障害福祉事業所が扱う障害や病歴の情報は「要配慮個人情報」です。物理・技術・組織・人の4区分で基本対策を整え、生成AIには利用者を識別できる情報を原則入力しないと決めることが出発点です。
目次
障害福祉事業所が扱う個人情報と要配慮個人情報
障害福祉の現場では、氏名や住所に加え、障害の内容、服薬、通院、家族関係、生活歴など、本人が知られたくない情報を日常的に扱います。まず法律上の位置づけを確認します。
要配慮個人情報とは
個人情報保護法第2条第3項は、本人の人種、信条、社会的身分、病歴、犯罪の経歴などのように、不当な差別や偏見その他の不利益が生じないよう取扱いに特に配慮を要する記述等を含む個人情報を「要配慮個人情報」と定めています。さらに同法施行令第2条第1号は、身体障害、知的障害、精神障害（発達障害を含む）その他の心身の機能の障害があることを、要配慮個人情報に含まれる記述等として挙げています（e-Gov法令検索「個人情報の保護に関する法律」）。
要配慮個人情報には、一般の個人情報より厳しいルールがあります。主なものは次のとおりです。
- 取得するときは、法令に基づく場合などの例外を除き、あらかじめ本人の同意が必要です（法第20条第2項）。
- 本人の求めで提供を停止する仕組み（オプトアウト）による第三者提供は認められていません（法第27条第2項）。
- 要配慮個人情報を含む個人データの漏えい等が発生し、または発生したおそれがあるときは、件数にかかわらず個人情報保護委員会への報告と本人への通知の対象になります（法第26条、同法施行規則第7条第1号）。
また、障害福祉サービスの指定基準にも秘密保持の規定があります。たとえば居宅介護については、従業者や管理者が正当な理由なく業務上知り得た利用者や家族の秘密を漏らしてはならないこと、他の事業者に情報を提供する際はあらかじめ文書で同意を得ることが定められています（e-Gov法令検索「指定障害福祉サービスの事業等の人員、設備及び運営に関する基準」第36条）。
事業所の記録で該当しやすい情報
厚生労働省と個人情報保護委員会の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」は、介護関係記録に記載された病歴や、障害（身体障害、知的障害、精神障害等）の事実などを、想定される要配慮個人情報の例として挙げています（厚生労働省・個人情報保護委員会「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」）。このガイダンスの対象は医療機関等と介護関係事業者ですが、心身の状態を記録する点は障害福祉の現場とも共通するため、参考資料として役立ちます。
障害福祉事業所では、アセスメントシート、個別支援計画やサービス等利用計画、支援記録、ケース会議の議事録、受給者証の写しなどに要配慮個人情報が含まれやすいと考えられます。「書類は基本的に要配慮個人情報を含む」という前提で扱うと、現場の判断がぶれにくくなります。
最低限の対策を4区分で整理する
個人情報保護法第23条は、個人データの漏えい、滅失、毀損の防止その他の安全管理のために必要かつ適切な措置を講じることを求めています。個人情報保護委員会のガイドライン（通則編）は、講ずべき安全管理措置として、基本方針の策定、規律の整備、組織的・人的・物理的・技術的安全管理措置、外的環境の把握を示しています（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」）。このうち4区分について、すぐできることを整理します。
| 区分 | ねらい | すぐできる対策の例 | 現場での確認ポイント |
|---|---|---|---|
| 物理 | 書類や機器の紛失・盗難・のぞき見を防ぐ | ファイルを施錠できる書庫に保管する、画面を来所者から見えない向きにする | 送迎車や訪問先に書類を置き忘れていないか |
| 技術 | 不正アクセスや誤送信を防ぐ | OSとセキュリティ対策ソフトを最新に保つ、アカウントを職員ごとに分ける | 退職者のアカウントが残っていないか |
| 組織 | 責任者とルールを決め、点検する | 個人情報の責任者を決める、持ち出しと事故時の連絡ルールを文書化する | ルールが新しい職員にも共有されているか |
| 人 | 職員の理解と注意を保つ | 採用時に秘密保持の誓約を取る、定期的に研修する | 非常勤職員や実習生も対象になっているか |
同ガイドラインには、従業員100人以下などの条件を満たす「中小規模事業者」向けの手法の例（書類を施錠できるキャビネットに保管する、OSを最新に保つ、セキュリティ対策ソフトを導入する等）もあります。委託を受けて個人データを扱う事業者などは対象外となるため、該当するかを確認してください。
情報セキュリティのチェックリスト
公的資料の考え方をもとに、点検しやすい項目を区分ごとにまとめました。できていない項目から優先順位をつけて取り組みましょう。
物理面のチェック項目
- 利用者の記録や受給者証の写しを、施錠できる書庫やキャビネットに保管している
- 事務室のパソコン画面や掲示物が、来所者や他の利用者から見えない配置になっている
- 書類やUSBメモリ等の持ち出しは、必要な範囲に限り、持ち出し記録を残している
- 不要になった書類はシュレッダー等で、記録媒体は復元できない方法で廃棄している
技術面のチェック項目
- パソコンやスマートフォンのOS・アプリを最新の状態に保ち、セキュリティ対策ソフトを導入している
- 職員ごとにアカウントを分け、パスワードの使い回しをしていない
- 職務に応じてアクセス権限を設定し、異動・退職時にはすぐに見直している
- 個人データをメールで送るときの方法（宛先の再確認、ファイルの保護など）を決めている
- データのバックアップを定期的に取り、元に戻せることを確認している
組織面のチェック項目
- 個人情報の取扱いの責任者と、事故時の連絡先・連絡順を決めている
- 個人データの取扱い規程（取得・利用・保管・持ち出し・廃棄）を文書にしている
- 生成AIを含む外部サービスの利用ルール（使ってよいサービス、入力してよい情報）を決めている
- 委託先（ソフトのベンダー等）の安全管理措置を、契約や資料で確認している
- 年に1回以上、チェックリストで取扱い状況を点検している
人の面のチェック項目
- 採用時に、在職中・退職後の秘密保持について誓約を取っている
- 非常勤職員や実習生、ボランティアも含めて研修を行っている
- 私物端末や個人のSNS・チャットで利用者の情報を扱わないことを周知している
- 「おかしい」と感じたらすぐ報告できる雰囲気と窓口がある
IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」には、自社の状況を確認できる「5分でできる！情報セキュリティ自社診断」も用意されています（IPA「中小企業の情報セキュリティ対策ガイドライン」）。個人情報保護委員会も中小企業向けに自己点検チェックリストを公開しているため、本記事の項目とあわせて使うと抜け漏れを減らせます。
生成AIに入力してよい情報・いけない情報
個人情報保護委員会は令和5年6月2日に「生成AIサービスの利用に関する注意喚起等」を公表しました。事業者に対し、個人情報を含むプロンプトの入力は利用目的の達成に必要な範囲内かを十分に確認すること、本人の同意なく入力した個人データが応答結果の出力以外の目的で扱われると法に違反する可能性があるため、提供事業者が機械学習に利用しないこと等を十分に確認することを求めています（個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」）。
NG・要承認・OKの3区分
入力する情報を3つに分けてルール化すると、現場で迷いにくくなります。以下は一例のため、事業所の規程やサービスの条件に合わせて調整してください。
| 区分 | 情報の例 | 扱い方 |
|---|---|---|
| NG（入力しない） | 氏名、住所、電話番号、受給者証番号、顔写真、障害名や病名と結びついた利用者の記録 | 学習利用や保存の条件を確認していない一般向け生成AIには入力しない |
| 要承認（責任者が確認） | 個人を識別できる部分を除いた支援記録の要約、ケース検討用の事例文 | 識別できないか責任者が確認し、契約内容を確認済みのサービスでのみ使う |
| OK（入力してよい） | 個人情報を含まない文書の下書き、制度の一般的な説明、研修資料の構成案 | 出力内容に誤りがないか職員が確認してから使う |
匿名化・仮名化の注意点
個人情報保護法第2条第1項は、他の情報と容易に照合でき、それにより特定の個人を識別できることとなるものも個人情報に含めています。そのため、氏名だけを伏せた記録でも、年齢、利用曜日、家族構成、珍しい障害の内容などの組み合わせで本人がわかる場合は、個人情報として扱う前提で考える必要があります。
- 氏名を「Aさん」に置き換えても、地域名や特徴的なエピソードが残れば識別できることがあります。
- 法律上の「仮名加工情報」や「匿名加工情報」は、定められた加工基準を満たして初めて該当する概念で、現場で名前を消しただけの情報とは異なります。
- 迷ったら「要承認」とし、入力しない判断を優先します。
AI機能付きソフトで確認する6項目
AI機能付きソフトでは、利用者情報を事業所外のサービスで処理することが多くなります。個人情報保護法第25条は委託先の必要かつ適切な監督を求めているため、導入前に次の6項目を確認しましょう。AIでできることの全体像は障害福祉AIとは、ソフト選びの観点は障害福祉ソフト比較もあわせてご覧ください。
確認項目の一覧
| 確認項目 | 確認する内容 | 確認できる資料の例 |
|---|---|---|
| 1. 入力範囲 | どの情報がAIで処理されるか、入力を制限できるか | 機能説明、操作マニュアル |
| 2. 学習利用 | 入力データがAIのモデル学習やサービス改善に使われるか | 利用規約、プライバシーポリシー |
| 3. 保存場所と期間 | データの保存先の国・地域、保存期間、削除の方法 | セキュリティ資料、契約書 |
| 4. 委託先 | 外部のAIサービスやクラウドなど再委託先の有無と範囲 | 委託先一覧、契約書 |
| 5. 安全管理措置 | 通信や保存時の暗号化、アクセス権限の管理、操作記録 | セキュリティ資料、チェックシート回答 |
| 6. 事故時対応 | 漏えい等が起きたときの連絡時期・方法と協力体制 | 契約書、インシデント対応方針 |
外国で個人データを扱う場合、ガイドライン（通則編）はその国の制度等を把握したうえで安全管理措置を講じる「外的環境の把握」を求めているため、保存先の国・地域は必ず確認しましょう。
ベンダーに送れる質問文の例
次の質問文はそのままメール等で使えます。回答は書面やメールで受け取り、導入判断の記録として保管しておきましょう。
- AI機能で処理される利用者情報の範囲を教えてください。入力対象を事業所側で制限できますか。
- 入力した利用者情報や生成結果は、貴社や外部AIサービス提供者のモデル学習、その他の独自の目的に利用されますか。
- データの保存先の国・地域、保存期間、解約時のデータ削除の方法を教えてください。
- 個人データの取扱いを再委託している事業者（外部AIサービス、クラウド等）はありますか。ある場合、その範囲を教えてください。
- 通信や保存時の暗号化、職員ごとのアクセス権限設定、操作記録の取得について教えてください。
- 漏えい等が発生した場合、どの時点で、どの方法で事業所に連絡いただけますか。
漏えい等が起きたときの対応
漏えい等は、誤送信、書類の置き忘れ、端末の紛失、不正アクセスなど、どの事業所でも起こり得ます。手順を事前に決めておきましょう。
初動から再発防止までの手順
- 気づいた職員がすぐ責任者へ報告します。放置や隠ぺいをしないよう日頃から伝えておきます。
- 誤送信先への削除依頼、端末のネットワークからの切り離し、パスワード変更などで被害の拡大を防ぎます。
- いつ、どの情報が、何人分、どのような経緯で漏えい等したか（そのおそれを含む）を記録します。
- 要配慮個人情報が含まれるかなどを確認し、個人情報保護委員会への報告と本人への通知が必要かを判断します。
- 報告が必要な場合は、速報と確報を期限内に行い、本人や家族へ通知します。
- 指定権者である自治体や、ソフトのベンダーなど関係先への連絡が必要かを確認します。
- 原因を分析し、ルールや設定を見直して再発防止策を職員に共有します。
個人情報保護委員会への報告が必要な場合
個人情報保護法第26条と同法施行規則第7条により、次のいずれかの事態が発生し、または発生したおそれがあるときは、個人情報保護委員会への報告と本人への通知が義務づけられています（個人情報保護委員会「漏えい等の対応とお問合せ」）。
| 事態 | 件数の要件 | 障害福祉事業所で想定される例 |
|---|---|---|
| 要配慮個人情報を含む個人データの漏えい等 | 件数を問わない | 障害の内容が書かれた支援記録の誤送信 |
| 不正に利用されると財産的被害が生じるおそれがある個人データの漏えい等 | 件数を問わない | クレジットカード番号を含むデータなど（詳細はガイドラインで確認） |
| 不正の目的をもって行われたおそれがある行為による漏えい等 | 件数を問わない | ランサムウェア感染、記録の盗難 |
| 本人の数が1,000人を超える漏えい等 | 1,000人超 | 利用者・家族の名簿全体の流出 |
報告は、事態を知った後速やかに行う「速報」と、原則30日以内（不正の目的によるおそれがある場合は60日以内）の「確報」の2段階です（施行規則第8条）。速報の「速やか」について、ガイドラインは事態を知った時点から概ね3〜5日以内を目安としています。なお、高度な暗号化など本人の権利利益を保護するために必要な措置を講じた個人データは、これらの報告対象から除かれています（施行規則第7条第1号）。
報告は個人情報保護委員会の報告フォームから行うのが基本で、権限が委任されている業種は所管省庁が報告先です。自事業所の報告先は、委員会が公開している権限の委任先の一覧で確認してください。
報告の要否や本人への通知の方法など、個別の判断は弁護士などの専門家や、個人情報保護委員会の相談窓口、指定権者である自治体などの所管窓口にご相談ください。また、令和8年7月17日に改正個人情報保護法が公布され、漏えい等発生時の本人への通知義務の見直しなどが予定されています。施行時期や詳細は個人情報保護委員会「令和8年 改正個人情報保護法について」でご確認ください。
参照したい公的資料
チェックリストや規程を整える際は、次の公的資料が参考になります（本記事作成時点で公開を確認）。
| 資料名 | 発行元 | 使いどころ |
|---|---|---|
| 個人情報の保護に関する法律についてのガイドライン（通則編） | 個人情報保護委員会 | 安全管理措置の内容、中小規模事業者の手法例、漏えい等報告 |
| 法令・ガイドライン等（中小企業向けお役立ちツール） | 個人情報保護委員会 | 自己点検チェックリスト、個人データ取扱要領の例 |
| 生成AIサービスの利用に関する注意喚起等 | 個人情報保護委員会 | 生成AIに個人情報を入力する際の注意点 |
| 医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス | 個人情報保護委員会・厚生労働省 | 心身の状態の記録や家族への説明など、福祉に近い場面の考え方 |
| 中小企業の情報セキュリティ対策ガイドライン | IPA | 情報セキュリティ6か条、5分でできる自社診断、段階的な対策の進め方 |
一覧は個人情報保護委員会「法令・ガイドライン等」と厚生労働省「厚生労働分野における個人情報の適切な取扱いのためのガイドライン等」で確認できます。
AURAの取り組み
株式会社Jinの障害福祉AI「AURA」は、次の考え方で安全管理に取り組んでいます。
- 通信はすべて暗号化され、安全性の高いクラウド環境に保存しています。
- アクセス権限を厳格に管理し、担当者以外が利用者情報に不用意にアクセスできない設定が可能です。
- 個人情報保護法をはじめ、関連法規やガイドラインを遵守しています。
- 支援対象者を識別できる個人データまたは要配慮個人情報を、外部AIサービス提供者自身のモデル学習その他の独自目的に利用することを条件とするサービスは、原則として利用しません。
- 音声データは保存開始から7日経過後に削除対象となり、削除完了まで最大8日程度かかります。
詳しくはAURAのセキュリティとデータの取扱いをご覧ください。製品ごとの機能はAURA相談支援とAURA就労支援で紹介しています。
よくある質問
障害があることも要配慮個人情報ですか？
はい。個人情報保護法施行令第2条第1号により、心身の機能の障害があることは要配慮個人情報に含まれる記述等とされています。
氏名を消せば生成AIに入力してよいですか？
氏名を消すだけでは十分とはいえません。他の情報と照合して本人がわかる場合は個人情報として扱う必要があるため、事業所のルールで「要承認」とし、責任者の確認を経るのが安全です。
無料の生成AIを業務で使ってもよいですか？
利用者情報を入力しない用途なら使える場合があります。利用者情報を扱うなら、規約で学習利用や保存の扱いを確認し、事業所のルールを決めてから使いましょう。
小さな事業所でもすべての対策が必要ですか？
安全管理措置の義務は規模にかかわらずあります。ガイドラインの中小規模事業者向けの手法の例を参考に、できることから始めるのが現実的です。
漏えいに気づいたら最初に何をしますか？
まず責任者に報告し、被害の拡大を防ぎます。そのうえで要配慮個人情報が含まれるかなどを確認し、個人情報保護委員会への報告の要否を判断します。
参考資料
- e-Gov法令検索「個人情報の保護に関する法律」
- e-Gov法令検索「指定障害福祉サービスの事業等の人員、設備及び運営に関する基準」
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
- 個人情報保護委員会「法令・ガイドライン等」
- 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（令和5年6月2日）
- 個人情報保護委員会「漏えい等の対応とお問合せ」
- 個人情報保護委員会「権限の委任」
- 個人情報保護委員会「令和8年 改正個人情報保護法について」
- 厚生労働省「厚生労働分野における個人情報の適切な取扱いのためのガイドライン等」
- 個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和8年4月一部改正）
- IPA「中小企業の情報セキュリティ対策ガイドライン」
本記事は2026年10月21日時点の情報です。法令・ガイダンスの最新版をご確認ください。
