「職員が個人のスマホで生成AIに記録を打ち込んでいるらしいが、うちにはルールがない」——施設長や管理者の方から、そんな相談を受けることが増えました。この記事では、看護師・介護福祉士として15年現場に携わってきた筆者が、施設として最低限決めるべき5つの項目と、そのままコピーして使えるルールのひな形を、個人情報保護法の要点とあわせて解説します。
なぜ介護施設に生成AIの利用ルールが必要なのか（シャドーAIの実態）
「使うな」ではなく「線引きがない」ことが問題
個人の注意だけに頼らず、施設として判断できる基準が必要です。「何を、どこまで入力していいか」を決めていない状態は、誤った取り扱いにつながる要因の一つです。
ここで最初に整理しておきたい点があります。介護施設や訪問看護ステーションが、業務のために利用者情報を適法に取得している場合でも、別の使い方が自動的に認められるわけではありません。つまり職員がその情報を生成AIに入力する行為で問われるのは、情報を「取得してよいか」ではありません。
**問われるのは、すでに持っている情報を外部のサービスにどう渡すかです。**具体的には、①その利用が、あらかじめ本人に示した利用目的の範囲内かどうか（範囲を超えれば目的外利用にあたります） ②外部のAI事業者にデータを渡すことが第三者提供や委託にあたらないか ③保存先が海外にある場合の扱い ④安全管理の措置を取れているか——という論点です。「すでに持っている情報だから自由に使える」という意味ではまったくない、という点に注意してください。
だからこそ本記事は、「使わせない」ではなく「安全に使える設計にする」という立場でルールの作り方を整理します。
職場に伝えず使っている人がすでにいる
「うちの施設では誰もAIなんて使っていない」と思っている施設長ほど、確認してみる価値があります。
株式会社パパゲーノの調査（2025年11月25日〜12月6日実施、n=184、Googleフォームによるオンライン調査）によると、「職場で明確なAI活用のガイドライン・ルールがある」と答えた人は19.8%にとどまりました。「ない」が69.1%、「分からない」が11.1%で、回答者の80.2%が「ない」または「分からない」と答えたという結果です。職場数を数えた調査ではないため、「全国の職場の8割」とは言えません。
同じ調査では、生成AIを週3日以上利用している人が55.4%、個人の無料版AIを使っている人が44.4%、利用者記録の作成にAIを使っていると答えた人が48.2%にのぼりました。一方、生成AIの利用を上司に報告・相談している人は41.4%にとどまります。
なお、この調査は回答者の内訳が就労継続支援B型29.3%、就労移行支援15.2%、児童発達支援・放課後等デイサービス14.7%と障害福祉サービスが中心で、高齢者介護施設や訪問看護の比率は高くありません。任意回答のオンライン調査であり、調査主体も福祉向けAIサービスを手がける事業者です。数字をそのまま自施設に当てはめるのではなく、傾向をつかむ参考値としてご覧ください。
それでも、「現場での利用がすでに始まっているのに、施設側の把握が追いついていない」という構図自体は、私が相談を受ける実感とも一致しています。
現場で実際に起きる「迷い」
以前、複数の施設のスタッフから似た相談を受けたことがあります。申し送りメモを整理する際、「利用者さんの様子を分かりやすくまとめてほしい」とAIに頼みたいけれど、氏名や既往歴を書かずに伝えると意味が通じにくくなる——という悩みでした。
ある職員は、自己判断で情報を一部ぼかして入力していたそうです。悪気はまったくありません。ただ、「ここまでは大丈夫」という基準を、誰からも示されていなかっただけです。この「迷いながらの自己判断」があちこちで積み重なっている状態こそが、今のシャドーAI化の実態だと感じています。
生成AIの利用ルールで決めるべき5つの項目｜作り方の基本
ルールと言っても、分厚い規程を新たに作る必要はありません。特別養護老人ホーム、グループホーム、訪問看護ステーションなど事業形態を問わず、まずは次の5項目について施設としての考え方を決めることから始めます。
①入力してよい情報／絶対にダメな情報
個人情報保護法第2条第3項は、病歴などの、不当な差別や偏見その他の不利益が生じないよう取扱いに特に配慮を要する情報を「要配慮個人情報」と定義しています。介護記録・看護記録の多くは、この要配慮個人情報を含むと考えたほうが安全です。
さらに、介護保険証では保険者番号と被保険者番号の組合せなどが「個人識別符号」に当たります。氏名を伏せていても、これらの番号が残っていれば個人情報のままです。
判断基準としては、利用者・患者・職員・家族に関する情報は、原則としてそのまま入力しないという原則をまず決めます。一般的な文章の言い回しや研修資料のたたき台づくりなど、個人情報を含まない用途から始めるのが現実的です。
②AIに任せてよい業務範囲（どこまでが下書き、どこからが人の判断）
「AIに何をどこまで任せていいか」で迷う施設は多いですが、考え方はシンプルです。文章の言い回しや要約の「下書き」はAI、事実確認と最終判断は人、という線引きです。
記録や報告書の具体的な業務範囲については、訪問看護AI活用ガイドやケアプランのAI活用で整理していますので、自施設の業務に近い記事もあわせて参考にしてください。
③最終確認は誰が行うか（責任の所在を曖昧にしない）
AIが作成した文章を、そのまま記録として提出することは避けます。作成した本人が内容を確認したうえで、提出前に役職者が最終チェックするという二段階の運用を、最低ラインとして決めておきましょう。
ここで確認するのは体裁ではなく、事実です。生成AIは、実際にはなかった出来事や数値を、もっともらしい文章で書いてしまうことがあります。元の記録と突き合わせる作業だけは、省略しないルールにしてください。
誰が最終的に内容へ責任を持つのかが決まっていれば、現場は安心してAIを使えます。責任の所在をはっきりさせることは、ツール選びよりも大切かもしれません。
④使ってよいツールの指定（「ChatGPTは使っていいのか」への答え方）
施設長からよく聞かれるのが、「うちはChatGPTを使っていいんでしょうか」という質問です。ですが、判断すべきは製品名ではありません。同じ製品でも、契約形態と設定によって扱いが変わるからです。
許可するツールを選ぶときの判断軸は、次の4つで考えると整理しやすくなります。
- 入力内容を機械学習に利用しない設定・契約になっているか
- 契約主体が法人になっているか（個人アカウントは対象外とする）
- データの保存先が国内か海外か
- 誰がいつ使ったかを把握できるか
無料版の個人アカウントは、入力内容が学習に利用される前提のサービスもあります。法人向けプランやAPI経由では学習に利用しない設定が用意されていることが一般的です。製品名ではなく、この4点を満たすかで判断してください。ツール選定をさらに深掘りしたい方は、訪問看護・介護でローカルAIを使う理由もあわせてご覧ください。
⑤困ったときの相談先と、事故が起きたときの報告ルート
5項目の中で、実は最も見落とされやすいのがこれです。「判断に迷ったとき、誰に聞けばいいか」が決まっていないと、職員は自己判断で使い続けるしかありません。
もう一つ欠かせないのが、誤って個人情報を入力してしまったときのルートです。要配慮個人情報が含まれる漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が必要になることがあります。「責めるより先に報告する」と明文化しておくことが、結果的に施設を守ります。
【ひな形】そのまま使える介護施設の生成AIルール（コピペ可）
このひな形の使い方
ここまでの5項目を、そのままコピーして使えるひな形にしました。施設名・担当者・許可ツール・確認手順を検討するためのたたき台です。ひな形だけで法令対応や安全管理が完了するわけではありません。既存規程やサービス契約との整合を確認してから運用してください。
【○○（施設名）生成AI利用ルール】
制定日： 年 月 日／次回見直し： 年 月
対象者：全職員（派遣職員・実習生・業務委託先を含む）
管理責任者：○○／承認者：○○
ルール保管場所：○○／変更時の周知担当：○○
1. 入力していい情報／絶対にダメな情報
OK：一般的な文章の下書き、定型文の言い回し、研修資料のたたき台
NG：利用者・患者・職員・家族に関する情報は、原則そのまま入力しない
（氏名、生年月日、住所、病名、要介護度、家族構成、居室番号、
介護保険被保険者番号・健康保険証番号、写真・音声データ）
※氏名を伏せても、年齢・性別・入所日・特徴的な既往歴の
組み合わせで個人が推測できます。「伏せたから安全」ではありません
2. AIに任せていい業務／人が最終判断する業務
任せてよい：個人情報を含まない文書の言い回し整理、
架空事例の要約・研修資料のたたき台作成
実際の記録：このひな形では許可しない。必要な場合は管理責任者が
契約・情報管理・確認体制を別途検討して承認範囲を定める
必ず人が確認：内容の事実確認、最終的な記録内容の決定、
ケアプランやアセスメントの判断
3. 最終確認は誰がするか
AIが作成した文章は、必ず作成者本人が元の記録と突き合わせて
事実確認をしてから使用する（AIは事実でない内容を
もっともらしく書くことがあります）
提出前に○○（役職）が最終チェックする
4. 使っていいツール
施設が許可したツールのみ使用する（許可ツール：○○）
個人アカウント・私物端末での業務利用は禁止
※許可の判断は「学習に使われない設定か／法人契約か／保存先／
利用状況を把握できるか」の4点で行う
5. 困ったときの相談先・事故が起きたときの対応
判断に迷ったら、まず○○（相談窓口・担当者）に相談する
出力に誤りや違和感があった場合は使用を止め、○○に報告する
誤って個人情報を入力してしまった場合は、責めるより先に報告する。
○○（管理者）へ即時報告し、入力内容・使用ツール・日時を記録する
※要配慮個人情報が含まれる場合、個人情報保護委員会への報告や
本人への通知が必要になることがあります
※本ルールに反する取扱いは、就業規則および秘密保持誓約書に準じます
長い規程より「読まれる短さ」を優先する理由
現場で見返せる長さに整理することには意味があります。私自身、時間をかけて作った資料が読まれないまま終わった経験があります。真剣に作るほど厚くなる——その気持ちはよく分かるのですが、読まれなければ現場は守れません。
まずはこの短いひな形で運用を始め、現場の実態に合わせて少しずつ育てていく。完璧な規程を一度で作ろうとしないことが、結果的に定着への近道です。
押さえておきたい個人情報保護法の要点
個人情報保護委員会が求めているのは「学習に使われないかの確認」
個人情報保護委員会は令和5年6月2日、「生成AIサービスの利用に関する注意喚起等」を公表しています。個人情報取扱事業者に向けて示されているのは、次の2点です。
- 個人情報を含むプロンプトを入力する場合は、特定された利用目的を達成するために必要な範囲内であることを十分に確認すること
- あらかじめ本人の同意を得ずに個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある。そのため、そのサービスを提供する事業者が、当該個人データを機械学習に利用しないこと等を十分に確認すること
「入力した時点で即・違反」と書かれているわけではありません。逆に「職員の判断に任せてよい」とも読めません。施設として先に線引きをしておくことが求められている、というのが実務的な読み方です。
なお同日、個人情報保護委員会はChatGPTを提供するOpenAIに対しても、要配慮個人情報の取得や利用目的の通知等について注意喚起を行っています。
「氏名を消せば安全」は誤解
結論から言うと、氏名欄を伏せただけでは、個人情報に該当しなくなるとは限りません。年齢・性別・入所日・特徴的な既往歴の組み合わせだけで個人が推測できることも珍しくなく、「伏せ字にしたから安全」という判断は成り立ちません。
補足すると、個人情報保護法には加工した情報について「匿名加工情報」（特定の個人を識別できず復元もできないよう加工したもの）と「仮名加工情報」（他の情報と照合しない限り個人を識別できないよう加工したもの）という2つのカテゴリがあります。ただし、どちらも法令で定められた基準に従って作成したものだけが該当します。氏名を伏せただけで、これらの加工情報の要件を満たしたと判断しないでください。
「同意を取れば入力していい」わけでもない
次によく聞かれるのが、「では契約時の同意書に一文入れれば使えるのか」という質問です。ここは慎重に考える必要があります。
利用目的の公表や同意は前提として大切ですが、それだけですべてが解決するわけではありません。安全管理措置を講じているか、データの保存先が海外にある場合の扱いをどうするか、といった論点は残ります。個別の判断に迷う場合は、顧問弁護士や個人情報保護委員会の相談窓口に確認してください。
また介護分野では、一般的な解説だけでなく、個人情報保護委員会・厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（平成29年4月14日制定、令和8年4月一部改正）を確認しておくと安心です。
2026年の法改正も確認し、見直す日を決める
個人情報保護委員会の案内によると、改正法は2026年7月10日に成立し、7月17日に公布されました。委員会では関連する政令・規則・ガイドラインの整備が進められています。令和8年改正個人情報保護法について
成立・公布と、各規定の施行・適用は分けて確認する必要があります。「AIに関する法改正があったから、日々の介護記録を自由に入力できる」とは考えず、利用目的、情報の渡し方、契約、安全管理を個別に確認してください。ひな形には次回見直し日と担当者を記入し、法令・サービス条件が変わった際にも見直せるようにしましょう。
ルールを現場に定着させる手順｜作って終わりにしない
IT担当・経営層だけで作らない
ルール作りをIT担当者や経営層だけで進めると、現場の実態とずれたものになりがちです。日々の記録や申し送りの流れを知っている現場リーダーを策定段階から巻き込むことで、実際に運用できるルールに近づきます。「誰が作ったか」は「誰が守るか」に直結します。
禁止一辺倒にしない
「AIは一切禁止」というルールは、一見安全に見えます。しかし現場ですでに利用が始まっている以上、禁止だけでは個人アカウントでの隠れた利用を招き、実態が見えなくなるだけになりかねません。使ってよい範囲を示すほうが、結果的に管理できます。
配ったあとが本番
ルールは配って終わりではありません。一度の説明で全員に浸透することは、まずないと考えたほうが現実的です。朝礼や申し送りのタイミングで、短時間でも繰り返し触れる仕組みを作ることが定着の鍵になります。ルール周知全般のノウハウは、介護のルール周知が定着しない理由と5分でできる徹底方法で詳しく解説しています。
訪問看護ステーションのように、職員が事業所に集まる時間が限られる形態では、既存の秘密保持誓約書や個人情報保護の研修と地続きで扱うと運用しやすくなります。
研修とセットで運用に落とし込む
ルールを配布するだけでなく、実際の使い方を学ぶ研修とセットにすると実効性が変わります。ルールだけ渡されても、具体的な操作や判断の勘所が分からなければ、結局は自己流に戻ってしまうからです。研修の始め方については、介護AI研修の始め方｜施設長が知るべき選び方と落とし穴をあわせてご覧ください。
まとめ
介護・福祉の現場では、すでに多くの職員が生成AIを使い始めています。一方で、明確なルールがある職場は限られているのが実態です。
入力してよい情報、任せてよい業務範囲、最終確認の担当者、使ってよいツール、相談先と事故時の報告ルート——この5項目は、自施設のルールを検討する出発点になります。契約や安全管理、既存規程との確認も必要です。法制度も動いている最中ですから、完璧なルールを一度で作ろうとせず、見直す前提で短く始めることをおすすめします。
今日の30分でできること
本記事のひな形をコピーして、まずは「入力してはいけない情報」「最終確認者」「相談先」の3項目だけ、自施設の言葉に置き換えてみてください。全職員への一斉周知は、その後で構いません。データの扱われ方をさらに理解しておきたい方は、医療AIの「データ主権」とはもあわせてどうぞ。
※本記事は法令・ガイドラインの一般的な解説であり、個別の事案に対する法的助言ではありません。判断に迷う場合は、顧問弁護士や個人情報保護委員会の相談窓口にご確認ください。
参考資料
- 株式会社パパゲーノ「介護・障害福祉現場における生成AI活用に関する調査」（2025年11月25日〜12月6日実施、n=184）: https://prtimes.jp/main/html/rd/p/000000031.000098762.html
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日公表）: https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
- 個人情報保護委員会FAQ（匿名加工情報と仮名加工情報の違い）: https://www.ppc.go.jp/all_faq_index/faq1-q14-1/
- 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（2017年4月14日制定、2026年4月一部改正）: https://www.ppc.go.jp/personalinfo/legal/iryoukaigo_guidance/
- 個人情報保護委員会：令和8年改正個人情報保護法について
著者紹介
宮田浩行。看護師・介護福祉士として現場に15年携わり、現在は医療ライター・AI講師として活動。現場経験を軸に、介護・医療分野のAI活用と情報の安全な取り扱いについて発信しています。
自施設のルールに落とし込む相談
コトノアでは、管理者・リーダー向けに利用ルールを検討する研修も用意しています。個人情報を含む実際の記録を送らず、まずは困っている業務や、決めたい項目をお知らせください。
法人AI研修のプログラムと料金を見る ／ 社内共有用の案内PDF
2026年9月6日に、法改正の出典、調査数値の解釈、ひな形の承認・見直し欄と利用範囲を更新しました。