ChatGPTは医療で禁止？本当に禁止されていることと使える範囲

医療でのChatGPTの「禁止」とは、法律・国の指針・OpenAIの規約・院内規程の4つが、それぞれの立場で定めている使い方の制限のことです。ChatGPTを使うこと自体を一律に禁じる法律はなく、主に制限されているのは、条件を満たさない患者情報の入力、医師が確認しない診断や診断書、有資格者の関与がない個別の助言の3つとなります。事務長・院長・情報システム担当の方が院内で線を引けるよう、原文に当たりながら順に見ていきましょう。

医療AIとは何か・活用例の全体像は別の記事にまとめており、ここでは「医療機関でChatGPTは禁止なのか」という1つの問いに絞ってお答えします。

※法令・指針・規約の内容は、2026年9月時点で各公式・一次資料（e-Gov法令検索、厚生労働省、個人情報保護委員会、OpenAIの公式ページとヘルプ）で確認したものです。個別の事案についての法的助言ではありません。

結論：ChatGPTは医療で一律に禁止されてはいない

ChatGPTを医療機関で使うことを、法律や国の指針が一律に禁じているわけではありません。厚生労働省の安全管理ガイドラインのQ&A（令和8年9月）も、条件を示したうえで、生成AIに医療情報を入力する場面を想定した回答を載せています。一方で、使い方によってははっきり線を越えてしまう場面があります。

主に制限されるのは3つの使い方

1. 条件を満たさない環境に、患者を特定できる情報を入力すること。
2. 医師が自ら診察・確認しないまま、AIの出力を診断として扱ったり、診断書を交付したりすること。
3. 有資格者の適切な関与がないまま、患者一人ひとりに向けた医療の助言をAIに返させること。

1つ目は個人情報保護法と厚生労働省の指針、2つ目は医師法、3つ目はOpenAIの利用ポリシーが主な根拠となります。裏返すと、患者を特定できる情報を入れず、医師が確かめてから使う事務作業なら、法律上の問題は生じにくいと考えられます。どこまでを院内で認めるかは、最終的に各医療機関が決めることになります。

「禁止」はどこから来るのか｜法律・国の指針・規約・院内規程の4層

「ChatGPTは医療で禁止」という話が広まりやすいのは、性格の違う4種類のルールが1つの言葉でまとめて語られているためです。層ごとに、何が禁じられ、誰が守り、破るとどうなるのかを並べると次のようになります。

• 第1層　法律（医師法・個人情報保護法）禁じているのは、医師でない者による医業、医師が自ら診察しないで診断書や処方せんを交付すること、本人の同意のない個人データの第三者提供などです。守るのは医師と医療機関で、違反すると法律に基づく処分や、個人情報保護委員会による指導等の対象になりえます。
• 第2層　国の指針（厚生労働省の安全管理ガイドラインとQ&A、個人情報保護委員会の注意喚起）法律そのものではありませんが、医療情報を扱うシステムの安全管理の基準として、医療機関と事業者の双方が参照するものです。生成AIについては禁止ではなく、医療情報を入力する場合の条件を示しています。
• 第3層　事業者の規約（OpenAIの使用に関するポリシー）ChatGPTを使うすべての利用者に向けた約束ごとで、医療に関しては、有資格者の関与がない個別の助言と、人の確認のない重大な判断の自動化を禁じています。違反した場合は、アクセス権を失うなどの制裁を受ける可能性があると書かれています。
• 第4層　院内規程各医療機関が自分で決めるルールで、職員が守る対象になります。「ChatGPTは禁止」という通知の多くはこの層にあたり、中身も違反時の扱いも医療機関ごとに異なります。

法律が直接止めているのは、ChatGPTの使い方のうち一部に限られます。国の指針は条件を、規約は提供事業者との約束を、院内規程は職員の行動を定めるという役割の違いがあります。「禁止」という言葉を見かけたら、4つのうちどの層の話なのかを先に確かめてみてください。

法律で禁止されていること

法律で禁じられているのは、医師でない者による医業や診察を欠いた診断書の交付と、患者の個人データを本人の同意なく第三者に渡すことが中心となります。

医師法17条・20条｜最終判断は医師、診察せずに診断書を出さない

医師法17条は、医師でなければ医業をしてはならないと定めています。20条は、医師が自ら診察しないで治療をしたり、診断書や処方せんを交付したりすることを禁じており、例外は診療中の患者が受診後24時間以内に死亡した場合の死亡診断書だけとなります。厚生労働省の医事課長通知（平成30年12月19日、医政医発1219第1号）は、AIを用いた診療でも「診断、治療等を行う主体は医師であり、医師はその最終的な判断の責任を負う」と整理しています。ChatGPTが下書きした診断書であっても、医師が自ら診察したうえで内容を確かめ、自分の判断として交付する必要があるわけです。診察していない患者の診断書をAIの文章で作る使い方は、医師法20条の問題となるおそれがあります。

個人情報保護法｜患者情報の入力と第三者提供・同意・委託

病歴は、個人情報保護法2条3項で要配慮個人情報に挙げられている情報です。27条1項は、法令で定める場合を除き、あらかじめ本人の同意を得ないで個人データを第三者に提供することを禁じています。外国にある第三者へ提供する場合は、28条により、一定の基準を満たす国や体制の場合を除いて、外国への提供を認める旨の本人の同意が原則として必要になります。一方で27条5項1号は、利用目的の達成に必要な範囲で個人データの取扱いを委託する場合、委託先は第三者に当たらないとしています。

生成AIへの入力がこのどれに当たるかについて、法律の条文そのものは答えを書いていません。個人情報保護委員会は令和5年6月2日の注意喚起で、個人情報を含むプロンプトの入力が利用目的の達成に必要な範囲内かを十分に確認すること、そして本人の同意なく入力した個人データが応答の出力以外の目的で取り扱われれば法違反となる可能性があるため、提供事業者が機械学習に利用しないこと等を十分に確認することを求めました。学習に使われうる設定のまま患者情報を入れる使い方は、この注意喚起の懸念に当てはまりやすい形となってしまいます。個人情報を入力するリスクの全体はChatGPTに個人情報を入力するリスクでも確かめることが出来ます。

匿名化・仮名化しても特定できる可能性が残る

氏名を消せば個人情報でなくなる、とは限りません。生年月日や住所の一部、珍しい病名、受診日、担当医の名前が残っていれば、院内の人や家族には誰の話か分かってしまう場合があります。個人情報保護法には匿名加工情報や仮名加工情報という仕組みもありますが、法律で定められた加工の基準や取扱いのルールを満たす必要があり、職員が画面の上で名前を伏せただけの状態とは別物になります。名前を消せば入れてよい、という院内の理解にならないよう、周知の段階で具体例を挙げて伝えてみてください。

厚労省の安全管理ガイドラインとQ&Aが求めていること

厚生労働省のガイドラインは生成AIを禁止してはおらず、Q&Aの中で、医療情報を入力する場合にサーバの所在をどう考えるかという条件を示しています。

安全管理ガイドライン（3省2ガイドライン）とサーバの所在

医療情報を扱うシステムの基準として、厚生労働省の「医療情報システムの安全管理に関するガイドライン」と、総務省・経済産業省の提供事業者向けのガイドラインを合わせて、3省2ガイドラインと呼ぶことがあります。厚生労働省のガイドラインの最新は第7.0版（令和8年6月）で、企画管理編7章の遵守事項⑤は、外部保存の委託先について「保存された情報を格納する情報機器等が、国内法の適用及び執行の及ぶ範囲にあることを確実にすること」を求めています。この規定は外部保存の委託先に向けたもので、生成AIだけを対象に書かれたものではありません。第7.0版の本編には生成AIを名指しした規定が見当たらず、生成AIの扱いはQ&Aの側で示されています。

最新はQ&A（令和8年9月）のQ18｜旧版の企Q-26との違い

厚生労働省は「医療情報システムの安全管理に関するガイドライン 第7.0版 Q&A」（令和8年9月）を公表しており、生成AIの問いは企画管理編のQ18にあります。問いは、生成AIのプロンプトとして医療情報を入力する場合に、入力情報が「AIの学習等のために保存されないこと」が契約等で担保されていれば、サーバが国内法の適用を受けている必要はないと考えてよいか、というものです。回答は「この場合、国内法の適用を受けていることは必須ではありません」で始まり、医療情報が保存されないことが契約等で担保されている場合は、国内法の適用を受けていないサーバも利用できると続きます。国外のサーバかどうかより、保存されないことを契約等で担保できるかが分かれ目となります。

旧版の第6.0版Q&A（令和7年5月）では同じ問いが企Q-26にあり、回答は「よい」の一言から始まっていました。結論の向きは変わっていないものの、検索で上位に出る解説には旧版の番号を引いたものが目立つため、院内の資料は新しい版と番号で書き直しておくことをおすすめします。

30日程度のログ保持とZDR｜解釈は分かれている

Q18の条件を実際のサービスに当てはめるときに迷うのが、不正利用の監視などのために入力を一定期間保持する仕組みの扱いです。OpenAIは、APIの入力と出力を、サービスの提供と不正利用の検知のために最大30日間保持する場合があると説明しており、要件を満たす用途では対象のエンドポイントでゼロデータ保持（ZDR）をリクエストできるとしています。この一時的な保持がQ&Aの「学習等のために保存」に当たるかは、上位の解説どうしでも見方が一致していません。

医療経営コンサルタントの解説は、ログが30日保存される以上Q&Aの要件を満たさないと読んでいます。法律事務所の解説は、30日程度の一時的な保持が当たるかは明らかでないとしつつ、ZDRであれば満たしうると述べています。厚生労働省のQ&Aは、この点について原文以上の説明をしていません。院内で判断するときは、契約書や利用規約に、保存の有無・保存期間・保存の目的・ZDRを使えるかどうかが書かれているかを確かめ、書かれていない点は提供事業者に文書で問い合わせてみてください。

患者への説明（Q16）とクラウド事業者の確認（Q17）

同じQ&AのQ16は、外部保存について、目的・保存先・安全性を原則として事前に患者へ説明するよう求めています。説明の方法は院内掲示に限られず、ウェブサイトや説明文書などを組み合わせてよいとされ、患者が事前に確認できることが大切になります。

Q17では、2026年3月末に中小病院向けと医科診療所向けの電子カルテ等の標準仕様（基本要件）を策定したこと、2026年度中に認証制度を創設する方針であることが示されています。あわせて、事業者から提出されるMDS/SDS（3省2ガイドラインへの適合状況を事業者が示す書類）で、保守委託機関編の別紙がすべて「はい」か「対象外」になっているかを確かめることが重要とされます。「対象外」の項目は医療機関の責任で対応する必要がある点にも、注意が要ります。Q17は電子カルテ等を念頭に置いた問いですが、医療情報を扱う生成AIサービスを選ぶ場面でも、同じ書類で適合状況を尋ねる考え方は参考になるでしょう。

研究班のHAIPガイドラインは国の指針とは別のもの

医療AIプラットフォーム技術研究組合（HAIP）の「医療・ヘルスケア分野における生成AI利用ガイドライン（第2版）」は、2025年7月11日付の文書です。厚生労働科学研究の成果として作られたもので、国が定めた指針そのものではありません。このガイドラインは、医療情報を扱う生成AIであれば、入出力を保存するサーバが国内法の適用を受ける場所にあることなどを要件に挙げており、国外のサーバも条件付きで認めるQ18より厳しい書き方になっています。利用者個人に対しては、使う生成AIが所属する組織で利用可能と判断されたサービスかを確かめることを求め、組織が認めていない生成AIを私的に使う場合は、医療情報を扱わないことを前提に、参考情報の収集などに用途を限るよう求める内容となります。院内規程の根拠として引くときは、国の指針とは出所が違うことを書き添えておきましょう。

OpenAIの利用ポリシーは医療で何を禁止しているか

OpenAIの「使用に関するポリシー」（2025年10月29日発効）は、医療従事者がChatGPTを業務に使うこと自体を禁じてはいません。医療従事者の業務に関わる禁止事項は主に2か所で、1つは「有資格者の適切な関与なく、資格を要する個別の助言（法律や医療に関する助言など）を提供する行為」、もう1つは「機密性の高い領域での重大な意思決定の、人間の確認のない自動化」で、後者の領域の例に医療が挙がっています。前文に、ポリシーが「AI の利用に適用される法的要件、職業上の義務、又は倫理的義務に代わるものではありません」という一文が置かれている点も大事です。

文言を読む限り、医師が確認する前提の下書きや要約は、この2つの禁止事項には当たらないと読めます。ただし、OpenAIがそう明言しているわけではありません。反対に、医師の関与なしに患者へ個別の医療助言を返す仕組みや、人の確認を挟まずに診療上の重大な判断を自動で下す仕組みは、規約の上でも避けるべき使い方となります。

2025年10月の改訂は、医療の助言の禁止として紹介されることもありますが、変更ログには、OpenAIの製品やサービス全体に適用される一般規定を反映する内容に改訂したと書かれています。見出しの印象ではなく、原文の2か所を院内の説明に使ってみてください。

ChatGPTのプラン別に見る、学習に使われない設定と保存期間

同じChatGPTでも、個人向けと法人向けでは入力データの扱いが大きく違います。以下はOpenAIのヘルプと公式ページに書かれている内容で、いずれも同社の説明（自己申告）となります。

• Free・Go・Plus・Proなど個人向けプランオプトアウトしているかどうかに応じて、データが学習に使われる場合があります。Free・Plus・Proの個人用ワークスペースでは、データ共有は既定で有効と説明されています。「すべての人のためにモデルを改善する」をオフにすると、それ以降の新しい会話は学習に使われなくなると説明されています。設定を操作するのは職員本人です。
• 一時チャット学習には使われず、履歴にも残りませんが、安全上の理由でコピーを最長30日間保管する場合があるとされています。一時チャットを保存すると通常のチャットになり、アカウント単位のデータコントロールが適用されます。
• ChatGPT Business既定で入力と出力を学習に使いません。ワークスペース管理者はデータの保持期間を設定でき、会話履歴を閲覧・エクスポート・削除できます。
• ChatGPT Enterprise・ChatGPT for Healthcare既定で学習に使いません。Enterprise等では、削除された会話は保持が法的義務でない限り30日以内に消去されると説明されています。
• API既定で学習に使いません。入出力を最大30日間保持する場合があり、要件を満たす用途では対象のエンドポイントでZDRをリクエストできます。

個人向けのアカウントは設定を職員一人ひとりに任せる形になり、病院の側から設定の状態を確かめにくいのが悩ましいところです。法人向けのプランでも、既定で学習に使わないことと、Q18のいう「保存されないこと」が契約で担保されていることは同じ意味ではありません。どのプランを選んでも、Q18の条件を満たすかは契約の書面で確かめる必要があります。学習させない設定の手順はChatGPTに学習させない方法で、法人プランの中身はChatGPT Enterpriseの解説で確かめることが出来ます。

では何なら使えるか｜患者情報を含まない業務から

使い始めるなら、患者を特定できる情報を含まない事務や文書の仕事からが無理のない順番になります。入れてよい情報・条件付きの情報・入れない情報の3段の線引きは、冒頭で紹介した医療AIの記事で、院内の業務の例とともに整理しています。

使える業務の例｜紹介状の下書きから院内マニュアルまで

患者情報を入れずに試しやすいのは、次のような仕事です。

• 院内マニュアルや手順書のたたき台づくり
• 職員向けの研修資料や、院内のお知らせの文案
• 検査の流れや来院時の持ち物など、患者向け説明資料の一般的な部分
• 英語論文や公的資料の要約と、読むべき箇所の洗い出し
• 紹介状や診断書の定型部分の文案（患者の情報と所見は医師が自分で書き入れる）
• 患者の話題を含まない会議の議事録の整形

患者情報を含む文書に生成AIを使う医療機関もあります。恵寿総合病院（石川県七尾市）とUbieが看護師の退院時看護サマリの作成に生成AIを使った6週間の研究では、作成時間の平均が生成AIを使わなかった群で12分20秒、使った群で7分5秒だったと、Ubieが2024年9月30日に発表しています。病院側も第65回全日本病院学会で発表しました。これは当事者の発表で、第三者が検証した数字ではありません。患者情報まで扱うなら、次に挙げるような専用の環境を用意したうえでの取り組みになります。

ハルシネーション（誤情報）への注意

ChatGPTは、もっともらしい誤りを混ぜた文章を返すことがあります。薬の用量や検査の基準値、制度の日付のように、1か所の誤りが患者の不利益につながる情報は、必ず添付文書や公的資料など元の資料で確かめましょう。医療者向けの文書は医師や担当者が読み直してから使い、患者に渡す資料は誰が最終確認したかを記録に残す運用にすると安心です。

オンプレミス・院内処理・医療向け基盤という選択肢

患者情報を含む文書まで生成AIに任せたい場合は、汎用のChatGPTとは別の環境を選ぶことになります。院内のサーバで動かすオンプレミス型、クラウドでも入力を保存しない契約を結んだ形、医療機関向けに作られた生成AI基盤などが候補に挙がります。慶應義塾大学病院は2025年6月17日、アルサーガパートナーズと共同開発した退院サマリの作成支援システムを病院内の閉じたネットワーク内に構築し、外部のOpenAIのサービスとは専用の通信経路だけでつなぐ構成で、3省2ガイドライン等に準拠していると両者が発表しました。ただし院内で処理する形や閉じたネットワークを使う形にしても、個人情報保護法や安全管理ガイドラインの適用がなくなるわけではないと、法律事務所の解説は指摘しています。環境を選ぶ前に、どの業務でどの情報を扱うのかを先に書き出してみてください。

職員が個人のChatGPTに患者情報を入れていたら

個人のChatGPTに患者情報が入力されていたと分かったら、責める前に事実を確かめ、院内の報告の流れに乗せることが先になります。次の順で進めると、判断に必要な材料がそろいます。

1. 入力した日時と内容（氏名・生年月日・病名・検査結果などが含まれていたか）、使ったアカウントとプランを本人から聞き取る
2. そのアカウントで「すべての人のためにモデルを改善する」がオンだったか、一時チャットだったかを確認する
3. 院内の個人情報保護の責任者に報告し、聞き取った内容を記録に残す
4. 個人情報保護委員会への漏えい等報告の対象に当たるか（おそれを含む）を、責任者が検討する
5. 使ってよい環境と入力してはいけない情報を、全職員に改めて周知する

個人情報保護委員会は報告が義務となる場合として4つの類型を示しており、病歴を含む個人データは、その1つ目である要配慮個人情報が含まれる個人データの漏えい等（そのおそれを含む）に関わりうる情報となります。報告の期限は、速報が発覚日から3〜5日以内、確報が発覚日から30日以内（不正の目的で行われたおそれがある場合は60日以内）とされています。ただし、AIへの入力がそのまま漏えい等に当たるかどうかは、委員会のページには書かれていません。入力の内容や設定、提供事業者の側での扱いによって判断が変わるため、判断に迷う場合は、個人情報保護委員会や顧問の弁護士に早めに相談しましょう。

個人アカウントの設定や履歴は本人の画面で操作するもので、学習のオプトアウトの対象は新しい会話と説明されています。一般企業向けの対応の流れは社員が個人のChatGPTを業務で使っていたときの対応の記事も参考になります。

院内の利用範囲を決める｜規程の条文ひな形と職員への周知文

禁止の通知だけを出すと、便利さを知った職員が個人のアカウントで使い続ける形になりやすくなります。使ってよい環境と入れてはいけない情報を、規程と周知文の両方で示しておきましょう。以下は院内規程に入れる条文の例で、各医療機関の実情に合わせて書き換える前提のひな形となります。

※以下の条文例と周知文は、この記事のために作成したひな形であり、法的助言ではありません。採用する前に、顧問弁護士など専門家の確認を受けてください。

院内規程の条文ひな形

条文の中身は、冒頭で紹介した医療AIの記事にある院内ルールの4項目（使ってよいサービス、入力する情報の区分、出力の確認と承認の責任者、誤入力時の報告先と見直し時期）を、条文の形に置き換えたものです。第3条は、HAIPのガイドラインが利用者に求める、組織が利用可能と判断したサービスを使うという考え方とも重なります。

職員への周知文の文例

規程とは別に、全職員が1枚で読める周知文を、院長名や事務長名で配ってみてください。

誤って入力した職員がためらわずに報告できるよう、4つ目の一文は残しておくことをおすすめします。禁止だけで済ませた場合に起きることは生成AIの使用禁止で起きること、規程全体の作り方は生成AIの社内ガイドラインの作り方で確かめることが出来ます。

海外製品のニュースの読み方

海外の話題は日本の規制と混ざって伝わりやすいため、分けて読むことが大切です。OpenAIは米国の事業者で、法人向けの一覧には医療機関向けのChatGPT for Healthcareも挙がっており、既定で学習に使わないと説明しています。日本の医療機関が契約できるかどうかや提供の条件は、この記事では扱いません。日本の医療機関がまず守るのは、医師法や個人情報保護法、厚生労働省のガイドラインといった国内のルールとなります。海外の製品名や規制のニュースを見かけたら、4つの層のどこに影響する話なのかを確かめてから、院内の判断に取り入れるようにしましょう。

よくある質問

まとめ

医療機関でのChatGPTの利用を一律に禁じる法律はなく、主に制限されているのは、条件を満たさない患者情報の入力、医師が確認しない診断や診断書、有資格者の関与がない個別の助言の3つです。患者情報を入れる場合の条件は、厚生労働省のQ&A（令和8年9月）のQ18が示す「学習等のために保存されない」ことの契約上の担保と、個人情報保護法上の整理の両方で考えることになります。30日程度の保持をどう読むかは解説の間でも見方が分かれているため、契約の書面で保存の有無と期間を確かめるのが確実でしょう。

院内では、患者情報を入れない運用ルールと、事務作業に使う学習させない環境を分けて整え、規程と周知文で職員に伝えていきましょう。ほかの業種別の記事はAI活用コラム一覧から探すことが出来ます。