生成AIは医療現場にも急速に浸透し始めている。診療記録の要約や文書作成、音声文字起こし、情報検索など、多くの業務を効率化できることから、医師や医療スタッフの日常業務を支えるツールとして期待が高まっている。
しかし、その利便性と引き換えに、患者情報の取り扱いという新たな課題も浮上している。
米国では現在、医療分野におけるAI利用が拡大する中、生成AIへ個人の患者情報を入力してしまうことで、HIPAA（医療保険の携行性と責任に関する法律）違反や情報漏えいにつながるリスクが大きな懸念となっている。医療機関が長年築き上げてきた情報管理体制は、AIの急速な普及によって新たな局面を迎えている。
AIが変えた「患者情報」の管理環境
これまで患者情報は、電子カルテ（EHR）を中心とした閉じられた環境で管理されてきた。情報の送受信も暗号化メールや専用ネットワークなど、厳格なルールの下で運用されており、データがどこに存在し、誰がアクセスできるかを把握しやすい環境が整備されていた。
しかし生成AIは、その前提を大きく変えた。
現在ではチャット型AIや文字起こしAI、文書作成AIなど、多様なサービスが簡単に利用できるようになり、医療従事者も日常業務の中でAIを活用する場面が増えている。一方で、それらのツールがどのようなクラウド環境で運用され、どの企業のAIモデルを利用し、入力されたデータがどこへ保存されるのかを現場の職員が把握することは容易ではない。
利便性が高まるほど、患者情報が医療機関の管理範囲を越えて流通する可能性も高まっている。
最も危険なのは「悪意」ではなく日常業務
医療情報漏えいというと、サイバー攻撃や内部不正を思い浮かべる人が多い。
しかし専門家が最も警戒しているのは、日常業務の中で善意から行われるAI利用である。
例えば、診療内容を整理するために患者情報を個人アカウントの生成AIへ入力した場合、そのサービスが医療機関の承認を受けていなければ、患者情報の取り扱いについて十分な保証は得られない。
実際に患者情報が第三者へ流出する可能性は低いとしても、その時点で法令違反となる可能性がある。
医療従事者は一刻を争う現場で判断を迫られることも多く、「どのAIなら安全なのか」を毎回確認しながら業務を行うことは現実的ではない。だからこそ、個人の注意力だけに依存した情報管理には限界がある。
AI導入には「使わせない」ではなく「安全に使える環境」が必要
AI利用を全面的に禁止すれば、安全性は高まるかもしれない。
しかし、それでは業務効率化や医療の質向上というAI本来のメリットを失ってしまう。
重要なのは、医療従事者が自然に安全なAIを利用できる環境を整備することである。
近年ではMicrosoft CopilotやEpicなど、電子カルテと連携した生成AIの導入も進んでいる。こうした公式なサービスは、医療機関との契約やセキュリティ対策が整備されているケースが多く、いわゆる「シャドーAI（組織が把握していないAI利用）」を減らす効果も期待されている。
一方で、現場が求める性能と公式ツールの使いやすさが一致しなければ、職員はより便利な外部AIサービスへ流れてしまう可能性もある。
利便性と安全性の両立こそが、今後のAI活用における最大の課題となる。
AI時代の情報セキュリティは「人」だけでは守れない
これまで情報セキュリティ教育では、職員一人ひとりの意識向上が重視されてきた。
しかしAI時代では、それだけでは十分とは言えない。
現場の業務フローを理解したうえで、安全なAIサービスを提供し、利用ルールを分かりやすく伝え、誤った利用を防ぐ仕組みを整備することが重要になる。
生成AIは今後、診療支援や医療文書作成、遠隔医療など、あらゆる領域へ浸透していくと考えられる。
その可能性を最大限に生かすためには、AIを禁止するのではなく、医療現場の実情に合わせたガバナンスとセキュリティ体制を構築することが不可欠である。
医療DXが進むこれからの時代、AIの性能だけでなく、安全に活用できる環境そのものが、医療機関の競争力を左右する重要な要素となっていくだろう。
出典
Medical Economics
「What are the data security risks of using AI tools in healthcare?」
コメント