病院は何を見ているのか🏥

シャドーITと薬機法のはなし

はじめに

---

お疲れ様です
アースキーです😊

前回、個人開発した院内向けの計算ツールが、技術的には問題ないのに病院で 「院内では使えません」 と却下された、という体験を書きました
（前回の記事はこちら）。

セキュリティは固めた。それでも、通らなかった。

あのとき整理した 「技術の壁」と「組織の壁」は別レイヤー という話、実はまだ続きがあります。

今回は「病院側は、何を見ているのか」を、制度の側から調べた記録です。

その続きを、順番に書いていきます。

---

1. まだ、何か引っかかっている🤔

---

リジェクトの理由は、もう分かっています。
法人のツールじゃないこと。
正規の手順を通っていないこと。

でも、頭では分かっていても、まだ何か引っかかっていました。
「オフラインだし、個人情報も入れていないのに、なんでそこまで慎重なんだろう」 という感覚が、消えなかったんです。

それなら、と決めました。
今度は体験談ではなく、病院側が見ている制度そのものを調べてみることにしたんです。

漫画では、この解説パートをクリプトニンジャよりシンラ（制度に詳しい案内役）とトリカに演じてもらっています。

---

2. シャドーITって、何のこと❓️

---

調べ始めて最初にぶつかったのが、 「シャドーIT」 という言葉でした。

・管理部門（情報システム部門など）が把握していないIT機器・クラウドサービス
・従業員が独自の判断で業務に使ってしまう状態
・私物クラウド、未承認のAIツール利用などが典型例

便利さの裏で、管理の目が届かない場所が生まれる。

正直、最初は他人事だと思って読んでいました。

でも、そうではなかったんです。

---

3. 実は私も、AIに聞いている📳

---

服薬指導の記録を書くとき、この病態・この状態でどういうアセスメントを書けばいいか、あるいは普段の医師からの薬の相談ごとを調べるとき。

気づけば、Google検索ではなくAI（スマホのClaudeやChatGPTアプリ）に聞くようになっていました。

患者さんの個人情報は入れていません。
あくまで病態・薬剤の一般論としての相談です。

でも、シャドーITの定義を読みながら、ふと気づいたんです。
「個人情報は入れていない。けど、これも管理の外側の話だよね」

これは実は、以前書いた個人情報保護法改正案と医療AIの記事で語った「守るとつなぐの設計を、個人の小さな実験から作る」という話と、地続きでした。

理念だけでなく、自分自身がその実践者だったんです。

---

4. それも、シャドーITだった🖥️

---

便利さそのものが悪いわけではありません。

でも、個人情報を入れていなくても、「管理部門が把握していない利用」であることに変わりはない。
それがシャドーITという言葉の指している状態でした。

責められているわけではないのに、静かに刺さりました。
私も、その一人だったんだ、と。

他人事のつもりで調べ始めた言葉に、自分が含まれていました。

---

5. 病院の“慎重さ”には、法律の裏付けがある⚒️

---

では、なぜ病院はシャドーITにここまで慎重なのか。
調べてみると、次の3層の裏付けがありました。

・ 薬機法 （＝医薬品や医療機器のルールを定めた法律）: 独自の判断ロジックを持つプログラムは「医療機器」に該当しうる（該当性の確認が必要な領域）
・ 医療法施行規則 第14条第2項 （2023年〜）: 病院の管理者はサイバーセキュリティ確保が法令上の義務
・ 厚労省 医療情報システムの安全管理に関するガイドライン: 管理部門が把握していない私物端末・未承認ツールの利用を統制する実務ルール

出典はこちらです。

・ プログラムの医療機器該当性に関するガイドライン（PMDA掲載）
・ 医療法施行規則（e-Gov）
・ 医療情報システムの安全管理に関するガイドライン（厚労省）

「慎重」は思考停止ではなく、法の設計でした。

前回の記事で見た「組織の壁」の正体が、ここでもう少し具体的になった感覚があります。

---

6. どこからが「ダメ」なの？🤔

---

法律の枠組みは分かりました。
次に知りたいのは、境界線です。

何を作ったら、医療機器の規制側に入るのか。

ガイドラインを読み進めると、答えは意外とシンプルでした。
分かれ目は、単純な計算か、独自の判断ロジックを持つか。

拍子抜けするくらいシンプルな軸でした。

---

7. 該当性の分岐と、具体的な３つの事例

---

厚労省のガイドラインには、もう少し具体的な線引きが書かれていました。

・利用者が自分で検算できる四則演算 → 非該当の方向
・独自アルゴリズム・関数電卓以上の高度な計算 → 該当の方向

さらに、判断のヒントになる事例も3つありました。

・ 画像を独自アルゴリズムで解析し、疾病の可能性を個人に提示するもの
→ 該当の方向

・ 検査結果を独自アルゴリズムで解析し、将来の発症リスクを個人に提示するもの → 該当の方向

・ 入力値と集団の統計データを比較し、診断との誤認を与えない形で提示するもの → 非該当の方向

境界線上にあるものを、断定はできません。

迷ったときは、窓口に確認するのが一番安全です。

---

8. 「私のツールは、四則演算だけだ」

---

この軸で、自分のツールを振り返ってみました。

使っている式は、学会のガイドラインに載っている公知の推算式。
計算は、四則演算だけ。

方向としては、非該当寄り。

でも、調べていて一番ハッとしたのは、その先でした。

使い方の書き方次第で、グレーになる。

同じ計算式でも、「参考値です」と書くか、「これで判断してください」と書くかで、見え方はまったく変わる

技術の中身だけでなく、使用目的の書き方そのものが境界線を動かすんです。

つまり、中身が同じでも、言葉ひとつで方向が変わるんです。

---

🧪 今日の特効薬

---

自分のアイデアを制度に照らせるよう、当てはめチェックリストを作りました。
保存して使ってください。

① 計算の中身：単純計算か、独自ロジックか
② 情報源：公知の情報（教科書・ガイドライン）どおりか、独自の指標を加えていないか
③ 対象・出力：誰が見て、何に使う出力か
④ 使用目的：参考値か、最終判断に使うか

境界線上にあるなら、まず相談窓口へ聞いてみる

個別の症例・個人情報・最終判断をAIやツールに丸投げしない、という前提は変わりません。

---

---

おわりに

---

境界線上にあるなら、相談窓口へ。
それも、作る側の仕事のうちだと、今回調べてみて分かりました。

作るのは自由。
届けるには手順がある。
—それは前回の記事で得た結論と同じです。

でも今回、もう一つ分かったことがあります。

手順を知らないまま使ってしまう側にも、自分がいたということです。

シャドーITは、遠い誰かの話ではありませんでした。
服薬指導の合間にAIへ相談していた私自身も、その一人でした。

じゃあ次は、ちゃんと聞くところから。

あなたの現場にも、まだ名前のついていない「シャドーIT」はありませんか？

もしこの記事が少しでも役に立ったら、身近な医療従事者の仲間やSNSでシェアしていただけると嬉しいです。