTubeで開く ↗
11:03から再生
社内向けアプリをGASで作ったら、爆速公開できた。
ジェネトピ|AIラジオ
ご質問① 技術的な可否ジェネトピ|AIラジオ19分17秒(11:03〜が該当)実演が分かりやすい

Claude Code×GAS(Googleスプレッドシート等を自動で動かす仕組み)で、サーバーもデータベースも用意せずに社内向けの小さなアプリを短時間で公開する実演(約19分)。

  1. 前半:経費精算アプリを作る事例
  2. 後半(11:03〜):ダッシュボードをAIに作らせる事例 ← 今回の「受診者マスター登録画面」に一番近い部分
  3. ポイントは「大がかりなシステムを最初から作らない」
  4. スプレッドシートを台帳代わりにして、その上に小さな入力画面を乗せる発想

こんな使い方院内で試すときの「まず動くものを小さく作る」空気感をつかむ用。ただし健診結果を扱うので、回答②の仮名化を必ず挟んでから。※こちらのリサーチで見つけた動画です。

再生ボタンでこのページ内に動画が開きます。開かない場合は右のボタンからどうぞ。 YouTubeで開く ↗
📝 note(5本)— カードをクリックすると記事に飛びます
法律要配慮個人情報とは

要配慮個人情報――「特に丁重に扱え」と法律が名指しした情報たち

ご質問② 安全な扱いくろ|AI副読ノート

「要配慮個人情報」とは何かを、法律の条文からかみ砕いて説明した記事。今回のご相談の出発点になる言葉です。

  1. 個人情報保護法は「漏れると差別や不利益につながりやすい情報」を要配慮個人情報として特別扱い
  2. 法律本文に6項目(人種・信条・社会的身分・病歴・犯罪の経歴・犯罪被害の事実)
  3. 施行令でさらに5項目を追加、合計11項目
  4. その中に「健康診断等の結果」「保健指導・診療・調剤の実施」がはっきり書かれている
  5. 「犯罪の経歴」と「刑事手続が行われたこと」は別物、などのコラムも読みやすい

こんな使い方健診結果PDFは「法律が名指しで慎重に、と言っている情報」。院内で説明を求められたときの根拠にこの記事を。

設計現場発AIアプリの受け入れ方

医療機関におけるバイブコーディング受け入れアーキテクチャ ― 2026年夏時点の設計メモ

ご質問④ 進め方がらむまさら(医療情報システム歴25年)

医療情報システム歴25年の方による「現場がAIで作った便利ツールを、情シスはどう受け入れるか」の設計メモ。鑪様の状況とほぼ同じ構図です。

  1. 出発点:「禁止しても現場は隠れて使うだけ」
  2. 怖さを4つに分解:患者データがPCに散らばる/誰が使ったか記録がない/作った人がいなくなると直せない/責任がはっきりしない
  3. 答え:アプリを1本ずつ審査せず、「データと認証の通り道」を情シスが用意する
  4. 具体的には、共通ログイン/読み取り専用のマスタ情報/現場アプリ用のデータ置き場、の3つを持つ院内共通の土台

こんな使い方少し硬い文章ですが、この先、院内(情シスや上長)に相談するときの「共通言語」になります。

構成クラウド・閉域・オンプレの選び方

医療機関の生成AI活用ガイド|患者情報を扱うクラウド・閉域・オンプレの選び方【2026年8月最新】

ご質問③ AIの使い方株式会社AIworker

「患者情報を扱うなら必ず院内サーバー(オンプレ)」ではなく、6つの軸で構成を選ぶ、という整理。2026年8月にガイドライン第7.0版を踏まえて更新済み。

  1. 判断の軸は6つ:目的/契約/保存場所/再委託先/アクセス権限/ログ
  2. その上で、クラウド/閉域(つながる先を限定)/オンプレを選ぶ
  3. 生成AIは検索・要約・下書きまで。診断や記録の確定は医療職が担う
  4. 小さな業務から試し、出典確認・誤回答時の停止・障害時の切り離しを決めてから電子カルテ連携へ
  5. ローカルLLM・RAGなどの用語説明も丁寧

こんな使い方回答③(役割分担)と④(小さく始める)の考え方の元になった記事。ご質問③を考える材料に。

事例院内AIの実例と費用感

医療機関のローカルLLM。3省2ガイドラインと院内オンプレAIの現在地

ご質問③ AIの使い方土門大貴/daikidomon

「院内に置いたAI(ローカルLLM)」という選択肢を、実際の病院の事例と費用感まで含めて整理した記事。

  1. 「ガイドラインが生成AIを禁止している」は誤読。決まっているのは「どこに置き、誰に委託し、どのネットワークで扱うか」の条件
  2. 織田病院(佐賀):退院時看護サマリー作成が平均16分 → 7分半
  3. 三重大学病院:電子カルテ要約を院内サーバーで実証
  4. 共通点:入口は文書作成・要約/患者情報は院内に閉じる/生成物は必ず人が最終確認
  5. 中小の医療機関は「患者情報を使わない用途から1台構成で」が現実的。費用はお試し規模で数百万円〜

こんな使い方「小さく始める」という提案の裏付け。将来「院内に置く」を検討するときの費用感の目安にも。

ひな形AI利用ルールのA4テンプレ

薬局のAI利用ルール、ゼロから作らなくていいです|A4一枚のひな形(Word編集可)つき

ご質問② 安全な扱いちろ|薬剤師

薬局向けですが、院内の「AI利用ルール」をA4一枚に落とし込むひな形(PDF/Word)付きの記事(有料・500円〜。前半は無料で読めます)。

  1. 夜遅くに患者さんの状況をAIに細かく入力してしまう架空の場面から始まる
  2. 「名前を消したから大丈夫」が通用しない理由3つ:年齢・地域・病名の組み合わせで特定できる/病歴は扱いが厳しい(要配慮個人情報)/入力=外部への提供とみなされることがある
  3. 2026年7月公布の改正個人情報保護法(課徴金の導入)にも言及
  4. 日本病院薬剤師会の生成AI利活用ガイダンスも紹介

こんな使い方回答②の「運用ルールの文書化」をゼロから作らずに済ませたいときの叩き台。無料部分だけでも一読の価値があります。

🌐 Web記事(5本)— 「AIにRPAを作らせる」「カルテ画面のRPA化」の裏付け 🛠
Claude Code × PythonでRPA・業務自動化を実現する完全ガイド2026(Aurant)
AIにPythonの自動操作プログラムを書かせて、自分のPCで動かす手順を通しで解説。今回の「やり方B」の教科書的な記事。
aurant-technologies.com/blog/blog-python-rpa/
🛠
Claude Codeで実現する業務自動化 ― 小さい会社の5つの実践例(Zenn)
業務の流れを口で説明すればAIがスクリプトを書いてくれる、という小規模事業所の実例集。少人数の職場でも回せる感覚がつかめます。
zenn.dev/frsk/articles/claude-code-automation-recipes-2026
🏥
RPAで自動化できる医療現場の業務5選(NTT東日本)
外部検査機関の結果データのダウンロード→患者フォルダ格納→電子カルテへの紐付けは、RPAの典型例として紹介されています。
business.ntt-east.co.jp/content/digital-work/column/rpa-automatic-medical-care/
🏥
医療業界(病院・診療所)のRPA導入 成功事例7選(RoboTANGO)
済生会熊本病院の「定期健診の予約リスト1,829名分の登録で46時間削減」など、健診まわりの入力業務をRPA化した実例。
robotango.biz/knowledge/rpa-medical/
🖥
OpenAI Codex App入門 ― Computer Use・内蔵ブラウザで広がるデスクトップAI(Zenn)
「やり方A」にあたる、Codexが自分でアプリを操作する機能の現状。便利ですが、患者情報の画面には使わない前提でお読みください。
zenn.dev/kai_kou/articles/239-codex-mac-computer-use-memory-guide

これまでにお渡しした資料