歯科医院はAIに患者情報を入れてよいか？｜安全に使う線引きと院内ルール7項目【個人情報保護法・医療広告ガイドライン】

結論：患者情報を入れなくてもAI活用の大半はできる。入れるなら「3つの確認」と「院内ルール7項目」

「スタッフがChatGPTに患者さんの相談内容を貼り付けていた」「口腔内写真をAIに読ませて説明文を作りたいが、これは大丈夫なのか」。

AIを院内で使い始めた先生から、この種の相談が増えています。

便利さは分かるけれど、何を入れてよくて、何を入れてはいけないのか、線引きが分からない。

そのまま放置すると、いつか誰かが「うっかり」で患者情報を外に出してしまいます。

結論を最初にお伝えします。

• 患者情報を入れなくてもできるAI活用が大半です。まずそこから始めれば、リスクをほぼ抱えずに効果を取れます。
• それでも患者情報を入れるなら、「学習に使われないか」「どの国に保存されるか」「第三者認証と契約があるか」の3つを、使う前に確認します。
• 個人の判断に任せず、院内ルールを7項目で決めて紙1枚にします。ルールがない状態が、いちばん危険です。

この記事では、当社が2026年6月に自社の運用のために調べた内容をもとに、歯科医院で現実的に守れる線引きを整理します。

なお、本記事は法的助言ではありません。

条文番号は個人情報保護法の該当条として書いていますが、細部の解釈は事案によって変わります。

同意文言や契約の整理は、弁護士など専門家の最終確認を受けてください。

「患者情報を入れない活用」の全体像は、以下の記事で解説しています。

• 歯科医院のAI活用 完全ガイド｜Webマーケティングで今日から使える7つの場面と、やってはいけない3つのこと【2026年版・実録つき】

何が問題になるのか｜AIに患者情報を入れると起きうる3つのこと

AIに患者情報を入れて何が問題になるのか、論点は3つに絞れます。

「AIの学習に使われるか」「データがどの国に保存されるか」「事業者を信頼してよい根拠があるか」です。

この3つを表にすると、確認すべきことが見えてきます。

論点	何が起きうるか	確認すること
学習利用	入力した内容がモデルの改善に使われ、手元から消せなくなる	学習不使用の明記があるか
越境移転	患者データが国外のサーバーに保存され、外国への提供に当たりうる	保存先の国と国内リージョンの有無
認証・契約	事業者の安全管理を医院が確認できない	第三者認証とDPA/BAAの有無

ここで押さえておきたいのが、医療情報の法律上の位置づけです。

病歴や診療内容は、個人情報保護法で「要配慮個人情報」に分類されます。

要配慮個人情報の取得には、原則として本人の同意が必要とされています（個人情報保護法20条2項）。

つまり、患者情報はふつうの個人情報より一段厳しく扱う前提で法律が組まれています。

次に越境移転です。

外国にある第三者に個人データを提供する場合、原則として本人の同意が必要とされています（個人情報保護法28条）。

AIサービスの多くは海外の事業者が運営しており、データの保存先も海外であることが少なくありません。

クラウドの利用がどの場合に「提供」に当たるかは解釈が分かれる場面もあるため、ここは専門家の確認が要ります。

最後に委託先の監督です。

AI事業者にデータ処理を委託していると整理できる場合、その提供は第三者提供に当たらないとされています（個人情報保護法27条5項1号）。

ただし、そのぶん委託先を監督する義務が医院側に残ります（個人情報保護法25条）。

「事業者に任せているから医院は関係ない」とはならない、というのがここでの要点です。

歯科医院がとくに気をつけたいのは、写真の多さです。

口腔内写真、顔貌写真、レントゲン画像、矯正の経過写真と、日常の診療で本人にたどれる画像が大量に生まれます。

文章の患者情報なら氏名を消す作業がありますが、画像は「そのまま貼り付ける」操作が一瞬で終わってしまいます。

だからこそ、画像を扱う場面ほど、あとで述べる線引きとルールが効いてきます。

入れる前の3つの確認｜学習不使用・保存先の国・認証と契約

それでも患者情報をAIに入れる場面があるなら、次の3つを使う前に確認します。

3つとも「先生ご自身が確認できる形で残す」ことがポイントです。

確認1：学習不使用の明記と、スクリーンショットの証跡

最初に見るのは、入力したデータがAIの学習に使われないと明記されているかです。

一般公開のチャットAI（無料版）は、入力内容が学習に使われうる設定になっているものがあると、現時点では説明されています。

法人向けプランやAPI経由の利用では、学習に使わないと明記している事業者が多いとみられます。

ここで重要なのは、確認したという事実を残すことです。

当社では、学習不使用の記載がある画面をスクリーンショットで保存し、取得日を添えて保管しています。

規約は変わることがあります。

「使い始めた時点で、こう書いてあった」を示せる状態にしておくと、後から説明が必要になった場面で役に立ちます。

確認2：保存先の国と、国内リージョンの有無

2つ目は、入力したデータがどの国のサーバーに保存されるかです。

事業者の説明ページに「データの保存場所」「リージョン」といった項目があるかを見ます。

国内リージョンを選べる構成であれば、越境移転の論点をそもそも避けられる可能性があります。

当社の場合、患者情報に近いデータを扱う可能性がある処理は、国内リージョンで動くAPI経由の構成を選ぶ方針にしています。

チャット画面に貼り付ける使い方と、API経由で自院の仕組みに組み込む使い方は、同じAIでもデータの扱いが変わりうるからです。

ここも仕様は事業者ごとに異なるため、「現時点でこう説明されている」を記録に残します。

確認3：第三者認証と、DPA/BAAの有無

3つ目は、事業者の安全管理を医院が確認できる根拠です。

ISOやSOCといった第三者認証を取得しているか、公開情報で確認します。

あわせて、DPA（データ処理に関する契約）や、米国の医療情報向けの契約であるBAAを締結できるかも見ておきます。

認証や契約があれば安全、と言い切れるものではありません。

ただ、先ほど触れた委託先監督（個人情報保護法25条）の観点では、「何を根拠に委託先を信頼したか」を医院が説明できる状態が求められます。

認証と契約は、その根拠になる材料です。

契約文言の読み方は、弁護士など専門家の確認を受けてください。

3つの確認を、事業者にそのまま聞く

公開情報だけで3つが確認できないときは、事業者に直接聞きます。

問い合わせの文面は、次の3問で足ります。

• 入力したデータと生成された出力は、モデルの学習や改善に使われますか。
  
  使われない場合、その根拠となる規約の箇所を教えてください。
• 入力したデータは、どの国のサーバーに保存されますか。
  
  国内リージョンを指定できますか。
• 取得している第三者認証と、締結できる契約（DPAなど）の一覧を教えてください。

回答はメールなど文字で残る形でもらい、学習不使用のスクリーンショットと同じ場所に保管します。

答えが曖昧な事業者のサービスには、患者情報を入れないと決めれば、それ自体がひとつの判断になります。

情報の線引き表｜そのまま入れてよい・仮名化すれば可・入れない

3つの確認が済んだサービスでも、何でも入れてよいわけではありません。

院内で迷わないように、情報を3つに分けて線引きします。

当社が自社運用で使っている整理を、表にしました。

区分	情報の例	考え方
そのまま入れてよい	医院の診療時間・アクセス・院内掲示の文案・求人票・一般的な歯の知識	患者を特定する要素がない
仮名化すれば可	年代・性別・主訴の傾向・口コミ本文（氏名を除く）・匿名化した相談内容	個人にたどれない形に加工してから
入れない	氏名・顔写真・口腔内写真と氏名の組み合わせ・カルテ本文・保険証情報・連絡先	要配慮個人情報や識別子そのもの

「仮名化すれば可」の列には注意点があります。

氏名を消しても、珍しい症例や、日付と年齢と地域の組み合わせで本人にたどれることがあります。

とくに顔写真は、氏名を外しても匿名化が難しい情報です。

「名前を消したから匿名」ではなく、「この情報から本人にたどれるか」で判断します。

もうひとつ、「入れない」の列に口腔内写真と氏名の組み合わせを入れた理由です。

口腔内写真だけなら本人にたどりにくいことが多いのですが、ファイル名やフォルダ名に氏名が入ったまま渡してしまう事故は起きやすいです。

写真をAIに渡す前に、ファイル名と画像内の文字（撮影日・患者番号など）を確認する手順を入れておくと防げます。

「仮名化すれば可」の情報を実際に加工するときは、次の順で進めると抜けが減ります。

• 氏名・患者番号・連絡先・保険証情報など、識別子そのものを削る。
• 日付は「8月」ではなく「夏ごろ」、年齢は「63歳」ではなく「60代」のように粗くする。
• 地域・職業・家族構成など、組み合わせで本人にたどれる情報を落とす。
• 最後に「院内の別のスタッフが見て、誰か分かるか」で見直す。

この手順を踏んでも迷う情報は、入れない側に寄せます。

加工の手間が大きいなら、それは「AIに入れるべき情報ではなかった」という合図でもあります。

当社が2026年7月から毎朝続けているコンテンツエンジン（記事・カルーセル・リール・ストーリー・Threads・YouTubeショートの展開、2026年9月7日時点で59本連続）では、患者情報は一切AIに入れていません。

入れているのは医院向けの一般的な知識と、自社の数字だけです。

これで運用が回っている以上、「患者情報を入れなくてもできる活用が大半」というのは、自社で確かめた実感でもあります。

院内ルール7項目｜チェックリスト

ここまでの内容を、院内で運用できる形に落とします。

7項目をチェックリストにしました。

先生が全部を担う必要はなく、「誰が」「いつ」を決めて紙1枚にすれば運用に乗ります。

項目	決めること	チェック
1. 同意	患者情報をAIに入れる場面の有無と、入れる場合の同意の取り方（文言は専門家確認）	□
2. 越境	使うAIの保存先の国。国内リージョンの有無	□
3. 学習不使用の証跡	記載のスクリーンショットと取得日を保管する場所	□
4. 保存・削除	AI側の履歴を残すか消すか。院内の出力保存期間と削除の担当	□
5. 漏洩時の報告フロー	誰が気づいたら誰に報告し、誰が外部への報告を判断するか	□
6. 利用記録	誰が・どのAIに・何を入れ・出力を何に使ったか。責任者の名前	□
7. 専門家確認	同意文言・契約・規約の読み方を確認してもらう相手と時期	□

7項目のうち、最初に手をつけたいのは「6. 利用記録」です。

誰がどのAIに何を入れているかが分からない状態では、他の6項目が決められません。

記録の形式はシンプルでよく、日付・担当者・使ったAI・入れた情報の区分（表の3区分のどれか）・出力の使い先の5列で足ります。

「5. 漏洩時の報告フロー」も先に決めておく価値があります。

要配慮個人情報を含む漏えいは、個人情報保護委員会への報告と本人への通知の対象になりうるとされています（個人情報保護法26条）。

起きてから調べると初動が遅れます。

「気づいた人は院長に即報告」「外部への報告の判断は院長と専門家」のように、二段階で決めておくだけでも違います。

「4. 保存・削除」は見落とされがちな項目です。

AI側の会話履歴を残す設定にしていると、入力した情報がアカウント上に蓄積し続けます。

患者情報を入れる可能性がある環境では、履歴を残さない設定を基本にし、院内に保存した出力も「いつ消すか」を決めておきます。

スタッフが退職したときにアカウントをどうするかも、ここに含めておくと後で困りません。

厚生労働省の「医療情報システムの安全管理に関するガイドライン」も、院内のルールを作るときの参照先になります。

AIに限った文書ではありませんが、医療情報を外部サービスで扱うときの基本的な考え方が整理されています。

よくある誤解3つ｜「履歴を消せば大丈夫」「匿名化したつもり」「個人のスマホで使っている」

相談を受けるなかで、繰り返し出てくる誤解が3つあります。

どれも悪意はなく、「これくらいなら」という感覚から起きています。

誤解1：「無料版でも、履歴を消せば大丈夫」

チャットの履歴を自分の画面から消しても、事業者側でデータがどう扱われるかは別の話です。

履歴の削除と、学習への不使用と、サーバーからの削除は、それぞれ異なる設定や規約で決まっていると、現時点では説明されています。

「画面から消えた」ことは、「相手の手元から消えた」ことを意味しません。

無料版を使うなら、患者情報は入れないと決めるのがいちばん簡単です。

設定で学習をオフにできるサービスもあるとみられますが、スタッフ全員の設定を医院が管理し続けるのは現実的ではありません。

「無料版＝患者情報を入れない」の一行ルールにしておくほうが、守られます。

誤解2：「匿名化したつもり」

氏名と生年月日を消せば匿名化できた、と考えてしまうケースです。

ところが、「60代女性、下顎の埋伏歯、8月に来院、〇〇市在住」のような組み合わせは、地域の医院では本人にたどれることがあります。

顔写真は、それ単体で本人を示す情報です。

匿名化の判断で迷ったら、「この情報を院内の別のスタッフが見たら、誰か分かるか」を目安にしてみてください。

院内の人が分かるなら、外部でも分かりうると考えるほうが安全です。

迷う情報は、そもそも入れない側に寄せます。

誤解3：「スタッフが個人のスマホで使っている」

いちばん見えにくいのがこのパターンです。

医院としてはAIを導入していないつもりでも、スタッフが個人のスマホで無料版を使い、患者さんへの説明文や返信文を作っていることがあります。

個人アカウントでの利用には、医院が法人契約で確保した学習不使用や保存先の条件が及びません。

ここで「禁止」だけを打ち出すと、使い方が隠れるだけです。

「患者情報を入れない用途なら、個人のスマホでも使ってよい」「入れる可能性がある用途は、医院が用意した環境だけ」と、使ってよい範囲を先に示すほうが守られます。

AIをスタッフが自発的に使っているのは、業務を良くしたい気持ちの表れでもあります。

その気持ちを殺さずに、線だけ引くのが院長の役割です。

医療広告ガイドラインとの関係｜AIが書いた文章でも、公開責任は医院にある

患者情報の安全ラインと並んで、AIを使う医院がもう一つ押さえておきたいのが医療広告ガイドラインです。

AIが書いた文章をホームページやSNS、口コミ返信に載せる場合、その文章の責任は医院にあります。

「AIが書いたので」という説明は、公開後には通りません。

AIの出力で混ざりやすいのは、治療効果を保証するような言い回しです。

「必ず治ります」「痛みはありません」「最新の治療」「地域No.1」のような表現は、AIが読みやすさを優先して自然に入れてくることがあります。

また、患者さんの体験談を広告的に使う形や、症例写真に治療内容・費用・期間・リスクの併記がない形も、AIは気づかずに出してきます。

当社の運用では、AIが下書きした文章はすべて歯科医師が公開前に確認し、次の3点をチェックしています。

• 治療効果の保証・最上級・断定表現（必ず・絶対・No.1など）が入っていないか
• 患者さんの体験談や症状が、広告的な文脈で使われていないか
• 他院との比較や、根拠を示せない優位性の表現が混ざっていないか

Google口コミの返信をAIに下書きさせる場合も同じです。

当社の口コミ返信ツールでは、AIが下書きした文章を院長が確認・編集して、自分の手でGoogleに投稿する流れにしています。

返信で治療効果を保証・強調しない、患者さんの症状を返信に書かないという2点は、AIに任せず人が見る箇所です。

低評価の口コミは事実確認と院長の言葉が必要なため、AIには下書きさせていません。

口コミとInstagramそれぞれの医療広告ガイドライン上の線引き、および口コミ返信のAI下書きの手順は、以下の記事で解説しています。

• 歯科医院の口コミでやってはいけない集め方｜ステマ規制・医療広告ガイドラインのNGとOKの線引き【ルール編】
• 歯科医院のInstagramは医療広告ガイドラインの対象？｜症例写真・患者さんの声・リポストのOKとNG、投稿前チェック7項目【2026年版】
• Google口コミの返信をAIに下書きさせる方法｜歯科医院が“そのまま投稿しない”ための3つの手順と、AIに任せない口コミ【医療広告ガイドライン対応】

よくある質問

Q. 電子カルテや予約システムに入っているAI機能は、使ってよいのですか？

使ってよいかは、本記事の「3つの確認」を提供元に問い合わせることで判断できます。

具体的には、入力データが学習に使われないか、保存先はどの国か、第三者認証と契約はどうなっているかの3点です。

医療向けの製品でも、AI機能の部分だけ外部事業者に接続している構成があるとみられるため、「AI機能のデータはどこに行くか」を分けて聞くのがポイントです。

回答は書面かメールで残し、利用記録の項目に加えておきます。

Q. 口腔内写真を匿名化してAIに読ませ、患者さん向けの説明文を作りたいのですが？

目的が「患者さん向けの一般的な説明文」なら、個別の写真をAIに渡す必要はないことが多いです。

症状や処置の一般的な説明は、写真なしでもAIは下書きできます。

個別の写真をどうしても使う場合は、学習不使用・国内リージョン・契約の3つがそろった環境に限り、ファイル名や画像内の文字に氏名や患者番号が残っていないかを確認したうえで行います。

本人の同意の要否と文言は、専門家に確認してください。

Q. 初診時の同意書に「AIを利用します」と一文入れておけば、あとは自由に使えますか？

同意は必要な条件のひとつですが、それだけで十分とは言えません。

同意した利用目的の範囲を超える使い方はできませんし、越境移転（個人情報保護法28条）や委託先の監督（同25条）は、同意とは別に整理が要る論点です。

また、包括的すぎる同意文言は、後から「何に同意したのか分からない」と問題になる可能性があります。

文言の設計は弁護士など専門家の確認を受けてください。

Q. スタッフ数名の小さな医院でも、ここまで必要ですか？

必要です。

個人情報保護法は、現行法では取り扱う件数の下限がなく、規模の小さな医院も対象になると理解されています。

ただ、7項目すべてを最初から完璧に整える必要はありません。

まず「患者情報はAIに入れない」の一行ルールを決め、利用記録を紙1枚で始めれば、小さな医院でも初日から運用できます。

まとめ：今日からできる一歩

この記事の要点を3つにまとめます。

• 患者情報を入れなくてもできるAI活用が大半です。
  
  投稿のネタ出し、キャプション、院内掲示、求人票、口コミ返信の下書き、数字の要約は、患者情報なしで進められます。
• それでも入れるなら、学習不使用の明記（スクリーンショット証跡）、保存先の国、第三者認証と契約の3つを、使う前に確認します。
• 院内ルールは7項目（同意・越境・学習不使用の証跡・保存削除・漏洩時の報告フロー・利用記録・専門家確認）を紙1枚にします。
  
  同意文言と契約は、弁護士など専門家の最終確認を受けてください。

今日できる一歩はひとつです。

院内で「誰が、どのAIに、何を入れているか」を1枚に書き出してください。

先生ご自身の分だけでなく、スタッフに「個人のスマホも含めて、正直に教えてほしい」と声をかけて聞き取ります。

叱るためではなく、線を引くための聞き取りだと伝えると、実態が出てきます。

その1枚があれば、7項目のどこから手をつけるかが決まります。

多くの医院では、「患者情報は入れていなかった」と分かって安心するか、「1件だけ危ないものがあった」と気づいて止められるか、どちらかです。

どちらの結果でも、書き出す前より確実に安全になっています。