福祉×生成AIの利用ルール雛形|8条構成でそのまま作れる

「利用者の氏名を入れたまま、記録の下書きを生成AIに作らせてしまった」――福祉現場で生成AIの活用が広がる一方、こうしたヒヤリとする場面は職員個人の注意だけでは防ぎきれません。必要なのは、事業所として「何を・どのサービスで・どう使ってよいか」を明文化した利用ルールです。本記事では、介護・障がい福祉・児童福祉の事業所がそのまま叩き台にできる「8条構成の利用ルール雛形」を、条文ごとの書き方とあわせて解説します。なお本記事は一般的な情報提供であり、個別の法的助言ではありません。

なぜ福祉事業所に「明文化された利用ルール」が必要か

個人情報保護委員会は、生成AIサービスの普及を受けて注意喚起を公表しています(出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」、2023年6月2日)。個人情報取扱事業者向けの注意点は大きく2つです。

• 個人情報を含むプロンプトを入力する場合には、特定された利用目的の達成に必要な範囲内であることを十分に確認すること
• あらかじめ本人の同意を得ることなく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反する可能性がある。そのため、サービス提供事業者が入力データを機械学習に利用しないこと等を十分に確認すること

福祉事業所にとってこの注意喚起が特に重いのは、日常的に扱う情報の性質ゆえです。病歴は個人情報保護法第2条第3項が定める「要配慮個人情報」に含まれ、心身の機能の障がいに関する情報も同法施行令第2条で特に配慮を要する記述等として定められています(出典: e-Gov法令検索「個人情報の保護に関する法律」第2条第3項・同法施行令第2条)。つまり福祉現場の記録や相談内容は、その多くが法律上とりわけ慎重な取り扱いを求められる情報なのです。

ルールが明文化されていない事業所では、「どこまで入力してよいか」の判断が職員ごとにばらつきます。禁止だけでは隠れて使う職員が出かねず、放任では入力事故が起きる。この両極を避ける道具が利用ルールです。盛り込むべき観点の全体像は生成AIサービス利用時の社内ガイドライン作成のポイントで解説しているため、本記事では一歩進めて「規程文書としての具体的な章立て・条文構成」に絞ります。

利用ルール雛形|8条構成の全体像

雛形は、リスクが生まれる3つの発生点――「入力の場面」「出力の場面」「運用の場面」――に条文を対応させ、その土台に目的と適用範囲を置く8条構成です。

第1条(目的)

「本規程は、当法人における生成AIサービスの利用に関し、個人情報の保護と業務の質の向上を両立するために必要な事項を定める」といった一文を置きます。禁止のためではなく安全に活用するためのルールだと冒頭で宣言することが、現場の納得感を左右します。

第2条(適用範囲)

対象者(常勤・非常勤・実習生等)と対象場面を定めます。重要なのは、業務に関する内容であれば個人所有のスマートフォンからの利用も対象に含めると明記すること。抜け道を残すと、最もリスクの高い経路が規程の外に残ります。

第3条(利用できるサービスの指定)

事業所として承認した生成AIサービスを別表で指定し、それ以外での業務利用を原則不可とします。承認の基準として「入力データが機械学習に利用されない設定・契約であることを確認済みか」を明記すると、前述の注意喚起の趣旨と整合します。

第4条(入力してはならない情報)

雛形の核です。氏名・住所等の直接識別情報に加え、福祉現場では「病歴・障がいの内容・生活歴などの要配慮個人情報を含む記述」「複数の情報の組み合わせで本人が特定され得る記述」を例示します。抽象的な禁止ではなく、「イニシャルでも生年月日と事業所名が併記されれば特定され得る」といった現場の具体例で書くことが、実効性の分かれ目です。

第5条(出力の確認と利用範囲)

生成AIの応答には不正確な内容が含まれ得るため、出力をそのまま記録や文書として確定させず、必ず職員が内容を確認・修正してから用いることを定めます。責任の所在は常に確認した職員と事業所にある、という原則もここに置きます。

第6条(利用者・ご家族への説明と同意)

利用者に関する情報を扱う場面でAIを用いる場合の説明方法と、同意の記録方法を定めます。誰に・いつ・どのように説明し、同意状況をどこに記録するかまで書いて初めて運用できます。具体的な進め方は利用者の同意取得プロセスの実務ポイントと生成AI活用時の考え方が参考になります。

第7条(教育・研修)

入職時と年1回以上の定期研修を定め、研修記録を残すことを明記します。ルールは配布しただけでは機能しません。「なぜこの入力が危ないのか」を事例で伝える場を制度として組み込みます。

第8条(インシデント対応と見直し)

誤入力に気づいたときの報告先・報告期限と、責めない報告文化(報告者を不利に扱わない)を定めます。あわせて、サービスの仕様変更や制度改正に応じて規程自体を定期的に見直す条項を置きます。組織全体の安全管理の枠組みは福祉事業所での生成AI利用における「安全管理措置」の考え方で整理しています。

雛形を「自事業所の規程」に仕上げる3つのカスタマイズ

8条の骨格は共通でも、そのまま流用しては機能しません。次の3点を自事業所仕様に置き換えます。

• 場面の別表化:訪問・通所・入所・児童など、自事業所のサービス種別ごとに「よくある利用場面と入力可否の例」を別表にします。条文本体を変えずに別表だけ更新できる構造にしておくと、改定が容易です。
• 承認サービス一覧の管理:第3条の別表には承認日と確認者を記載し、更新履歴を残します。生成AIサービスは仕様変更が速いため、「いつ時点の確認か」が分かることが重要です。
• 既存規程との整合:個人情報保護規程・記録管理規程・就業規則と重複や矛盾がないかを確認し、上位規程との関係(どちらが優先するか)を明記します。

ルールと同時に、「守りやすい環境」を用意する

利用ルールの実効性は、職員の記憶力ではなく仕組みで担保するのが現実的です。たとえば福祉専用AIのHope Care AIには、利用者ごとのAI同意状況の管理、ユーザー招待・権限管理、操作履歴(監査ログ)といった機能があり、第6条(同意)や第8条(点検)の運用を規程の文言どおりに回す土台になります。汎用の生成AIを個人任せで使う状態と、事業所が管理できる環境で使う状態とでは、同じルールでも守りやすさが大きく変わります。料金はStarterプランで月額5万円〜です。

人材確保が構造的に難しいなかで、記録や書類作成の負担を仕組みで軽くすることと、個人情報を守ることは、どちらかを選ぶ話ではありません。8条の雛形を叩き台に、自事業所の言葉で書き直すことから始めてみてください。

よくある質問

Q. 雛形をそのまま施行してもよいですか?
A. そのままの施行はおすすめしません。サービス種別ごとの利用場面や既存規程との整合は事業所ごとに異なるためです。本記事の8条を骨格に自事業所の実態へ合わせ、必要に応じて専門家の確認を受けてください。

Q. 職員が個人のスマートフォンで無料の生成AIを使う場合も対象になりますか?
A. 業務に関する内容を扱うのであれば、適用範囲(第2条)に含めることをおすすめします。私物端末を対象外にすると、最も管理の届かない経路が規程の外に残ってしまいます。

Q. 利用ルールを整備すれば、利用者の同意は不要になりますか?
A. ルールの整備と同意は別の問題です。個人情報保護委員会の注意喚起では、本人の同意なく個人データを含むプロンプトを入力し、応答結果の出力以外の目的で取り扱われる場合には法違反となる可能性が指摘されています。入力する情報の内容とサービスの仕様に応じて、説明と同意の要否を個別に判断する運用を第6条に定めておきましょう。