ローカルLLMは本当に必須か？医療情報ガイドライン第7.0版から読み解く、医療機関の安全な生成AI活用

生成AIの業務活用が広がるなか、医療機関でも紹介状や診療情報提供書の下書き、問診内容の要約、院内マニュアルの検索など、AIで効率化したい業務が増えています。一方で、患者情報という極めて機微なデータを扱う以上、「どのAIなら使ってよいのか」という判断は簡単ではありません。

最近SNSでは、「患者情報はAIに渡してはいけない。だからクリニックが使うべきAIはChatGPTでもGeminiでもClaudeでもなく、ローカルLLMだ」という主張も見かけます。患者情報を守るという問題意識はもっともですが、この結論には誤解も含まれています。本記事では、厚生労働省のガイドライン第7.0版を手がかりに、医療機関が現実的にAIを活用するための考え方を整理します。

なぜ「患者情報はAIに渡せない」と言われるのか

医療機関がAIの利用に慎重になる背景には、医療情報そのものの性質と、管理されていない形でのAI利用が広がっているという現実があります。

医療情報は「要配慮個人情報」

病歴や診療記録などの医療情報は、個人情報保護法で「要配慮個人情報」に位置づけられています。本人の同意なく取得したり第三者に提供したりすることが原則として禁じられており、漏えいした場合の影響も大きい情報です。

さらに医療機関には、医師や看護師などの守秘義務もあります。情報がどのような仕組みで外部に送られ、どこに保存され、誰がアクセスできるのかを説明できない状態でAIを使うことは、法令面でも、患者との信頼関係の面でも大きなリスクになります。

個人向け生成AIに入力するリスク

特に注意が必要なのは、職員が個人のアカウントで無料の生成AIサービスを使い、カルテの内容をそのまま貼り付けるケースです。個人向けプランでは入力データの扱いを組織として契約や設定で管理できず、サービスによっては入力内容がモデルの改善に使われる設定が初期状態になっていることもあります。

また、誰がいつ何を入力したかを医療機関側で記録・監査できないため、万が一の際に影響範囲を把握することも困難です。「患者情報をAIに渡してはいけない」という主張は、こうした管理されていない利用への警鐘としては正しいと言えます。

ガイドライン第7.0版が医療機関に求めていること

では、国のルールは医療機関のAI利用をどう位置づけているのでしょうか。結論から言えば、ガイドラインはクラウドやAIの利用を禁止しておらず、安全に使うための管理を求めています。

クラウド利用は「禁止」ではなく「管理」の問題

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、2026年6月29日の通知で第7.0版が策定されました。改定の背景としては、ランサムウェアなどによる医療機関へのサイバー攻撃が続いていることに加え、生成AIをはじめとするAI・クラウドサービスで医療情報を扱う場面が広がっていることが挙げられています。

厚生労働省はクラウドネイティブ型の電子カルテを普及させる方針も示しており、ガイドラインはクラウドの利用そのものを否定していません。問われているのは、委託先の選定と管理、契約内容、アクセス制御、ログ管理、非常時の対応といった安全管理の実効性です。

保守委託機関編の新設と小規模クリニックへの影響

第7.0版では、従来の概説編・経営管理編・企画管理編・システム運用編に加えて、「保守委託機関編」が新設されました。専任のシステム担当者がいない小規模な医療機関を想定した編で、システムの保守やセキュリティ対策を外部に委託している場合に、医療機関として何を確認・管理すべきかが整理されています。

つまり、多くのクリニックにとっての現実的な姿は「すべてを院内で抱える」ことではなく、「信頼できる委託先を選び、適切に管理する」ことです。これはAIを導入する場合も同じです。

事業者向けの「2省ガイドライン」

医療情報を扱うシステムやサービスを提供する事業者に向けては、経済産業省と総務省による「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（2省ガイドライン）があり、2025年3月に改定されています。医療機関向けの厚生労働省のガイドラインと合わせて、「3省2ガイドライン」と呼ばれます。

AIサービスを医療機関に提供する事業者にも、このガイドラインに沿った安全管理が求められます。医療機関がAIサービスを選ぶ際には、提供事業者が2省ガイドラインへの対応状況を説明できるかどうかが、ひとつの判断材料になります。

ローカルLLMとクラウドAIを比較する

ローカルLLMとクラウドAIには、それぞれ明確な強みと限界があります。どちらか一方が絶対に正しいわけではありません。

ローカルLLMのメリットと限界

ローカルLLMとは、院内のPCやサーバーで動かす大規模言語モデルです。データが院外に出ないため、外部送信に伴うリスクを根本から避けられる点が最大のメリットです。MetaのLlamaをはじめとするオープンモデルの性能も向上しており、選択肢は広がっています。

一方で限界もあります。メモリ32GB程度のPCで動かせるのは中規模のモデルまでで、長文の要約や専門的な文書作成の精度は、クラウドで提供される最上位モデルに及ばない場合があります。また、OSの更新、バックアップ、モデルの更新、障害対応を院内の誰が担うのかという運用面の課題も残ります。

さらに、ランサムウェアなどの脅威は院内の機器にも及びます。ローカルに置いたからといって自動的に安全になるわけではなく、機器そのものの管理が不十分であれば、かえってリスクを高めることにもなりかねません。

クラウドAIのメリットと注意点

クラウドAIの強みは、最新・最上位のモデルを、機器の購入や保守なしで利用できることです。精度の高い文章生成や要約が求められる業務では、クラウドAIの性能が大きな価値を生みます。

ただし医療情報を扱う場合は、法人向けの契約で入力データが学習に使われないこと、データの保存場所や保存期間、アクセス権限の管理、利用ログの取得などを確認する必要があります。個人向けの無料プランを業務で使うことは避けるべきです。

ローカルLLMとクラウドAIの比較表

現実解は「仮名化×ハイブリッド構成」

ローカルLLMとクラウドAIのどちらか一方を選ぶのではなく、役割を分けて組み合わせる。それが、私たちが現実的だと考える構成です。

ローカルLLMを個人情報の「門番」として使う

ポイントは、ローカルLLMを「何でもこなすAI」ではなく、個人情報を守る門番として使うことです。氏名や患者ID、住所、生年月日などを見つけて別の記号に置き換える処理であれば、軽量なモデルでも十分にこなせます。

高い精度が求められる文章の生成や要約はクラウドAIに任せ、患者を特定できる情報は院外に出さない。この分担によって、性能と安全性を両立できます。

データ処理の流れ

1. 院内のローカルモデルが、入力文から氏名・ID・住所などを検出し、仮のコードに置き換える（仮名化）
2. 仮名化済みの文章だけを法人契約のクラウドAIに送り、要約や文書作成を行う
3. クラウドAIから戻った結果を院内で受け取り、仮のコードを元の情報に戻す
4. 対応表と利用ログは院内で管理し、誰がいつ利用したかを記録する

この流れであれば、クラウド側に渡るのは患者を特定できない状態の文章だけです。対応表は院内にのみ保存されるため、仮に送信データが漏えいしても、個人の特定にはつながりにくくなります。

ただし自由記述の文章には、珍しい病名や日付の組み合わせなど、氏名以外にも個人の特定につながる情報が含まれることがあります。マスキングのルールづくりや精度の検証、職員向けの運用ルールまで含めて設計することが重要です。

向いている業務と注意点

この構成が特に向いているのは、紹介状や診療情報提供書の下書き、問診内容や診療記録の要約、院内マニュアルや規程を検索して回答するQ&A、職員向けの文書作成支援などです。いずれも、医師や職員が最終的に内容を確認することを前提とした、事務・文書作業の支援です。

一方で、AIが診断や治療方針の判断を支援する用途に踏み込むと、医薬品医療機器等法（薬機法）上の「医療機器プログラム」に該当する可能性があります。まずは事務・文書作業の効率化から始め、適用範囲を慎重に見極めることが大切です。

VNEXTのLLM開発実績と医療分野での取り組み

VNEXTはベトナムを拠点にAI開発を手がけ、これまでに200件以上のAI開発プロジェクトを支援してきました。AIチームの7割超は、シニアレベルのエンジニアで構成されています。

生成AI・LLMの開発実績

大量の社内データを持つ企業向けには、OpenAIのGPT APIを既存システムに統合し、社内データの検索とデータ同士の関連付けを実現するAIナレッジアシスタント（V-Brainなど）を開発しました。検索精度の向上と手作業の削減により、コストを約70%削減した事例です。

また、システム開発の知識がない利用者が自然言語で要望を伝えるだけで、業務画面のレイアウト案とプレビューを生成するAIエージェントも開発しています。日本の顧客の業務フローや慣習に合った設計を、開発前に確認できる仕組みです。

医療分野での取り組み

医療分野では、大量の医学論文をAIで読み込み、薬の副作用などの情報を抽出して構造化データにする論文分析や、医療文献の仕分けを自動化する自然言語処理の開発に取り組んできました。

さらに、患者ごとの食事制限に合わせた献立の自動作成と、食材発注の最適化を行う病院向けのシステムも開発しています。廃棄の削減や栄養基準の遵守、厨房業務の効率化につながる取り組みです。

ローカルLLMにもクラウドAIにも対応できる技術力

VNEXTは、OpenAIのGPTなどのクラウドAIに加え、Meta LlamaやFalconといったオープンモデルを活用した開発にも対応しています。そのため、院内で動かすローカルLLMと法人契約のクラウドAIを組み合わせたハイブリッド構成を、要件に合わせて設計・開発できます。

VNEXTはISMS（ISO/IEC 27001）認証を取得しており、情報セキュリティポリシーに基づく管理体制のもとで開発を行っています。医療機関でのAI導入はもちろん、医療ITベンダーの製品へのLLM機能の組み込みについても、ガイドラインへの対応を見据えた設計から支援します。

まとめ

「ローカルLLMが必須」という主張は、患者情報を守るという意味では正しい問題意識です。しかし、それが唯一の答えではありません。ガイドライン第7.0版が求めているのは、クラウドを避けることではなく、委託先の管理やアクセス制御を含めた安全管理の実効性です。

仮名化を軸にローカルLLMとクラウドAIを組み合わせれば、患者を特定できる情報を院外に出さずに、クラウドAIの高い精度を活かせます。医療機関でのAI活用や、医療向けサービスへのLLM機能の組み込みをお考えの方は、ぜひVNEXTにご相談ください。