- 介護記録には要配慮個人情報が含まれ得るということ
- 「入れたら即違法」ではない——確認すべきは何か
- 守秘義務と、未承認クラウド（シャドーIT）のリスク
- 法人の情報システム部門が見る項目＝チェックリスト
- 「氏名を消せば匿名」がなぜ不十分か
「介護記録をAIに入れて大丈夫？」——よくある不安です。結論から言うと、「入れたら即違法」ではありませんが、「何も確認せず入れてよい」でもありません。大事なのは、何を・どの契約関係で・どこへ・どれだけの期間・誰がアクセスできる状態で送るか。この記事では、法人審査でもそのまま使えるチェックリストに整理します。
介護記録には要配慮個人情報が含まれ得る
介護記録や認定調査票には、病歴・障害・心身の状況・服薬内容などが含まれ、これらは個人情報保護法が定める要配慮個人情報に当たり得ます。事業所側には安全管理措置が求められ、外部処理を委託する場合は委託先を適切に監督する必要があります（厚生労働省・個人情報保護委員会の医療・介護ガイダンス、通則ガイドライン）。
古い「個人情報だからクラウド禁止」という説明ではなく、「どのデータを、どの契約関係で、どこへ、どれだけの期間、誰がアクセスできる状態で送るか」を確認する——という整理が適切です。禁止か許可かの二択ではなく、条件を確認して判断します。
守秘義務と「未承認クラウド」のリスク
ケアマネジャー・居宅介護支援事業所には、運営基準に基づく秘密保持の責務があります。したがって、個々のケアマネが個人判断で、法人が委託先・保存・再利用・国外処理等を把握していない生成AIへ利用者情報を入力する運用は高リスクです。これはサービスの利用規約だけの問題ではなく、法人の情報セキュリティ方針・個人情報取扱規程・委託先管理ルールとの整合まで確認すべき、という実務上の考え方です。
氏名を伏せても、年齢・地域・病歴・家族構成などの組み合わせで個人が識別できる場合、要配慮個人情報の性質は残ります。単なる伏字を法的な匿名加工と同一視しないでください。
紙の特記事項は「匿名運用」で試せる。
認定調査票の特記事項の転記代行は、氏名・被保険者番号を付箋や番号で隠したまま送れます。非学習・国内処理・即時削除で、確定はケアマネ本人。まずは実物で確かめられます。
初期・月額0円／自治体受託業務は契約確認を推奨法人の情報システム部門が見る項目（チェックリスト）
法人のIT担当・セキュリティ委員会の承認をスムーズにするため、次を確認・開示できるサービスを選びましょう。そのまま社内審査のチェックリストとして使えます。
| 確認項目 | 見るべきポイント |
|---|---|
| 学習利用 | 入力データをAIの再学習・品質評価に使わない（非学習）契約か |
| 処理・保存場所 | 国内処理か、国外アクセスがあるか |
| 暗号化・アクセス権 | 通信・保存の暗号化、アクセス権限の管理、ログの記録 |
| 保持期間・削除 | いつ・どこまで（原本／生成物／一時ファイル／ログ）削除されるか、その実効性 |
| 再委託 | 再委託先の有無と監督体制 |
| 事故対応 | 漏えい等の際の連絡・対応フロー |
| 契約終了時 | データの返却・消去の扱い |
| 最終確認者 | AIは下書きで、確定は担当者が行う設計か（Human-in-the-loop） |
「非学習だから安全」「国内処理だから安全」といった一点だけで判断しないのがコツです。より詳しい比較は「AIは学習しません」だけで十分？で解説しています。
経過記録の音声化も、確認できる設計で。
話すだけで経過記録の下書きを作成。最終確認・確定はケアマネ本人が行う設計です。音声・記録の個人情報の扱いは、導入前にご確認いただけます。
判断・責任はケアマネに残ります／営業電話はしませんまとめ：禁止か許可かでなく「条件」で判断する
介護AIに個人情報を入れてよいかは、データの中身・契約関係・処理場所・保持と削除・アクセス管理・最終確認者を条件として確認して判断します。個々人の判断で未承認ツールへ入力するのは避け、法人として承認したサービスを使うルールにするのが安全です。認定調査票を外部へ送る場合の契約確認は再委託・自治体契約の確認ポイントもあわせてご覧ください。
訪問看護の看護記録の音声化ははなまるAI 看護版もあります。用途に合わせてお選びください。
チェックリストを片手に、実物で確認する。
紙の特記事項なら転記代行、記録の音声化なら介護版はなまるAI。どちらも確定はケアマネ本人が行う設計です。自分の資料・記録で確かめてください。
要配慮個人情報の扱いは事前にご確認ください