宮田浩行 宮田浩行 ブログ
未分類

介護施設の生成AI利用ルール｜5項目とひな形【コピペ可】

公開: 2026年7月21日

介護施設の生成AI利用ルール｜5項目とひな形【コピペ可】
※本記事は一般的な情報提供を目的としたものであり、個別の診断・治療に代わるものではありません。 症状や対応については、主治医・かかりつけ医、または専門の相談窓口にご相談ください。

「職員が個人のスマホで生成AIに記録を打ち込んでいるらしいが、うちにはルールがない」——施設長や管理者の方から、そんな相談を受けることが増えました。介護・障害福祉の現場を対象にしたある調査では、明確なAI利用ルールが整備されていない職場が8割にのぼっています。この記事では、看護師・介護福祉士として15年現場に携わってきた筆者が、施設として最低限決めるべき5つの項目と、そのままコピーして使えるルールのひな形を、個人情報保護法の要点とあわせて解説します。

なぜ介護施設に生成AIの利用ルールが必要なのか（シャドーAIの実態）

「使うな」ではなく「線引きがない」ことが問題

生成AIをめぐるヒヤリハットの多くは、職員の悪意から起きるわけではありません。「何を、どこまで入力していいか」を誰も決めていないことが原因になっているケースがほとんどです。

ここで最初に整理しておきたい点があります。介護施設や訪問看護ステーションは、利用者の病歴や要介護度を、サービス契約の時点ですでに適法に取得しています。つまり職員がその情報を生成AIに入力する行為で問われるのは、情報を「取得してよいか」ではありません。

**問われるのは、すでに持っている情報を外部のサービスにどう渡すかです。**具体的には、①その利用が、あらかじめ本人に示した利用目的の範囲内かどうか（範囲を超えれば目的外利用にあたります） ②外部のAI事業者にデータを渡すことが第三者提供や委託にあたらないか ③保存先が海外にある場合の扱い ④安全管理の措置を取れているか——という論点です。「すでに持っている情報だから自由に使える」という意味ではまったくない、という点に注意してください。

だからこそ本記事は、「使わせない」ではなく「安全に使える設計にする」という立場でルールの作り方を整理します。

職場に伝えず使っている人がすでにいる

「うちの施設では誰もAIなんて使っていない」と思っている施設長ほど、確認してみる価値があります。

株式会社パパゲーノの調査（2025年11月25日〜12月6日実施、n=184、Googleフォームによるオンライン調査）によると、「職場で明確なAI活用のガイドライン・ルールがある」と答えた人は19.8%にとどまりました。「ない」が69.1%、「分からない」が11.1%で、合わせて80.2%の職場で、ルールが整備されていないか、あっても職員に届いていないという結果です。

同じ調査では、生成AIを週3日以上利用している人が55.4%、個人の無料版AIを使っている人が44.4%、利用者記録の作成にAIを使っていると答えた人が48.2%にのぼりました。一方、生成AIの利用を上司に報告・相談している人は41.4%にとどまります。

なお、この調査は回答者の内訳が就労継続支援B型29.3%、就労移行支援15.2%、児童発達支援・放課後等デイサービス14.7%と障害福祉サービスが中心で、高齢者介護施設や訪問看護の比率は高くありません。任意回答のオンライン調査であり、調査主体も福祉向けAIサービスを手がける事業者です。数字をそのまま自施設に当てはめるのではなく、傾向をつかむ参考値としてご覧ください。

それでも、「現場での利用がすでに始まっているのに、施設側の把握が追いついていない」という構図自体は、私が相談を受ける実感とも一致しています。

現場で実際に起きる「迷い」

以前、複数の施設のスタッフから似た相談を受けたことがあります。申し送りメモを整理する際、「利用者さんの様子を分かりやすくまとめてほしい」とAIに頼みたいけれど、氏名や既往歴を書かずに伝えると意味が通じにくくなる——という悩みでした。

ある職員は、自己判断で情報を一部ぼかして入力していたそうです。悪気はまったくありません。ただ、「ここまでは大丈夫」という基準を、誰からも示されていなかっただけです。この「迷いながらの自己判断」があちこちで積み重なっている状態こそが、今のシャドーAI化の実態だと感じています。

生成AIの利用ルールで決めるべき5つの項目｜作り方の基本

ルールと言っても、分厚い規程を新たに作る必要はありません。特別養護老人ホーム、グループホーム、訪問看護ステーションなど事業形態を問わず、まずは次の5項目について施設としての考え方を決めることから始めます。

①入力してよい情報／絶対にダメな情報

個人情報保護法第2条第3項は、病歴などの、不当な差別や偏見その他の不利益が生じないよう取扱いに特に配慮を要する情報を「要配慮個人情報」と定義しています。介護記録・看護記録の多くは、この要配慮個人情報を含むと考えたほうが安全です。

さらに、介護保険の被保険者番号や健康保険証番号は「個人識別符号」として、それ単体で個人情報にあたります。氏名を伏せていても、これらの番号が残っていれば個人情報のままです。

判断基準としては、利用者・患者・職員・家族に関する情報は、原則としてそのまま入力しないという原則をまず決めます。一般的な文章の言い回しや研修資料のたたき台づくりなど、個人情報を含まない用途から始めるのが現実的です。

②AIに任せてよい業務範囲（どこまでが下書き、どこからが人の判断）

「AIに何をどこまで任せていいか」で迷う施設は多いですが、考え方はシンプルです。文章の言い回しや要約の「下書き」はAI、事実確認と最終判断は人、という線引きです。

記録や報告書の具体的な業務範囲については、訪問看護AI活用ガイドやケアプランのAI活用で整理していますので、自施設の業務に近い記事もあわせて参考にしてください。

③最終確認は誰が行うか（責任の所在を曖昧にしない）

AIが作成した文章を、そのまま記録として提出することは避けます。作成した本人が内容を確認したうえで、提出前に役職者が最終チェックするという二段階の運用を、最低ラインとして決めておきましょう。

ここで確認するのは体裁ではなく、事実です。生成AIは、実際にはなかった出来事や数値を、もっともらしい文章で書いてしまうことがあります。元の記録と突き合わせる作業だけは、省略しないルールにしてください。

誰が最終的に内容へ責任を持つのかが決まっていれば、現場は安心してAIを使えます。責任の所在をはっきりさせることは、ツール選びよりも大切かもしれません。

④使ってよいツールの指定（「ChatGPTは使っていいのか」への答え方）

施設長からよく聞かれるのが、「うちはChatGPTを使っていいんでしょうか」という質問です。ですが、判断すべきは製品名ではありません。同じ製品でも、契約形態と設定によって扱いが変わるからです。

許可するツールを選ぶときの判断軸は、次の4つで考えると整理しやすくなります。

  1. 入力内容を機械学習に利用しない設定・契約になっているか
  2. 契約主体が法人になっているか（個人アカウントは対象外とする）
  3. データの保存先が国内か海外か
  4. 誰がいつ使ったかを把握できるか

無料版の個人アカウントは、入力内容が学習に利用される前提のサービスもあります。法人向けプランやAPI経由では学習に利用しない設定が用意されていることが一般的です。製品名ではなく、この4点を満たすかで判断してください。ツール選定をさらに深掘りしたい方は、訪問看護・介護でローカルAIを使う理由もあわせてご覧ください。

⑤困ったときの相談先と、事故が起きたときの報告ルート

5項目の中で、実は最も見落とされやすいのがこれです。「判断に迷ったとき、誰に聞けばいいか」が決まっていないと、職員は自己判断で使い続けるしかありません。

もう一つ欠かせないのが、誤って個人情報を入力してしまったときのルートです。要配慮個人情報が含まれる漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が必要になることがあります。「責めるより先に報告する」と明文化しておくことが、結果的に施設を守ります。

【ひな形】そのまま使える介護施設の生成AIルール（コピペ可）

このひな形の使い方

ここまでの5項目を、そのままコピーして使えるひな形にしました。施設名や役職名の「○○」を置き換えるだけで、自施設版のたたき台として使えます。

【○○（施設名）生成AI利用ルール】
制定日：    年  月  日／次回見直し：    年  月
対象者：全職員（派遣職員・実習生・業務委託先を含む）

1. 入力していい情報／絶対にダメな情報
OK：一般的な文章の下書き、定型文の言い回し、研修資料のたたき台
NG：利用者・患者・職員・家族に関する情報は、原則そのまま入力しない
    （氏名、生年月日、住所、病名、要介護度、家族構成、居室番号、
     介護保険被保険者番号・健康保険証番号、写真・音声データ）
    ※氏名を伏せても、年齢・性別・入所日・特徴的な既往歴の
      組み合わせで個人が推測できます。「伏せたから安全」ではありません

2. AIに任せていい業務／人が最終判断する業務
任せてよい：記録・報告書の言い回し整理、要約のたたき台作成
必ず人が確認：内容の事実確認、最終的な記録内容の決定、
              ケアプランやアセスメントの判断

3. 最終確認は誰がするか
AIが作成した文章は、必ず作成者本人が元の記録と突き合わせて
事実確認をしてから使用する（AIは事実でない内容を
もっともらしく書くことがあります）
提出前に○○（役職）が最終チェックする

4. 使っていいツール
施設が許可したツールのみ使用する（許可ツール：○○）
個人アカウント・私物端末での業務利用は禁止
※許可の判断は「学習に使われない設定か／法人契約か／保存先／
  利用状況を把握できるか」の4点で行う

5. 困ったときの相談先・事故が起きたときの対応
判断に迷ったら、まず○○（相談窓口・担当者）に相談する
出力に誤りや違和感があった場合は使用を止め、○○に報告する
誤って個人情報を入力してしまった場合は、責めるより先に報告する。
○○（管理者）へ即時報告し、入力内容・使用ツール・日時を記録する
※要配慮個人情報が含まれる場合、個人情報保護委員会への報告や
  本人への通知が必要になることがあります

※本ルールに反する取扱いは、就業規則および秘密保持誓約書に準じます

長い規程より「読まれる短さ」を優先する理由

このひな形をA4半分程度に収めたのには理由があります。私自身、時間をかけて作った資料が読まれないまま終わった経験があります。真剣に作るほど厚くなる——その気持ちはよく分かるのですが、読まれなければ現場は守れません。

まずはこの短いひな形で運用を始め、現場の実態に合わせて少しずつ育てていく。完璧な規程を一度で作ろうとしないことが、結果的に定着への近道です。

押さえておきたい個人情報保護法の要点

個人情報保護委員会が求めているのは「学習に使われないかの確認」

個人情報保護委員会は令和5年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表しています。個人情報取扱事業者に向けて示されているのは、次の2点です。

  1. 個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
  2. あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、そのサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること

「入力した時点で即・違反」と書かれているわけではありません。逆に「職員の判断に任せてよい」とも読めません。施設として先に線引きをしておくことが求められている、というのが実務的な読み方です。

なお同日、個人情報保護委員会はChatGPTを提供するOpenAIに対しても、要配慮個人情報の取得や利用目的の通知等について注意喚起を行っています。

「氏名を消せば安全」は誤解

結論から言うと、記録から氏名欄を伏せただけのメモは、法律上は依然として個人情報のままです。年齢・性別・入所日・特徴的な既往歴の組み合わせだけで個人が推測できることも珍しくなく、「伏せ字にしたから安全」という判断は成り立ちません。

補足すると、個人情報保護法には加工した情報について「匿名加工情報」（特定の個人を識別できず復元もできないよう加工したもの）と「仮名加工情報」（他の情報と照合しない限り個人を識別できないよう加工したもの）という2つのカテゴリがあります。ただし、どちらも法令で定められた基準に従って作成したものだけが該当します。手元で氏名を伏せる作業は、このどちらでもありません。

「同意を取れば入力していい」わけでもない

次によく聞かれるのが、「では契約時の同意書に一文入れれば使えるのか」という質問です。ここは慎重に考える必要があります。

利用目的の公表や同意は前提として大切ですが、それだけですべてが解決するわけではありません。安全管理措置を講じているか、データの保存先が海外にある場合の扱いをどうするか、といった論点は残ります。個別の判断に迷う場合は、顧問弁護士や個人情報保護委員会の相談窓口に確認してください。

また介護分野では、一般的な解説だけでなく、個人情報保護委員会・厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日制定、令和8年4月一部改正）を確認しておくと安心です。

2026年7月に改正法が成立｜ルールは「見直す前提」で作る

2026年7月10日、改正個人情報保護法が参議院本会議で可決・成立しました。AIモデルの開発や統計情報の作成を目的とする場合に限り、本人の同意なく個人データを提供できる特例が新設されるなど、生成AIの利用に直接関わる見直しが含まれています。施行は公布から2年を超えない範囲とされており、細目は今後の政令・ガイドラインで示される見込みです。

ただし、これはまだ施行されていない改正であり、対象もAI開発や統計情報の作成といった用途に限られた例外です。**日々の記録作成をAIに手伝わせる場面が、これで自由になるわけではありません。**今つくるルールは現行法にもとづいて設計し、施行に合わせて見直す——という順番で考えてください。なお、要配慮個人情報まで対象に含まれることへの懸念の声も出ています。

生成AIをめぐるルールは、総務省・経済産業省の「AI事業者ガイドライン」が2024年4月の第1.0版から2025年3月の第1.1版、2026年3月31日公表の第1.2版へと更新を重ねているように、変化のただ中にあります。一度作ったルールを「完成形」にせず、見直す時期をあらかじめ決めておくこと自体をルールに含めてください。

ルールを現場に定着させる手順｜作って終わりにしない

IT担当・経営層だけで作らない

ルール作りをIT担当者や経営層だけで進めると、現場の実態とずれたものになりがちです。日々の記録や申し送りの流れを知っている現場リーダーを策定段階から巻き込むことで、実際に運用できるルールに近づきます。「誰が作ったか」は「誰が守るか」に直結します。

禁止一辺倒にしない

「AIは一切禁止」というルールは、一見安全に見えます。しかし現場ですでに利用が始まっている以上、禁止だけでは個人アカウントでの隠れた利用を招き、実態が見えなくなるだけになりかねません。使ってよい範囲を示すほうが、結果的に管理できます。

配ったあとが本番

ルールは配って終わりではありません。一度の説明で全員に浸透することは、まずないと考えたほうが現実的です。朝礼や申し送りのタイミングで、短時間でも繰り返し触れる仕組みを作ることが定着の鍵になります。ルール周知全般のノウハウは、介護のルール周知が定着しない理由と5分でできる徹底方法で詳しく解説しています。

訪問看護ステーションのように、職員が事業所に集まる時間が限られる形態では、既存の秘密保持誓約書や個人情報保護の研修と地続きで扱うと運用しやすくなります。

研修とセットで運用に落とし込む

ルールを配布するだけでなく、実際の使い方を学ぶ研修とセットにすると実効性が変わります。ルールだけ渡されても、具体的な操作や判断の勘所が分からなければ、結局は自己流に戻ってしまうからです。研修の始め方については、介護AI研修の始め方｜施設長が知るべき選び方と落とし穴をあわせてご覧ください。

まとめ

介護・福祉の現場では、すでに多くの職員が生成AIを使い始めています。一方で、明確なルールがある職場は限られているのが実態です。

入力してよい情報、任せてよい業務範囲、最終確認の担当者、使ってよいツール、相談先と事故時の報告ルート——この5項目を決め、ひな形から始めれば、施設としての最低限の備えは整います。法制度も動いている最中ですから、完璧なルールを一度で作ろうとせず、見直す前提で短く始めることをおすすめします。

今日の30分でできること

本記事のひな形をコピーして、まずは「入力してはいけない情報」「最終確認者」「相談先」の3項目だけ、自施設の言葉に置き換えてみてください。全職員への一斉周知は、その後で構いません。データの扱われ方をさらに理解しておきたい方は、医療AIの「データ主権」とはもあわせてどうぞ。

※本記事は法令・ガイドラインの一般的な解説であり、個別の事案に対する法的助言ではありません。判断に迷う場合は、顧問弁護士や個人情報保護委員会の相談窓口にご確認ください。

参考資料

著者紹介
宮田浩行。看護師・介護福祉士として現場に15年携わり、現在は医療ライター・AI講師として活動。現場経験を軸に、介護・医療分野のAI活用と情報の安全な取り扱いについて発信しています。

あわせてどうぞ

📓 noteで有料記事を読む現場×AIの深掘り記事 🎓 セミナー・研修の案内医療・介護職向けAI活用講座

関連記事