生成AIで仕事の案を考えたいのに、「個人情報が心配」という話で止まり、何なら使ってよいのか分からない。便利さを感じて使う機会が増えても、施設の方針をまだ話し合っていなければ、誤った回答が出たときに誰へ確認すればよいのか迷います。使いたい気持ちと、判断を一人で背負いたくない気持ちは、両方あってよいものです。
名前や住所を入れない、公開する文章は上長に見てもらう。そうした条件を設けて活用したいと思っても、禁止する情報の範囲や確認者が曖昧なままでは、次の場面でまた迷います。規程を作るだけで、忙しい職員に判断の基準まで伝わるのかという難しさも残ります。
この記事では、施設が許可・保留を判断するために決める項目を整理します。次に使う前に、対象業務・利用環境・確認先の何が未決定なのかを確かめるところから始めましょう。
この記事を読むと分かること
- 許可と保留の考え方
- 施設で決める利用条件
- 確認者と相談先の分け方
- 試行後の見直し方
一つでも当てはまったら、この記事が役に立ちます
介護施設の生成AIは、管理できる条件をそろえて許可する
全面禁止か自由利用かの二択にせず、対象業務・入力制限・確認者・報告先を決め、管理できる範囲で許可を検討します。未決定の範囲は保留にします。
出典・根拠を確認
デジタル時代の人材政策に関する検討会生成AI時代のDX推進に必要な人材・スキルの考え方2024 ～変革のための生成AIへの向き合い方～
https://www.meti.go.jp/press/2024/06/20240628006/20240628006-b.pdf
生成AIに付随するリスクを抑えるためには、組織単位で利活用に当たっての機密情報や個人情報の取扱等のガイドラインを定める必要がある。利用者の利活用を阻害しない範囲におけるシステム側での工夫によりデータ流出などの問題が発生しにくい状態にすることも重要となる。
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
医療・介護関係事業者は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築するものとする。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
導入目的に応じて、スコープ（対象ユーザ・実装機能）を決定することが重要です。ユーザの利用頻度や実装する機能によって、生成AIの構築・維持にかかるコストに大きな差が生まれます。そのため、スコープを適切に設定することは、生成AI導入リスクの低減に繋がります。また、初期段階では、スコープを絞り、スモールスタートとして導入することで、対象部署やユーザ数、ユーザ1人当たりの利用頻度を検証し、導入コストを精査する機会にもなります。導入目的に応じたスコープを決定しましょう。
「個人情報さえ入れなければ使ってよいのでは」と思っても、施設として誰が判断するのかが分からないと、利用する職員も落ち着きません。ここでは、施設が決める条件と、現場から確かめる項目を整理します。
現場では、入力情報を制限しながら自由に活用したいという考えと、職員ごとに判断が分かれることへの心配が並びます。施設ブログなら上長が確認すると決めても、別の業務まで同じ扱いなのかは迷うところです。利用した職員を確認の起点にしつつ、承認する人と相談を受ける人を決める、という形で利用前の確認につなげます。
以下は、施設内で利用条件を話し合うための整理例です。導入手順の参考とする2024年7月のプロジェクト成果は、IPAの公式見解ではなく、資料が定めた2年間の有効期間も経過しています。現在の安全基準や利用許可を保証するものではありません。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
本書に記載の内容は、独立行政法人情報処理推進機構および産業サイバーセキュリティセンターの意見を代表するものではなく、著者の見解に基づいています。本書の利用によるトラブルに対し、本書著者ならびに監修者は一切の責任を負わないものとします。本書の有効期限は、発行日から2年間とします。
許可・保留・限定試行・禁止を使い分ける
現場では、使いたい業務があるのに「認めるか、認めないか」だけの話になり、何を準備すれば進められるのか見えないことがあります。許可できない理由が利用環境なのか、入力する情報なのか、確認する人の不在なのかを分ければ、次に確かめる対象がはっきりします。
施設で話し合う際は、次のように対象業務ごとに扱いを決める案が考えられます。全国共通の区分や、条件を満たせば自動的に安全となる基準ではありません。
| 扱い | 施設で決める内容 |
|---|---|
| 条件付き許可 | 対象業務と利用条件を明示し、その範囲内で認めます。 |
| 一時保留 | 未確認の条件と、確認・判断する担当者を明らかにします。 |
| 限定的な試行 | 業務・利用者・入力情報の範囲を絞り、結果を評価します。 |
| 禁止・停止 | 施設の禁止事項に当たる用途や、条件を守れない利用を止める扱いを決めます。 |
施設全体での利用を保留する場合も、「何が未確認か」を残します。職員はその範囲を自己判断で広げず、使いたい業務を判断者へ伝えます。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
導入目的に応じて、スコープ（対象ユーザ・実装機能）を決定することが重要です。ユーザの利用頻度や実装する機能によって、生成AIの構築・維持にかかるコストに大きな差が生まれます。そのため、スコープを適切に設定することは、生成AI導入リスクの低減に繋がります。また、初期段階では、スコープを絞り、スモールスタートとして導入することで、対象部署やユーザ数、ユーザ1人当たりの利用頻度を検証し、導入コストを精査する機会にもなります。導入目的に応じたスコープを決定しましょう。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
生成AIを実装する前には、生成AIユーザのための利活用ガイドラインを策定することも重要です。ユーザに生成AIを安全かつ効率的に利用してもらうため、利用する上での禁止事項や入出力内容の取扱いに関する注意点、目的の出力を生成するために考慮すべき点などを利活用ガイドラインに盛り込む必要があります（ガイドラインの具体的な内容については4.1を参照してください）。また、ここで作成するガイドラインは導入担当者だけではなく、運用担当者と連携し、協力して作成することが重要です。両担当者の視点から、自社の状況に合った運用可能なガイドラインを策定することが求められます。
利用する環境と入力禁止情報を施設で決める
氏名・住所・家族構成を入れないようにしたい。その考えを共通のガイドラインにする段階では、禁止する情報をどこまで示すか、どの利用環境を認めるかが迷いになります。名前の有無だけで判断しないためにも、職員が参照できる条件を施設として整理する必要があります。
運用案として、まず利用目的と対象業務を決め、続けて使えるツール・アカウント・端末、入力してはいけない情報を確認項目にします。氏名・住所・家族構成は入力禁止を考える例であり、これだけ避ければよいという一覧ではありません。
組織単位の情報取扱いルールに加え、利用環境側の対応も確認するという考え方が、2024年の人材政策の検討資料に示されています。判断できない情報や利用方法は、使う前に施設の担当者へ相談する範囲として残します。
出典・根拠を確認
デジタル時代の人材政策に関する検討会生成AI時代のDX推進に必要な人材・スキルの考え方2024 ～変革のための生成AIへの向き合い方～
https://www.meti.go.jp/press/2024/06/20240628006/20240628006-b.pdf
生成AIに付随するリスクを抑えるためには、組織単位で利活用に当たっての機密情報や個人情報の取扱等のガイドラインを定める必要がある。利用者の利活用を阻害しない範囲におけるシステム側での工夫によりデータ流出などの問題が発生しにくい状態にすることも重要となる。
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
「個人情報」とは、生存する「個人に関する情報」であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）又は個人識別符号が含まれるものをいう。「個人に関する情報」は、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているか否かを問わない。
- 施設の方針を確認したうえで、自分がAIを使う前後に何を見るのかまで整理したい場合は、入力情報、出力の確認、責任範囲を扱う記事も確認できます。
- 詳しくは、介護現場でAIを使っても大丈夫？個人情報・記録・責任範囲の注意点で確認できます。
確認者と相談・報告先を利用前に決める
AIを使った職員が確認することには納得できても、公開してよいか、例外的な使い方を認めるかまで一人で決めるのは別の話です。リーダーや主任に相談したいとき、誰が何を判断するかが曖昧だと、職員も受ける側も迷います。確認と承認、問題の報告を分けて考えます。
例えば、利用した職員が出力を確認し、施設ブログは上長が公開前に確認するという運用案です。既存ルールにない利用希望の承認者、入力情報に迷うときの相談先、問題発生時の報告先も施設で定めます。
誤入力や出力の問題が分かった場合には、誰へ報告し、誰が利用停止・再開や条件変更を判断するかを明記する案が考えられます。これは運用上の役割分担であり、職員や主任の法的責任を一律に決めるものではありません。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
生成AIの導入において、NISTのAIRMFでは、生成AIを含めたAIの導入におけるライフサイクルの関係者（AIActor）が定義されており、それらを参考に関係者を洗い出し、各関係者の責任範囲を明確化することが重要です。以下に想定される関係者や立ち位置について記載します。
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。（Ⅳ１７．参照）
利用を認める範囲、未確認で保留する範囲、禁止事項を業務ごとに整理します。次の利用前に、使える環境と入力情報、確認者・相談先が決まっているかを施設の判断者へ確かめることが出発点です。
生成AIの利用方針で迷う現場の3つの場面
現場では、生成AIを使いたい気持ちがあっても、施設の方針が見えずに立ち止まる場面があります。活用に前向きな職員にも、決まりがないことへの不安はあります。
仕事の案を考えるときに使う機会が増えても、職場で利用方針を話題にしたことがなければ、どこまで認められているのかは曖昧なままです。利用条件を決めようとしても、入力禁止情報の説明、成果物を確認する人、迷ったときの相談先まで一度に整理するのは簡単ではありません。規程を完成させても、その文章を読んだ職員が目の前の業務で判断できるかという難しさが残ります。そこで、利用が始まっている場面、外部へ公開する場面、職員へ方針を伝える場面に分け、施設として何を確認するかを見ていきます。
日常的に使っているが、職場で方針を話し合っていない
仕事に使える便利さを感じている一方で、施設内では利用方針をまだ話し合っていない。そんな状態では、使う頻度が増えるほど、誤入力や回答の誤りがあったときにどこへ相談すればよいのか気になります。問題が起きた実績がなくても、利用している業務と、施設として決まっていない条件を話題にすることはできます。
使われていることと、施設が利用条件を確認していることは同じではありません。導入資料は、職員の利用ニーズを確かめ、目的を定めることを示しています。
施設側は「何に使いたいか」「どの範囲で使うか」を確認し、入力と出力の取扱いをルールにする、という順で整理できます。職員からは使いたい業務を伝え、承認された範囲が不明な部分は判断者に確かめます。
話し合っていないという状況だけで、職員が隠れて使っている、禁止を破っていると決め付ける必要はありません。まず確認するのは、利用の目的と条件です。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
構想策定において、従業員に対する生成AI利用のニーズ調査は導入目的を明確にするために重要な要素となるため、早期に実施することを推奨します。生成AIは汎用性が高く、多彩な用途に利用可能な技術です。ただし、現場のニーズを正しく理解できていない場合、適切な導入目的の設定ができず、生成AIを導入しても従業員による活用が進まず、期待した効果が得られない原因になります。そのため、従業員が生成AI導入でどのような効果を求めているのかをアンケートや有識者のヒアリング等で調査し、従業員のニーズに基づいた適切な導入目的の設定が求められます。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
生成AIを実装する前には、生成AIユーザのための利活用ガイドラインを策定することも重要です。ユーザに生成AIを安全かつ効率的に利用してもらうため、利用する上での禁止事項や入出力内容の取扱いに関する注意点、目的の出力を生成するために考慮すべき点などを利活用ガイドラインに盛り込む必要があります（ガイドラインの具体的な内容については4.1を参照してください）。また、ここで作成するガイドラインは導入担当者だけではなく、運用担当者と連携し、協力して作成することが重要です。両担当者の視点から、自社の状況に合った運用可能なガイドラインを策定することが求められます。
- 利用の可否だけでなく、「人が担う仕事まで任せていないか」という疑問も話し合いたい場合は、文章整理と判断・説明・関係づくりの境界を扱う記事が参考になります。
- 詳しくは、介護でAIを使うとケアが冷たくなる？人にしかできない仕事との分け方で確認できます。
施設ブログを作れても、公開前の確認者が決まっていない
施設ブログの文章が整ったとき、これで公開してよいのか、それとも上長に確認してもらうのか迷います。AIを使った職員が読み直したとしても、施設として外部へ出す文章の承認まで済んだのかは別に確かめたいところです。文章を作る段階と、公開を判断する段階の担当を分けると、相談する相手を具体的にできます。
AIの生成物には、事実と異なる内容が含まれる可能性があると導入資料は説明しています。したがって、文章として整っていることを、そのまま正確さの確認に置き換えないことが必要です。
運用例は「使った職員が内容を確認し、施設ブログは上長が公開前に確認する」です。どの成果物で誰の確認を必要とするかは、施設の業務と権限に合わせて決めます。
レクリエーション企画や業務改善案まで、すべて上長確認にするかは別の判断項目です。ここでは確認不要とも必須とも決めず、施設で利用範囲と担当者を整理する対象とします。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
生成AIが提供する生成物には誤りが含まれる可能性があります。特に、生成物が現実には存在しない情報や事実と異なる内容を含む場合があるため、常にその正確性を確認する必要があります。ハルシネーションの軽減策として、例えばRAGを活用する方法などが知られていますが、完全に解消することはできないため、重ねてユーザに周知することが重要です。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
本項で述べた関係者は、あくまで一例となります。実際の要件定義時には、各担当者も含む関係者の整理および責任範囲の明確化の協議が重要です。
- 施設ブログについて、文章を整える工程と公開前に確認する工程を分けて考えたい場合は、職員が用意する素材と、責任者へ戻す判断を扱う記事で具体例を確認できます。
- 詳しくは、介護施設ブログをAIで作るときのコツ｜家族に伝わる文章にする入力例で確認できます。
利用規程を配ったが、迷ったときの相談先が伝わっていない
利用規程を用意しても、日々のケアに追われる職員が、条文を読んですぐ自分の業務に当てはめられるかは気になるところです。禁止事項を並べるだけでは、使ってよい場面や判断を止める場面が分からないままではないか、という懸念も残ります。規程の完成と、職員が判断に使える説明の用意を分けて考えます。
運用担当者には、利用ルールを定めて職員に周知する役割があります。介護事業者向けの個人情報ガイダンスでも、職員への教育研修や、問題発生時の報告連絡体制が扱われています。
伝え方の案として、認める利用、禁止する利用、判断に迷ったときの相談先を、職員が実際に使う場面に沿って説明します。誤入力に気付いたときは、どの責任者へ報告するかも具体的に示します。
資料を配布したことだけで、全員の理解や遵守まで確認できたとはしません。規程の内容に関する疑問を受ける担当者を決め、分からない点が残っていないか確かめます。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
運用担当者組織において生成AIの維持・運用を担当する従業員を指します。具体的には、組織における生成AIの安全な利活用のためのガイドライン・利用ポリシー・規定などを制定し、ユーザに周知を行います。
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
⑤従業者に対する教育研修の実施・取り扱う個人データの適切な保護が確保されるよう、従業者に対する教育研修の実施等により、個人データを実際の業務で取り扱うこととなる従業者の啓発を図り、従業者の個人情報保護意識を徹底する。
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。（Ⅳ１７．参照）
- ルールを配った後も「どこを見ればよいか分からない」という疑問が残る場合は、置き場所、読みやすさ、現場とのずれを分けて扱うマニュアル運用の記事も確認できます。
- 詳しくは、介護マニュアルがあるのに職員が使わないのはなぜ？現場で使える運用の見直し方で確認できます。
利用が先に進んだ場面では目的と条件、公開物では確認と承認の担当、周知では迷ったときの相談先を確かめます。職員の態度を評価する前に、その業務のどこが未決定なのかを具体的に確認します。
介護の仕事と暮らしを、ちょっと良くする選択肢
働き方を見直したいときや、毎日の負担を減らしたいときに役立つサービス・商品を紹介します。
なぜ「個人情報に注意」だけでは生成AIを許可できないのか
名前や住所に注意し、回答も確認するつもりなのに、施設として認めてよいか決めきれないことがあります。入力する情報と、使った後の確認、組織の判断にはそれぞれ確認点があります。ここでは、その違いを整理します。
現場では、個人情報を入れなければ自由に使いたいという意向がある一方、どこまでを禁止情報にするかで迷います。上長確認を設ける案にも、何をどこまで確認してもらうかという課題が残ります。注意点を増やすだけで解決したことにせず、判断の範囲と担当者を利用前に確かめる方向へつなげます。
氏名を外しても、個人を識別できる情報は残り得る
入力禁止の例として氏名・住所・家族構成を挙げても、それ以外は入れてよいのかという迷いが残ります。列挙された項目だけを見ると判断しやすそうですが、名前を外した情報を誰が確認するかも決めたいところです。職員ごとの感覚に任せず、迷う情報を相談する範囲を施設で示します。
個人情報ガイダンスは、ほかの情報と容易に照合して個人を識別できるものも個人情報に含めています。また、個人に関する情報は氏名や住所に限らず、身体や属性に関する情報、評価、映像、音声などにも及びます。
「氏名を消せばよい」という分かりやすさだけを優先すると、資料が示す範囲を取りこぼします。施設の入力禁止情報は、例示だけを安全の境界にせず、識別につながる情報も含めて考える必要があります。
ここでは情報を加工する方法には踏み込みません。入力してよいか判断できないときに、誰へ確認するかを決めることが対象です。
出典・根拠を確認
個人情報保護委員会・厚生労働省医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
「個人情報」とは、生存する「個人に関する情報」であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）又は個人識別符号が含まれるものをいう。「個人に関する情報」は、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているか否かを問わない。
- AIへの入力とは別に、介護記録を施設内で使う場面と、家族など外部へ渡す場面の違いも整理したい場合は、利用目的や判断を担当者へつなぐ場面を扱う記事で確認できます。
- 詳しくは、介護記録の個人情報はどこまで使える？施設内利用と外部提供の違いで確認できます。
職員の出力確認と、施設の管理体制は役割が異なる
使った職員が確認する方針はあっても、「何かあったら全部その人が対応するのか」と考えると不安が残ります。反対に、主任や上長があらゆる出力を見る案では、その確認を誰が担えるのかも話し合う必要があります。職員の確認と施設の体制を、一方だけに寄せずに整理します。
AIの回答の正確さを確かめることと、個人情報の取扱いを統括する組織・責任体制を設けることは、扱う範囲が異なります。
| 確認の範囲 | 施設で整理する役割 |
|---|---|
| その出力を使えるか | 利用した職員などが内容を確認する担当です。 |
| 組織としてどう管理するか | 規則や安全管理、問題への対応を統括する担当です。 |
上長確認を設けたことだけで、誤りがなくなるとは言えません。職員の確認をなくすのではなく、公開などの判断を誰へ引き継ぐかを業務ごとに決めます。「本人だけ」「主任だけ」で完結させる運用にしない、という整理です。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
生成AIが提供する生成物には誤りが含まれる可能性があります。特に、生成物が現実には存在しない情報や事実と異なる内容を含む場合があるため、常にその正確性を確認する必要があります。ハルシネーションの軽減策として、例えばRAGを活用する方法などが知られていますが、完全に解消することはできないため、重ねてユーザに周知することが重要です。
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
医療・介護関係事業者は、個人情報の適正な取扱いを推進し、漏えい等の問題に対処する体制を整備する必要がある。このため、個人情報の取扱いに関し、専門性と指導性を有し、事業者の全体を統括する組織体制・責任体制を構築し、規則の策定や安全管理措置の計画立案等を効果的に実施できる体制を構築するものとする。
- 役割分担を介護記録の工程に当てはめて考えたい場合は、観察、事実メモ、AIによる文章整理、元メモとの照合、正式記録の確定を分けた記事で、具体的な整理を確認できます。
- 詳しくは、介護記録をAIにどこまで任せていい？AIに任せる工程と人が確認する工程の分け方で確認できます。
試して終わりでは、利用範囲を広げる判断ができない
限定した業務で使ってみた後、別の仕事にも広げてよいか迷う場面があります。便利だったという感想はあっても、職員がどこで判断に困ったか、利用条件に足りない点がなかったかを確かめたいところです。利用できたことと、次の範囲を認める判断を分けます。
導入資料では、初期に対象を絞ることと、利用者の反応を受けてルールを更新することが示されています。試行は、その後の条件を考えるための材料になります。
施設内での試行案では、対象業務と入力情報をあらかじめ限定します。例えば架空の内容で試す場合も、それだけで利用全体を認めたことにはせず、疑問や改善点を担当者へ返し、次に認める範囲を判断する形にします。
確認すべき条件が残れば、その部分は保留を続ける案になります。問題を受けて停止した利用の再開も、職員が個別に決めず、施設で決めた判断者が条件を見直す項目として扱います。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクトテキスト生成AIの導入・運用ガイドライン
導入目的に応じて、スコープ（対象ユーザ・実装機能）を決定することが重要です。ユーザの利用頻度や実装する機能によって、生成AIの構築・維持にかかるコストに大きな差が生まれます。そのため、スコープを適切に設定することは、生成AI導入リスクの低減に繋がります。また、初期段階では、スコープを絞り、スモールスタートとして導入することで、対象部署やユーザ数、ユーザ1人当たりの利用頻度を検証し、導入コストを精査する機会にもなります。導入目的に応じたスコープを決定しましょう。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
ユーザから得たフィードバックを基に内容を更新することで、利便性と安全性を考慮した利活用ガイドラインを整備することができます。
試した後の疑問や改善点を会議へ戻す際、何を振り返りの記録に残すか迷う場合は、改善策の実施後に「続ける・直す・やめる」を検討する記事で、整理の仕方を確認できます。
詳しくは、生産性向上委員会で改善策をどう振り返る効果を判断するために残す記録で確認できます。
入力情報の確認、出力を使う判断、施設の管理体制は、それぞれ確かめる範囲が異なります。試行後は便利さだけで範囲を広げず、職員の疑問と改善点を判断者へ戻し、利用条件を見直します。
介護の仕事と暮らしを、ちょっと良くする選択肢
働き方を見直したいときや、毎日の負担を減らしたいときに役立つサービス・商品を紹介します。
生成AIの許可・保留で迷ったときのFAQ
現場では、自分が使いたい業務を施設の方針に当てはめると、小さな迷いが残ることがあります。判断を急がず、何を確認するかを絞っていきましょう。
-
Q名前を消せば、施設の許可を待たず使ってよいですか？
-
A
名前を消しただけでは判断できません。ほかの情報と容易に照合して個人を識別できる場合もあります。入力情報に迷うときは、施設が定めた情報の取扱いルールを確認し、未決定の範囲を自己判断で広げないようにします。
出典・根拠を確認
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
「個人情報」とは、生存する「個人に関する情報」であって、当該情報に含まれる氏名、生年月日、その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができるものを含む。）又は個人識別符号が含まれるものをいう。「個人に関する情報」は、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報であり、評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているか否かを問わない。
デジタル時代の人材政策に関する検討会
生成AI時代のDX推進に必要な人材・スキルの考え方2024 ～変革のための生成AIへの向き合い方～
https://www.meti.go.jp/press/2024/06/20240628006/20240628006-b.pdf
生成AIに付随するリスクを抑えるためには、組織単位で利活用に当たっての機密情報や個人情報の取扱等のガイドラインを定める必要がある。利用者の利活用を阻害しない範囲におけるシステム側での工夫によりデータ流出などの問題が発生しにくい状態にすることも重要となる。
-
QAIの回答は、主任がすべて確認する決まりにするべきですか？
-
A
すべて主任が確認するという一律の決まりにはせず、施設で関係者と責任範囲を整理します。確認が主任に集中するか迷う場合も、まずは対象業務と確認する内容を具体化します。AIの回答自体の正確さを確かめる必要は残ります。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
本項で述べた関係者は、あくまで一例となります。実際の要件定義時には、各担当者も含む関係者の整理および責任範囲の明確化の協議が重要です。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
生成AIが提供する生成物には誤りが含まれる可能性があります。特に、生成物が現実には存在しない情報や事実と異なる内容を含む場合があるため、常にその正確性を確認する必要があります。ハルシネーションの軽減策として、例えばRAGを活用する方法などが知られていますが、完全に解消することはできないため、重ねてユーザに周知することが重要です。
-
Q個人情報を入力したかもしれないとき、誰に伝えますか？
-
A
施設が定めた責任者などの報告先へ伝えます。個人情報ガイダンスは、漏えい等の事故やその可能性が高い場合、規程違反の事実や兆候が高い場合の報告連絡体制を示しています。報告先が分からないという迷いを残さないよう、利用前に連絡先を確かめておくことが運用上の確認点です。
出典・根拠を確認
個人情報保護委員会・厚生労働省
医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス
https://www.mhlw.go.jp/content/001470633.pdf
③個人データの漏えい等の問題が発生した場合等における報告連絡体制の整備・１）個人データの漏えい等の事故が発生した場合、又は発生の可能性が高いと判断した場合、２）個人データの取扱いに関する規程等に違反している事実が生じた場合、又は兆候が高いと判断した場合における責任者等への報告連絡体制の整備を行う。・個人データの漏えい等の情報は、苦情等の一環として、外部から報告される場合も想定されることから、苦情への対応を行う体制との連携も図る。（Ⅳ１７．参照）
-
Q限定的な試行の後、何を見直しますか？
-
A
試した範囲と利用者からの疑問・改善点を確認し、利用ルールを見直します。別の業務にも広げたいときは、最初に限定した対象と条件を確認します。便利だったという感想だけで、未確認の利用範囲まで広げる判断はしません。
出典・根拠を確認
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
導入目的に応じて、スコープ（対象ユーザ・実装機能）を決定することが重要です。ユーザの利用頻度や実装する機能によって、生成AIの構築・維持にかかるコストに大きな差が生まれます。そのため、スコープを適切に設定することは、生成AI導入リスクの低減に繋がります。また、初期段階では、スコープを絞り、スモールスタートとして導入することで、対象部署やユーザ数、ユーザ1人当たりの利用頻度を検証し、導入コストを精査する機会にもなります。導入目的に応じたスコープを決定しましょう。
独立行政法人情報処理推進機構 産業サイバーセキュリティセンター 中核人材育成プログラム7期生 生成AIのセキュリティリスクと対策プロジェクト
テキスト生成AIの導入・運用ガイドライン
ユーザから得たフィードバックを基に内容を更新することで、利便性と安全性を考慮した利活用ガイドラインを整備することができます。
名前の有無だけで入力可否を判断せず、確認役と報告先を利用前に確かめます。試行後も、最初に決めた範囲と残った疑問を担当者へ戻し、次に認める条件を施設として判断します。
あなたの負担を減らすおすすめ記事
人間関係や職場環境に悩んでいる方は、こちらの記事も参考にしてください。
使いたい業務と未決定の条件を、施設の判断者へ伝える
現場では、生成AIを役立てたいと思っても、施設全体の方針がすぐに決まらず、使ってよいか迷うことがあります。一度にすべてを決めようとせず、まずは使いたい業務で何が未決定かを確かめるところから始められます。
生成AIの利用可否は、入力禁止情報だけでなく、利用環境、成果物の確認者、相談・報告先を含めて考えるものです。準備が整った範囲で許可や試行を判断し、未確認の範囲は保留するという整理ができます。
次に利用する前に、使いたい業務と、使用環境・確認者・相談先の未決定事項を、施設の判断者へ伝えてください。自分だけで利用範囲を広げず、確認する対象を具体的にすることが最初の一歩です。
最後までご覧いただきありがとうございます。
更新履歴
- 2026年3月18日：新規投稿
- 2026年10月13日：内容を全面的にリライト