個人情報保護法「統計・AI例外」に医療情報学会が異議——本人同意なし提供は何を変えるのか

「AI開発のため」という言葉が隠す、同意の空白地帯

法律の改正が「AI推進」という文脈で語られるとき、それは多くの場合、企業にとっての追い風として紹介される。今国会で審議されている個人情報保護法の改正案も、AI開発を加速させるための規制緩和として位置づけられている。しかし、日本医療情報学会がその内容に公式に異議を唱えたことで、見過ごされていた問いが浮かびあがってきた。「誰の、何のための緩和か」という問いだ。

改正案が認めようとしている「統計・AI例外」の内容

審議中の個人情報保護法改正案は、AI開発などを目的とした場合に、本人の同意を得ることなく個人情報を第三者に提供できるようにする「統計・AI例外」と呼ばれる規定を含んでいる。これは現行法が原則として求めている本人同意のハードルを、特定の利用目的に限って引き下げるものだ。

こうした規定が設けられる背景には、大規模なデータを必要とするAIモデルの開発において、個人ごとの同意取得が現実的に困難であるという事情がある。そのため、利活用を促進するための例外措置として提案されていると理解されている。

日本医療情報学会が懸念する「データの質と安全」の問題

一般社団法人日本医療情報学会は、この改正案に対して懸念をまとめた意見書を提出した。学会側が問題視しているのは、本人同意なしでの個人情報提供を認めることそのものだ。医療データは特に機微性が高く、本人が知らないうちに自分の健康情報がAI開発に使われるという状況は、患者と医療機関の間の信頼関係にも影響しうる。

学会の意見書は、データの保護と利活用のバランスに関して、現在の改正案が十分な安全措置や透明性を確保していない可能性を指摘している。「AI開発に使える」という目的の広さ自体も、どの範囲まで例外が及ぶのかを曖昧にするリスクを持つ。

医療機関・ヘルステック企業・患者、それぞれに異なる意味をもたらす

この改正が与える影響は、立場によって大きく異なる。医療機関にとっては、保有する患者データをAI開発に提供できる可能性が生まれるが、同時にその適正利用の担保をどう示すかという新たな責任も生じる。ヘルステックやAI開発企業にとっては、データ取得のコストや手続きが軽減されるという実務上のメリットがある一方、提供されたデータの出所と適法性の確認を精緻に行う必要が出てくる。

最もリスクに近い立場に置かれるのは、自分のデータがどう使われるか知らないまま例外規定の対象になりうる個人だ。医療情報の場合、その影響は就労や保険など生活の複数領域に及ぶ可能性があるため、医療データを扱うすべての事業者がこの改正の帰趨を注視する必要がある。

「国内法の話」と割り切れない理由——データガバナンスの国際的な文脈

日本でAI開発やデータ利活用を行うビジネスパーソンにとって、この改正が持つ意味は単なる国内法の変更にとどまらない。EUはGDPRによって医療データを「特別カテゴリー」として厳格に保護しており、日本からEUへのデータ移転には十分性認定の維持が前提となる。「統計・AI例外」の内容次第では、日本のデータ保護水準についての国際的な評価に影響が生じるリスクもある。

また、患者や利用者のデータを扱う企業が「法律上は問題ない」と言えたとしても、信頼を損なうかたちでの運用はブランドリスクや訴訟リスクに直結する。規制の緩和がそのまま「やっていいこと」の拡大を意味するわけではない、というのは今後の実務設計において重要な視点だ。

改正案の最終形が固まるまで動けない理由

現時点では改正案はまだ審議中であり、最終的な条文の詳細や附帯条件がどのように定まるかは確定していない。日本医療情報学会の意見書がどの程度立法プロセスに影響を与えるかも不透明だ。また、「統計・AI例外」が適用される条件の範囲——対象となるデータの種類、提供先の要件、利用目的の認定方法——は今後の政令や指針によって具体化される部分も多い。

医療データを含む個人情報を扱う事業者は、改正案の最終テキストと、それに伴うガイドラインや通達の内容を確認するまでは、新たなデータ提供の枠組みを前提とした設計に踏み込むべきではない。

NEWGATAが見る「同意の設計」を巡る本当の分岐点

日本医療情報学会が意見書を出した事実が示すのは、単なる反対意見の表明ではなく、AI活用の加速と個人データの保護をどう両立させるかという設計思想の問題が、専門的な領域からも問われ始めたということだ。AI開発を進めたい側からすれば、データアクセスの簡素化は当然の要求だが、医療という分野はとりわけ「データを提供した側が不利益を受けない保証」が制度的に担保されなければ、長期的な社会的信頼を失う可能性がある。

法改正の是非よりも重要なのは、改正後に事業者がどのような自主基準と透明性の仕組みを持つかだ。「例外が認められた」という事実を根拠に同意取得を省略するのではなく、なぜその利用が正当化されるかを説明できる設計を持つ企業と、そうでない企業の間で、データガバナンスの実質的な差が生まれる局面が近づいている。今回の学会の動きは、その選別が始まる予兆として読むべきだろう。

本記事は公開情報をもとに、NEWGATA編集部で確認のうえ掲載しています。