日本の医療分野におけるAI規制は、性質の大きく異なる二つの層から成り立っている。日本独自のAI関連新法であるAI推進法は、任意参加型で罰則を伴わない枠組みにとどまる。実際に病院、医療機器メーカー、ヘルステック企業が臨床現場でAIシステムを用いる際の行動を拘束しているのは、AI以前から存在するセクター別の拘束力を持つ法律である。すなわち、独立行政法人医薬品医療機器総合機構(PMDA)が執行する医薬品医療機器等法、診断・治療を医師免許保有者に限定する医師法、そして患者データに適用される個人情報保護法(APPI)である。本稿では、これら各制度が医療分野のAIをどのように扱っているか、そしてAIを開発・導入する組織にとって実務上何を意味するかを整理する。

PMDAによるAI医療機器の規制

日本では、AIを用いたソフトウェアを含む医療機器プログラムは、2014年11月25日に施行された「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律」、いわゆる医薬品医療機器等法(薬機法)によって規制される。診断、治療または疾病予防を目的とするソフトウェアは、誤作動時に患者に中程度以上のリスクを及ぼす場合、SaMD(プログラム医療機器)として扱われる。これは日本の四段階のリスク分類(クラスIからクラスIVまで)のうちクラスII以上に相当する。健康管理や一般的な情報提供を目的とした低リスクのソフトウェアはSaMD規制の対象外となる。クラスI製品は届出で足り、多くのクラスII製品は認められた基準への第三者認証によって対応できるが、より高リスクまたは新規性の高い製品、実務上その大半をAIを用いた診断支援ソフトウェアが占めるが、これらは臨床的有用性、性能、安全性の審査を経てPMDAから個別に承認を得る必要がある。PMDAはSaMD専門の審査部門を設け、開発者が自社製品がそもそも規制対象に該当するかどうかを早期に見極められるよう、段階別の事前相談サービスを提供している。(PMDA, Software as a Medical Device)

日本で承認されたAI搭載SaMDは、放射線領域をはじめとする画像診断支援に大きく偏っており、数十件の製品が承認を受けているが、その多くは広範な自律型診断システムではなく、定められたタスクの範囲内で臨床医を補助する、対象を狭く絞ったツールである。画像診断以外の例もある。CureApp SCは、医師の監督と連携したAI支援コーチング機能を組み込んだ処方型禁煙治療アプリであり、この枠組みの下で承認された初期のデジタル治療(DTx)の一つである。(Journal of Global Health Medicine, Japanese regulation and approval process for medical AI as SaMD)

学習を続けるAIのための仕組み、IDATEN・DASH・SAKIGAKE

AI搭載医療機器における本質的な規制上の課題は、機械学習モデルが市場投入後も学習を続けるよう設計されうる点にあり、これは製品仕様を承認時点で固定することを前提とする医療機器承認の考え方とは相性が悪い。日本はこの問題に他の多くの法域より早く対応しており、その仕組みが2020年9月から施行されているIDATEN(変更計画確認手続、Improvement Design within Approval for Timely Evaluation and Notice)である。IDATENでは、製造販売業者が初回申請時にあらかじめ合意した変更計画を提出することで、継続学習型AIの再学習や性能変更を含む一定のカテゴリーの市販後ソフトウェア更新について、都度の新規承認ではなく簡略化された届出手続での実装が可能になる。PMDAはこのほか、ソフトウェア製品に特化して相談・審査の迅速化を図るDASH for SaMDや、深刻な医療ニーズに応える真に革新的な医療機器の審査を優先的に進める先駆的医療機器指定制度(SAKIGAKE)も運用しており、AI搭載SaMDの開発者はいずれも活用できる。(PMDA, Report on AI-based Software as a Medical Device)

こうした仕組みが整っていてもなお、日本の制度を研究する規制当局や研究者は、生成AIやより広範な適応型AIモデルが臨床応用に近づくにつれて生じる未解決の課題を指摘している。あらかじめ定められた選択肢の中から出力を選ぶのではなく生成する仕組みを持つシステムについて、固定的な「使用目的」をどう定義するか、自然言語による出力の信頼性をどう評価するか、そして市場投入後に性能が変化しうるシステムのライフサイクル全体をどう監督し続けるか、といった点である。これに対して推奨される対応は、承認を一度きりのイベントとして扱うのではなく、実際に規制対象となっている範囲を明確にすること、市販後のライフサイクル管理を強化すること、臨床医に対する透明性を高めること、そしてツールの限界についての臨床医のリテラシーを高めることに重点を置いている。

最終判断者はあくまで医師である

医療機器の承認という論点の根底には、実務上はむしろより重大な、別の法的制約が存在する。日本において医業を行えるのは医師免許を持つ者に限られるという原則である。厚生労働省(MHLW)は2018年12月19日付の通知(医政医発1219第1号)で、AIがこの原則にどう関わるかを直接示しており、プログラムがAIによる診断・治療支援を提供する場合であっても、診断や治療を行う主体はソフトウェアではなく医師であり、最終判断の責任は医師が負うことを明確にしている。AIは、医業を医師免許保有者に限定する医師法第17条の下で、医師の意思決定プロセスの一部を支援するツールと位置づけられる。医師の判断を経ずにAIシステムが診断を下し確定させることを許容するような製品やワークフローは、同条に抵触するリスクを負うことになる。病院にとっても開発者にとっても、これが意味するのは、日本における臨床AIツールは、基盤となるモデルの性能がいかに優れていようとも、自律的な臨床上の意思決定主体としてではなく、医師が確認し最終的に承認する意思決定支援として構築・導入されなければならないということである。

AI推進法とAI事業者ガイドラインの位置づけ

日本初の国レベルのAI法制であるAI推進法は、2025年5月28日に国会で可決され、同年6月4日に公布されたが、医療分野に特化した制度を新設するものではなく、医薬品医療機器等法が定める拘束力ある承認要件にも影響を及ぼさない。同法は罰則、禁止行為、義務的な適合性評価のいずれも伴わない、推進・枠組み型の法律であり、事業者に課される唯一の義務は、政府のAI関連施策に協力するよう努めるという、拘束力を持たない第7条の努力義務にとどまる。病院や医療AI開発者にとって、同法の実務上の関連性は、臨床現場でのAI利用に直接上乗せされるコンプライアンス義務ではなく、内閣に置かれるAI戦略本部やAI基本計画といった、同法が生み出すより広い制度的枠組みに限定される。

経済産業省と総務省が共同で策定したAI事業者ガイドラインは、2026年3月31日の改訂を経て現在バージョン1.2となっているが、これも同様に任意の枠組みでありながら、ヘルステックを含む分野横断的なAIガバナンス実務における事実上の注意義務基準(デファクトスタンダード)として機能している。医療機関にとって同ガイドラインが最も関連性を持つのは、PMDAのSaMD該当基準そのものに満たないAIツールである。事務作業支援AI、外来・診察の記録を自動生成するアンビエント文書作成ツール、自ら診断は行わないトリアージ用チャットボット、その他、医薬品医療機器等法の規制対象となるクラスII以上のリスク基準を満たさずに医療提供を支援するシステムなどがこれに当たる。これらは日本の病院やヘルステック製品において広く用いられており、その領域では医薬品医療機器等法ではなくAI事業者ガイドラインこそが主要なガバナンス上の参照先となる。したがって、このカテゴリーのツールについては、法律が技術的に求める以上に、ガイドラインが示すリスクマネジメント手法を自発的に採用することの重要性が実質的に高まっている。

個人情報保護法、患者データを拘束する法的枠組み

医療AIシステムの学習、検証、運用に用いられる患者情報は、そのほとんどが個人情報保護法(APPI)上の「要配慮個人情報」に該当する。このカテゴリーには病歴のほか、人種や犯罪歴といった機微な属性も含まれる。要配慮個人情報を取得するには本人の事前同意が必要であり、個人情報保護法が通常の第三者提供について認めているオプトアウト方式は、要配慮個人情報には適用できない。個人情報保護法の執行機関である個人情報保護委員会(PPC)は、医療・介護分野の事業者向けに個人情報の取扱いに関するガイダンスを別途公表しているほか、2023年6月2日付の注意喚起において、生成AIサービスに個人情報を入力することのプライバシー上のリスクについて、生成AI利用者一般に向けて警鐘を鳴らしている。(PPC, alert on generative AI service use)診療記録に対して大規模言語モデルを試験的に利用する病院やベンダー、あるいは患者記録をもとに診断モデルを学習させる開発者は、AI推進法やAI事業者ガイドラインがどう定めていようとも、それとは独立した拘束力あるコンプライアンス上の道筋として、個人情報保護法上の同意、越境移転、安全管理措置といった要件に対応する必要がある。

データ活用の専用ルート、次世代医療基盤法

個人情報保護法の同意要件は、研究やAI開発のために診療記録を大規模に二次利用することを難しくしている。そこで日本は、この目的のために別個の法律、通称「次世代医療基盤法」(正式名称「医療分野の研究開発に資するための匿名加工医療情報に関する法律」)を制定した。同法により、認定事業者は参加医療機関から医療情報を収集し、匿名加工医療情報(2023年改正により2024年4月1日以降は仮名加工医療情報も対象)に加工した上で、AIモデル開発を含む研究者や企業への提供を、収集時点でのオプトアウトの機会を確保することを条件に、個別の下流利用ごとに本人同意を得ることなく行うことができる。2023年改正で新設された仮名加工医療情報という区分は、規制対応の観点から特に重要である。匿名加工医療情報のように外れ値や希少疾患の識別につながりうる情報を除外する必要がないため、匿名加工医療情報では通常支えられない医療機器承認の裏付け資料としてPMDAに提出することが可能になる。(Japanese Law Translation database, Act on Anonymized Medical Data)医療AI開発者にとって、大規模な学習用データセットを構築する現実的な手段となるのは、個人情報保護法の通常の同意ルートよりも、むしろこの次世代医療基盤法であることが多い。

システムセキュリティとデジタルヘルスを取り巻く環境

AIツールを導入する病院は、厚生労働省の「医療情報システムの安全管理に関するガイドライン」の適用も受ける。同ガイドラインは2023年にバージョン6.0へ改訂され、単一の文書ではなく複数の分冊構成へと再編された。この改訂はゼロトラストネットワークの考え方への転換と、クラウド型システムへの対応を明示的に反映したものであり、院内サーバーではなくオンプレミス外や外部ベンダーのインフラに依存して稼働するAIツールにとって特に関連が深い。これは、病院の電子カルテや事務システムの近代化を目指す政府のより大きな枠組みである「医療DX令和ビジョン2030」の一部に位置づけられており、標準化された診療データの上に生成AIなどの最新ツールを導入しやすくすることも、その狙いの一つとなっている。これとは別に、厚生労働省の「オンライン診療の適切な実施に関する指針」および関連する遠隔医療推進に関する厚生労働省の政策的ガイダンスが、日本の遠隔医療の拡大に伴って増加しているAI支援型の遠隔診療ツールを、上記と同じ医師責任の枠組みの中で規律している。

医療機関にとっての実務上のガバナンス留意点

  • 導入前に、使用するすべてのAIツールを規制上のトラックごとに分類する。PMDA承認済みのSaMDか、任意のガイドラインが適用される非SaMDの事務・文書作成AIか、あるいは汎用AI機能が規制対象の臨床ワークフローに組み込まれるハイブリッド型かを見極める。
  • AIが関与する診断・治療のアウトプットについて、医師法第17条に関する厚生労働省の2018年通知に沿って、医師が最終判断者であることを記録として残す承認ワークフローを構築する。
  • 実証実験やベンダーによるデモを含め、AIシステムに投入する患者データはすべて要配慮個人情報として扱い、個人情報保護法に適合する同意を確保する。クラウドやベンダーとの契約に合意する前に、データが日本国外に持ち出されるかどうかを必ず確認する。
  • 特にクラウド上で稼働する、またはベンダーが管理するAIツールについては、システムアーキテクチャを厚生労働省の医療情報システム安全管理ガイドラインの最新版に整合させる。
  • IDATENに基づく変更計画を有するAI搭載機器については、市販後のどのカテゴリーの変更があらかじめ承認されており、どの変更が新規申請を要するのかを追跡管理し、いずれの場合も性能の変化(ドリフト)を継続的に監視する。

ヘルステック企業・開発者にとっての実務上のガバナンス留意点

  • 製品設計や臨床上の効能表示を確定させる前に、SaMD特化型やスタートアップ向けの窓口を含むPMDAの相談サービスを早期に活用し、規制上の分類を見極める。
  • 継続学習を伴う製品については、初回承認後に事後的に対応するのではなく、当初からIDATENに対応した変更計画を設計に組み込む。
  • 学習データの調達は、個人情報保護法に適合する同意に基づくか、診療記録を大規模に利用する場合は、非公式なデータ共有の取り決めではなく次世代医療基盤法の認定事業者ルートを通じて行う。
  • 学習データに著作権のある医学文献や画像が含まれる場合、著作権法第30条の4により権利者の許諾なくAI学習のための解析目的での利用が認められるが、これは権利者の利益を不当に害しない場合に限られ、一律の免責ではなく個別事案ごとの判断であることに留意する。
  • 医薬品医療機器等法の規制対象外となるAI機能については、AI事業者ガイドラインを実務上の注意義務の基準として採用する。非SaMDツールで問題が生じた場合、判断基準となるのは医療機器法制ではなく、この任意の枠組みだからである。
  • 臨床現場向けのアウトプットは、医師が確認し、必要に応じて覆せるように設計する。AIが診断や治療の判断を確定させてしまうワークフローは、当該機器の承認状況にかかわらず、医師法第17条に抵触するリスクを伴う。

構造から見えてくること

医療分野は、日本のAIガバナンス全体を貫くパターンをはっきりと示す事例といえる。AI推進法とAI事業者ガイドラインというAI特化型の層は任意のものであり、それ自体が臨床上の義務を生み出すわけではない。病院、開発者、ヘルステック企業を実際に拘束しているのは、AI以前から存在し、AIに特化していない法律である。医療機器に該当するものについてはPMDAが執行する医薬品医療機器等法、誰が診断・治療を行えるかについては医師法、そしてAIシステムが依拠するあらゆる患者データについては個人情報保護法である。AI推進法への対応をコンプライアンスの到達点とみなす組織は、日本の医療分野において実際に法的な結果を伴う枠組みを見落とすことになるだろう。

一次情報源

関連記事