コラム第923号：「医療生成AIのサイバーセキュリティと医療安全管理」

第923号コラム：江原　悠介 理事（一般社団法人 Health ISAC Japan 事務局長）
題：医療生成AIのサイバーセキュリティと医療安全管理

　近年、国内の医療機関において生成AIの導入は急速に進展している。当初は診療記録の要約、紹介状作成支援、議事録作成、統計資料の整理といった、いわば「間接業務」における活用が中心であった。これらは医療の質そのものに直接影響を与えるものではなく、業務効率化の文脈で受容されてきた。しかし現在では、電子カルテや各種部門システムへの生成AIの組込みが進み、診療支援、鑑別診断の候補提示、オーダー補助など、臨床判断に直接関与し得る「中核領域」へと活用範囲が拡張している。この変化は生成AIが医療業務の周辺から中核領域への移行を意味する。生成AIはもはや単なる効率化ツールではなく、診療行為に影響を与える、一つの情報主体として捉える必要がある。
　こうした変化の背景には、医療現場における抜き差しならぬ課題が関係している。令和8年度診療報酬改定において、医療事務作業補助体制加算において生成AIの活用を前提とした人員配置要件の緩和が示された。これは単なる技術導入の容認にとどまらず、人的資源の代替としてのAI活用を政策的に後押しするものである。医師の働き方改革に伴う時間外労働規制、慢性的な医療人材不足、地域医療の維持困難といった状況を踏まえれば、生成AIの導入は単なる可能な選択肢の一つではなく、不可避の必然というべきである。
　さらに、医療DX体制加算の見直しにより電子的情報連携体制整備加算が新設され、従来の診療録管理体制加算に含まれていたサイバーセキュリティ管理要件がこの新要件へ統合された。この要件の改編は医療情報システムにおけるセキュリティがデータ管理上の付随要件ではなく、医療DXの前提条件であることを明確にした点で重要である。生成AIの導入は、その有効性を享受するための医療安全管理上の前提として、サイバーリスク管理が必須であることが制度的に示されたと考えるべきである。
　なお、この要件では厚生労働省「医療情報システムの安全管理に関するガイドライン」への準拠が、生成AI導入においても医療安全管理の一環として求められている。ただし、ここで留意すべきは、生成AIのリスク構造が従来の医療情報システムのそれとは質的に異なる点である。従来の医療情報システムにおけるリスク管理は、保管された医療データの信頼性を守ること、すなわち、入力後のデータをいかに保護するかが中心であった。これに対し、生成AIにおいては、リスクの最大の発生源は入力時点、つまり、どのような情報をどのような文脈でAIに与えるかにある。このリスクの管理の仕方によって出力の品質はもちろん、その結果に基づき実施される医療行為も影響を受けることになる。こうした点は従来の安全管理ガイドラインの延長線上では十分にカバーしきれない領域であり、生成AI固有のリスクマネジメント領域である。この領域ではすでに様々な官民団体がガイドラインやチェックリストを公開しているが、生成AIのサプライヤー向けのものが中心であり、医療機関向けのものは未だ少ないため、今後の検討・策定が必要といえる。
　また、国内の医療機関では技術の導入が先行し、後追い型でセキュリティ対策を強いられ、混乱するケースが非常に多い。背景として、2000年代の情報革命を起点とした電子カルテの浸透・普及以降、多くの医療機関では、部門システムや外部サービスが個別最適の形で順次導入・定着していくなかで、2020年代前半の医療サイバー被害の続発を受け、急遽サイバーセキュリティ対策への対応に追われることになった。結果、すでに現場に定着している、既存システムを前提とした業務プロセスを維持したまま、組織統一的なセキュリティルールを導入しようとすることが現場に大きな混乱がもたらし、それは現在まで続いている課題となっている。こうした課題が生成AI導入のなかで発生するとなれば、現場影響はより深刻になるといえる。なぜなら、生成AIはデータ処理・管理ツールではなく、意思決定に影響を与える情報主体・生成メカニズムであり、そのため医療業務プロセスにも深く組み込まれざるをえないからである。生成AIの導入スピードに対して、セキュリティ統制の設計が後手に回れば、結果的に医療現場が混乱・負荷を引き受けることになり、本来の導入目的とは正反対の状況がもたらされかねない。
　したがって、医療機関における生成AIの導入における重要なポイントは、個別導入に先行する形での組織的なセキュリティルールの確立と、そのルールのもとで、入力統制を中心とした技術的対策を検討・推進していくプロセスの整備といえる。こうした対応を通して、生成AIの利活用は単なる短期的な業務効率化にとどまらず、中長期的な観点で、医療現場の人材不足等を解決し、医療安全管理の高度化に資する技術となりうる。適切な組織的なガバナンスのもとで生成AIが管理されることで、ヒューマンエラーの低減、情報共有の質の向上、意思決定支援の強化等、医療の質への貢献も可能となる。安全な利活用と管理に向け、特有のリスク構造を押さえた組織的なセキュリティガバナンスの確立こそが、医療提供体制を支える基盤技術としての医療生成AIを持続的に活用していくための、医療安全管理上の重要な第一歩となるはずである。

※著作権は、江原氏に属します。
※本稿は筆者の見解であり、IDFの見解を示すものではありません。