障がい福祉サービスでは、相談支援事業所、医療機関、行政、他の福祉事業所など、複数の関係機関と連携しながら支援を行う場面が多くあります。生成AIを使って情報共有用の資料を作成する際、「どこまでが第三者提供にあたるのか」「AIを介した情報のやり取りは通常の共有と何が違うのか」を整理しておくことが実務上重要です。本記事ではこの線引きについて解説します。
第三者提供の基本的な考え方
個人情報保護法上、本人の同意を得ずに個人データを他の事業者に提供することは、一部の例外を除いて原則として認められていません。相談支援事業所や医療機関との連携であっても、これらが法人格の異なる第三者である以上、情報共有には本人（または代理人）の同意、あるいは法令上の例外事由が必要になります。生成AIを使って要約・整形した資料であっても、この基本原則は変わりません。
- 同一法人内・同一事業所内での情報共有は、通常「第三者提供」にはあたらない
- 法人が異なる他の相談支援事業所や医療機関への提供は、原則として本人同意が前提になる
- 複数事業所が連携するケース会議などでの情報共有も、目的外利用にならないよう注意が必要
「関係機関だから共有してよい」という思い込みは禁物です。連携先が法人として別であれば第三者提供に該当しうるため、同意取得の有無を必ず確認する習慣をつけましょう。
本記事で扱う「第三者提供」は、他の法人・事業所など外部の組織へ利用者情報を渡す場面のルールです。生成AIやクラウドサービスのベンダーにデータを預ける場面は、「委託」や「クラウド例外」という別の枠組みで整理されます。そちらはクラウド例外の解説・生成AI利用と第三者提供の関係をご覧ください。
生成AIで作成した資料を共有する際の注意点
生成AIを使って複数の記録を要約し、関係機関向けの共有資料を作成するケースが増えていますが、この場合も次の点に注意が必要です。
- 要約の元になった記録に含まれる同意の範囲を超えた情報が、要約資料に紛れ込んでいないか
- 共有先の関係機関が必要としている情報以上の内容（不要な生活歴や家族情報など）が含まれていないか
- AIによる要約段階で、本人が伝えていない推測や誤った内容が混入していないか
連携パターン別の対応イメージ
| 連携パターン | 第三者提供該当性の目安 |
|---|---|
| 同一法人内の他事業所 | 原則として第三者提供にあたらないことが多い |
| 別法人の相談支援事業所 | 第三者提供に該当し、本人同意が前提 |
| 医療機関 | 第三者提供に該当し、本人同意が前提 |
| 行政（法令に基づく照会） | 法令に基づく場合は例外規定に該当しうる |
この表はあくまで一般的な目安であり、個別の事案の該当性については個人情報保護委員会のガイドラインを確認し、判断に迷う場合は弁護士等の専門家に相談することが望ましいです。
同意取得の実務：いつ、どのように取るか
- サービス利用開始時に、想定される連携先（相談支援事業所、医療機関等）を具体的に説明し、包括的な同意を得る
- 想定外の連携先と新たに情報共有する必要が生じた場合は、その都度個別の同意を得る
- 同意の記録（同意書、同意日、同意範囲）を残し、後から確認できるようにしておく
ケース会議での生成AI活用の工夫
複数機関が参加するケース会議の資料作成に生成AIを使う場合、会議の参加者ごとに必要な情報の範囲が異なることもあります。全員に同じ詳細資料を配布するのではなく、参加者の役割に応じて共有範囲を調整した資料をAIで作成し分けるという工夫をしている事業所もあります。
オプトアウト・利用停止の申し出があった場合の対応
本人・保護者から「特定の機関への情報共有をやめてほしい」という申し出があった場合、それ以降の共有を速やかに停止する体制が必要です。生成AIを使って定型的な共有資料を自動作成している場合でも、共有先リストから該当の利用者を除外する運用フローを明確にしておくことが求められます。
- 共有停止の申し出を受け付けた記録を残す
- AIによる資料作成の対象者リストから該当者を除外する手順を定めておく
- 関係機関側にも共有停止の意向を伝える必要がある場合の対応を決めておく
個人情報保護法上の「委託」との違いにも注意
他事業所への情報提供と、業務の一部を委託する場合（例えば記録作成業務を外部に委託する場合）とでは、個人情報保護法上の扱いが異なります。委託の場合は原則として本人の同意なく個人データを委託先に提供できますが、これは「本来の利用目的の範囲内で、委託先を適切に監督すること」が前提となります。生成AIベンダーへのデータ入力が「委託」にあたるのか「第三者提供」にあたるのかは、契約内容やデータの扱われ方によって判断が分かれるため、契約書の内容を確認し、不明な点は専門家に相談することが望ましいです。
生成AIベンダーとの関係が「委託」にあたる場合は、委託先の監督義務（安全管理措置の確認等）を果たしているかどうかが重要になります。契約時にこの点を明確にしておきましょう。
行政機関からの照会への対応
市区町村や都道府県からの照会は、法令に基づく場合には本人同意なく回答できる例外に該当することがありますが、この判断は照会の根拠法令や照会内容によって異なります。行政機関から情報提供を求められた際は、照会文書に記載された法的根拠を確認し、必要であれば顧問弁護士に相談したうえで対応することが望ましいです。生成AIを使って回答文書を作成する場合も、この確認プロセスを省略しないようにしましょう。
職員向け研修での伝え方
第三者提供の線引きは複雑に感じられがちなテーマですが、職員研修では「法人が違えば同意が必要」というシンプルな原則を繰り返し伝えることが効果的です。実際にあった連携の場面を具体例として取り上げ、「この場合は同意が必要だったか」を職員同士で考える演習形式の研修を行っている事業所もあります。
善意による情報共有であっても、同意なく行えば法令違反となる可能性があります。「連携のため」という目的の正当性と、手続きの適法性は別問題であることを職員全員が理解しておく必要があります。
グループホーム間・日中活動先との情報連携
同一法人が運営するグループホームと日中活動先（生活介護事業所等）との間で情報共有が行われる場合、法人内であっても事業所ごとに個人情報保護方針が独立していることがあります。法人内だから同意不要と一律に判断するのではなく、各事業所の個人情報保護規程を確認し、必要に応じて利用目的の範囲を整理しておくことが望まれます。
退院・退所支援における他機関連携の特殊性
医療機関からの退院支援や、他の福祉施設からの退所支援にあたっては、短期間のうちに複数の関係機関と情報をやり取りする必要が生じることがあります。時間的制約がある中でも、同意取得のプロセスを省略してよいわけではなく、緊急性が高い場合は口頭同意を得た上で後日書面化するなど、状況に応じた同意取得の工夫が必要です。生成AIで迅速に共有資料を作成できる分、同意確認のステップを飛ばさないよう、あらかじめ手順を明確にしておくことが望まれます。
- 緊急性の高い連携でも、同意取得の記録は必ず残す（口頭同意の場合は後日書面化）
- 時間的制約を理由に共有範囲を無限定に広げない
- 退院・退所支援に特化した情報共有のひな形をAIとあわせて整備しておく
生成AIによる要約は「加工」であって「匿名化」ではない
生成AIに記録を要約させると、情報が整理されて個人が特定されにくくなったように感じられることがありますが、要約はあくまで文章の「加工」であり、法律上の匿名加工情報や仮名加工情報とは異なる概念です。要約された文章であっても、氏名や具体的な状況から本人が特定できる場合は、通常の個人データとして第三者提供のルールが適用される点に注意が必要です。
「共有してよいか」を毎回立ち止まって確認する習慣を
生成AIによって資料作成が容易になった分、情報共有のハードルも下がりやすくなっています。だからこそ、共有先が法人として別の第三者にあたるかどうか、同意の範囲内かどうかを、資料を作成・送付する前に立ち止まって確認する習慣が、これまで以上に重要になっています。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。