利用者やその家族から「自分に関する記録を見せてほしい」「AIが作った記録も含めて開示してほしい」と求められたとき、事業所はどう対応すればよいでしょうか。個人情報保護法上の「保有個人データの開示請求」は、生成AIを業務に取り入れている事業所にとって新しい論点を含みます。この記事ではチェックリスト形式で実務対応を整理します。
そもそも「保有個人データ」とは
保有個人データとは、事業者が開示・訂正・利用停止等の権限を持つ個人データのうち、一定の要件を満たすものを指します。紙の記録だけでなく、電子カルテやクラウド上の支援記録、そして生成AIが作成した議事録やケース記録の下書きも、事業所が保有・管理している限り対象に含まれ得ます。
開示請求への対応チェックリスト
- 請求者が本人または正当な代理人であることを確認したか
- 対象となる記録の範囲(紙・電子データ・AI生成物)を洗い出したか
- AIが下書きし職員が確認・修正した記録は、最終版のみを対象とするか下書き段階も含めるか、社内ルールを定めているか
- 開示によって第三者(他の利用者や家族)の情報が混在していないか確認したか
- 開示の方法(書面交付、電磁的記録の提供など)を本人の希望に沿って選べるようにしているか
- 手数料を定めている場合、その額と根拠を説明できるか
生成AIが自動生成した記録の「途中経過」やプロンプトの入力履歴まで開示対象に含めるべきかは、事業所の記録管理方針によって扱いが分かれます。判断に迷う場合は自己流で決めず、専門家に相談したうえで社内規程に明文化しておくことが望ましいです。
AI生成記録特有の論点
生成AIで作成した議事録やケース記録の下書きには、次のような特有の論点があります。
| 論点 | 考え方の例 |
|---|---|
| 下書きと確定版の違い | 職員が確認・修正した確定版を保有個人データとして管理し、下書きは一定期間後に削除する運用が考えられる |
| 誤った内容が含まれていた場合 | 訂正請求への対応として、確定版のどこをどう修正したか履歴を残す |
| 複数利用者の情報が混在 | グループワークの議事録など、他利用者の情報を含む場合はマスキングして開示する |
開示請求を受けた際の初動対応
請求を受けたら、まず窓口担当者を明確にし、いつまでに(法律上は「遅滞なく」とされていますが、実務上は2週間から1か月程度を目安にする事業所が多いです)対応するかを本人に伝えることが信頼関係の維持につながります。次に、記録が複数のシステム(紙台帳、介護記録ソフト、生成AIツール)に分散している場合は、どこに何があるかの棚卸しをあらかじめ行っておくと、請求のたびに慌てずに済みます。
開示請求は頻繁に発生するものではありませんが、いざ発生したときに記録の所在がわからず対応が遅れるケースが多く見られます。年1回程度、記録の保管場所と管理者を棚卸しする「記録マップ」を作っておくと、開示請求にも監査にもスムーズに対応できます。
ツール選定時に確認したい点
Hope Care AIのような支援記録・議事録作成を支援するツールを選ぶ際は、作成した記録をどのように保存・出力できるか、開示請求があった際に本人向けの形式で書き出せるかも確認しておくと安心です。機能一覧のページで記録の管理・出力に関する仕様を確認し、セキュリティのページでアクセス権限の設計を確認することをおすすめします。
開示請求は利用者本人の権利であると同時に、事業所にとっては記録管理の質を見直す機会でもあります。生成AIの活用が進むほど、どこまでが「保有個人データ」に含まれるのかを社内で明確にしておくことが、トラブルを未然に防ぐ鍵になります。
監修
株式会社オルデンティアコーポレーション 福祉DXコンサルタント
福祉施設のDX・生成AI活用を専門に支援。本記事は現場の実務課題に基づき執筆・監修しています。