規制業種のAI導入｜医療・薬局・金融・インフラで守る要件と費用の目安【2026年9月最新】

医療・薬局・金融・インフラなどの規制業種でもAIは導入でき、文書作成・要約・社内資料の検索のように「人が最後に確認できる業務」から始めれば、国のガイドラインの範囲で進められます。費用は、業種向けの既製AIサービスなら月3万〜4万円台から、今の業務システムにAI機能を1つ足すなら30万円〜、業種のルールに合わせて1業務で試す検証（PoC）は公開相場で100万〜300万円（当社は300万円〜）が目安です。一般の業種との違いはAIそのものではなく「審査と確認」の工程にあり、その分だけ期間が2週間〜2か月延びます。

この記事では、2026年9月時点の最新の指針（医療情報システムの安全管理に関するガイドライン第7.0版、金融庁AIディスカッションペーパー第1.1版、FISC安全対策基準第14版、令和8年改正個人情報保護法など）をもとに、業種ごとに守るルール、AIに任せてよい業務と任せない業務、要件の満たし方、費用と期間を順に整理します。ルールは改訂が続いているため、版と日付をすべて明記しています。

当社も受託開発で、医療機関・薬局・インフラ企業のシステムやAIを作っています（PoC 300万円〜／小規模改修30万円〜／本開発は個別見積、すべて税別）。ただし、業種向けの既製サービスで足りる場合は、作ることを勧めません。 その線引きも正直に書きます。

なお、本記事は法令・ガイドラインを一般的に整理したもので、個別の法的助言ではありません。自社への当てはめは、所管官庁の資料や顧問弁護士への確認とあわせて行ってください。金額は特記のない限り税別、各社の料金・方針は2026年9月20日時点の公開情報に基づいています。

規制業種のAI導入はどこで止まっているか

「規制業種」は法律上の用語ではありません。本記事では、業法や国のガイドラインで情報の扱い方・外注先の管理・説明責任が細かく決められている業種を指し、医療機関・薬局・介護、金融（銀行・証券・保険）、インフラ（電力・ガス・水道・通信・鉄道など）を対象にします。

これらの業種でも、AIの利用そのものはもう珍しくありません。金融庁が2024年に行ったアンケート（130社が回答）では、AIを利用している金融機関のうち71.1%が一般社員まで広く生成AIを使えるようにしており、文章の要約・翻訳は7割超が導入済みでした（金融庁 AIディスカッションペーパー第1.1版）。日本銀行の2025年度の調査でも、生成AIを「利用中」の金融機関は50.3%と、前年の31.0%から増えたと報じられています。

それでも導入が止まるのは、次の3つの段階です。

1. 顧客・患者の情報をAIに入れる段階：金融庁のアンケートで、生成AIの登場によって「課題が難しくなった」と感じる先が最も多かったのが個人情報保護でした。特に、①顧客情報をAIの学習に使う、②顧客情報を含む文章をAIに入力する、③開発や学習を外部に委託する、④海外にサーバーがあるサービスを使う、の4つの場面で、ルールの当てはめ方が分かりにくいと指摘されています。
2. 社内のデータを使う段階：同じアンケートでは、約半数が汎用の生成AIをそのまま使うにとどまり、社内のデータを活用する段階に進んでいません。社内の資料や顧客データをAIに読ませようとした瞬間に、「その情報を入れてよいのか」「どこに保存されるのか」という確認が必要になるからです。
3. 社内の審査の段階：管理職1,008名への調査（コーレ、2026年1月）では、AI活用が進まない理由の1位が「セキュリティ面に懸念」（33.5%）、3位が「情報システム部門の理解・協力が得られない」（22.4%）でした。

一方で、現場の負担は待ってくれません。薬局では、薬剤師の薬歴入力に1日あたり約1時間25分かかっているという厚生労働省の調査結果が紹介されています。薬剤師881名への調査（ウィーメックス、2023年10月）では、約70%が服薬指導中の会話をメモに残し、手が空いた時間にそのメモから薬歴を入力していました。医療機関ではサマリーなどの文書作成、金融では規程や商品資料の確認、インフラでは点検報告書の作成と、どの業種にも「AIで短くできるのに、ルールが分からず手を付けられない」作業が残っています。

守るべきルールは3層ある｜法律・国のガイドライン・業界の基準

出典: 内閣府 公式サイト

経営者がまず押さえるべきは、「何が本当に必須か」です。規制業種のAI導入に関係するルールは、強さの違う3つの層に分かれます。

「AIの法律ができたから厳しくなった」わけではありません。 2025年5月に成立し、6月4日に公布、9月1日に全面施行されたAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、日本で初めてAIに特化した法律ですが、罰則のない理念法で、企業に新しい義務を直接課すものではありません（内閣府）。2025年12月23日にはこの法律に基づく人工知能基本計画が閣議決定され、「世界で最もAIを開発・活用しやすい国」を目指す方針が示されています。

実務で効いてくるのは、次の2つです。

• 個人情報保護法（現行）：個人データを含む内容をAIに入力する場合、AIの提供会社は「データを預ける外注先（委託先）」として管理する必要があります。個人情報保護委員会は2023年6月の注意喚起で、提供会社が入力内容を学習に使わないことを十分に確認するよう求めています（個人情報保護委員会）。
• 業種ごとのガイドライン：医療・金融・インフラでそれぞれ別の指針があります。次の章から業種別に整理します。

このほか、総務省・経済産業省のAI事業者ガイドラインが2026年3月31日に第1.2版に改訂されています。解説によれば、AIが他のシステムを操作する仕組み（AIエージェント）を入れる場合は、外部システムとの連携を適切に制限し、権限を正確に設定することが求められています。

なお、2026年7月17日に公布された改正個人情報保護法は、公布から2年以内に施行される予定で、本記事の執筆時点では施行されていません。業務でのAI利用は、いまの法律で判断してください（改正点はFAQで扱います）。

医療機関・薬局でAIを入れるときの要件

出典: 厚生労働省 公式サイト

医療機関と薬局が医療情報を扱うシステムを使うときは、通称「3省2ガイドライン」（厚生労働省の1本と、総務省・経済産業省の1本からなる国の指針）が基準になります。

第7.0版で、AIやクラウドのサービスも対象として明確になった

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、2026年6月に第7.0版になりました（厚生労働省）。保守を委託する会社向けの編が新設され、概説・経営管理・企画管理・システム運用・保守委託機関の全5編になっています。AIの導入に関係する主な点は次の4つです。

最後の点と、生成AIの扱いについては法律事務所の解説（三宅法律事務所）に基づきます。それによれば、生成AIに固有のルール（入力内容の学習への利用、出力の確認など）は第7.0版の本文には入らず、今後の参考という扱いにとどまっています。つまり、生成AIについて「こうすれば適合」という答えは国から示されておらず、医療機関が自分で院内の規程と契約に落とし込む必要があります。 これが、医療でAIを入れるときに工程と費用が上乗せになる一番の理由です。厚生労働省は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」も提供しているので、あわせて確認してください。

AIの提供会社には「サービス仕様適合開示書」を求める

医療機関にシステムを提供する会社向けには、総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、2025年3月28日）があります（経済産業省）。提供会社は、自社のサービスがガイドラインのどの項目にどう対応しているかを「サービス仕様適合開示書」で医療機関に示し、合意することになっており、ガイドラインには開示書とSLA（サービスの品質保証の取り決め）の参考例も付いています。

AIサービスを入れる医療機関・薬局は、契約前にこの開示書を求めるのが実務の基本です。開示書をすぐに出せない提供会社は、医療情報を預かる前提の体制が整っていない可能性があります。

日本医師会は、AIに任せる範囲を3つに分けた

2026年4月、日本医師会のAIの臨床利用に関する検討委員会は、答申でAIの使い方を3つに区分しました（日本医師会 答申）。

• 適用可能：文書作成、要約、説明文の下書き
• 慎重な適用：検査・処方の提案（根拠の提示、医師の確認、監査用の記録が前提）
• 適用困難：確定診断や救急での最終判断の代替

答申は「医師による確認と責任の原則」を、記録と監査のプロセスに制度として組み込むべきだとしています。「仮に正解率98%でも、1,000項目なら20項目を誤判断する」という指摘は、AIの出力を人が確認する仕組みがなぜ必要かを端的に表しています。医療・ヘルスケア分野の業界団体（HAIP）が2025年7月に公表した生成AI利用ガイドライン第2版も、生成AIは医療者の判断を代替するものではなく支援する補助ツールで、最終判断は医療従事者が行うという立場です。

診断を目的とするAIは、別の規制になる

病気の診断・治療・予防を目的とするソフトウェアは、薬機法上の医療機器（プログラム医療機器）に当たる場合があり、承認・認証・届出が必要になります。審査や販売後の管理が求められるため、一般的な業務システムの開発とは期間も費用も桁が違います。本記事は文書作成・要約・検索などの業務支援を対象にしており、診断目的のAIは扱いません。 業務支援のAIは一般にこの対象外と整理されますが、機能の説明の仕方によって判断が変わることがあるため、境目にあたる場合は専門家に確認してください。

大病院は、経済安全保障の届出の対象になりうる

2026年6月10日に成立した改正経済安全保障推進法で、医療が「基幹インフラ」に加わりました。対象は特定機能病院を念頭に置いており、重要な設備の候補として電子カルテ・手術部門・集中治療部門に関連する設備が挙がっています。対象になると、設備の導入や保守の委託の前に、国への事前届出と審査（原則30日）が必要になります。医療分野での適用開始時期と対象設備の最終的な範囲は、本記事の執筆時点で確定していません。中小病院・クリニック・薬局には直接関係しない制度です。

医療・薬局の活用例は医療・病院のAI活用事例と薬局のAI活用事例にまとめています。

金融機関でAIを入れるときの要件

出典: 金融庁 公式サイト

金融庁は「萎縮させない」立場を明示している

金融庁のAIディスカッションペーパー（第1.1版、2026年3月3日）は、検査やモニタリングでの目線や具体的な対応を求める文書ではなく、論点を整理したものだと明記しています。そのうえで、AIを使わない「チャレンジしないリスク」も認識されるべきであり、金融機関を過度に萎縮させない行政対応を行うとしています。

とはいえ、顧客情報を扱う以上、次の点は押さえておく必要があります。

機微情報は、原則としてAIに入れない

金融分野の個人情報保護ガイドラインでは、病歴などの要配慮個人情報に加えて、労働組合への加盟、門地、本籍地、保健医療、性生活に関する情報を「機微（センシティブ）情報」とし、原則として取得・利用・第三者提供を行わないこととしています（例外規定あり。個人情報保護委員会）。保険の告知内容や病歴、与信の審査資料をAIに読ませる設計を考えている場合は、例外に当たるかの確認が、構成を考えるより先です。

システム監査の基準（FISC）にもAIの項目が入った

金融機関のシステム監査や委託先の評価で参照される、金融情報システムセンター（FISC）の安全対策基準は、第13版（2025年3月）でAIを対象とする基準項目を追加し、第14版（2026年3月25日公表）で官公庁や業界団体のAI・生成AIに関するガイドライン等を反映しました（FISC）。AIを入れる際は、自社の監査部門がどの版を基準にしているかを先に確認しておくと、審査での手戻りが減ります。

日本銀行の2025年度の調査では、生成AIの利用状況の確認、外部の提供会社のリスクやサイバー攻撃への対策、実務ルールの見直しについて、5割程度の金融機関が「改善の余地がある」または「検討中」と答えたと報じられています。利用は広がっても、管理の仕組みはまだ追いついていないのが実情です。

活用例は銀行・金融機関のAI活用事例、保険・損保のAI活用事例、証券会社のAI活用事例をご覧ください。

インフラ企業でAIを入れるときの要件

出典: 国家サイバー統括室 公式サイト

電力・ガス・水道・通信・鉄道などのインフラ企業では、情報漏えいに加えて「設備が止まること」が大きなリスクになります。

• 基幹インフラ制度（経済安全保障推進法）：国が指定した事業者（特定社会基盤事業者。2025年7月末時点で257者、2026年7月にも新たに指定）は、国が定めた重要な設備を導入するときや、その保守を委託するときに、事前に届け出て審査を受ける必要があります（内閣府）。生成AIそのものを重要な設備として明示した資料は、本記事の執筆時点では確認できませんでした。制御系や重要な設備に関わるAIは、届出の対象になるかを所管省庁のルールで確認してください。
• サイバー対処能力強化法：2025年5月に成立・公布され、公布から1年6か月以内（2026年11月22日まで）に施行されます。基幹インフラ事業者には、一定のシステムの届出や、サイバー攻撃を受けたときの報告が求められます。詳細な施行日と報告の対象は、本記事の執筆時点で公表を確認できていません。

進め方としては、設備を操作する系統（制御系）にはAIを直接つながず、報告書や社内文書を扱う系統（情報系）から始めるのが安全です。インフラの活用例は電力・ガス・水道のAI活用事例で紹介しています。

AIに任せやすい業務・慎重に進める業務・任せない業務

日本医師会の3区分、金融庁の整理、総務省の自治体向けガイドブックの考え方をもとに、業種ごとの線引きを1枚にまとめました。

左の列から始めるのが、どの業種でも審査を通しやすい順番です。「任せやすい」業務は、AIが間違えても人が確認の段階で気づけるうえ、入れる情報の範囲も絞りやすいからです。

反対に、「最終的な判断もAIに任せたい」「人の確認を省きたい」という要望は、どの業種の指針とも合わないため、当社でもおすすめしていません。 人の確認を残したうえで、確認にかかる時間を短くする設計にするのが現実的です。任せる範囲の決め方はAIエージェントに任せられる業務でも解説しています。

規制業種で要件を満たす方法は4つある

構成を選ぶ前に、社内で2つのことを決めておく必要があります。1つはAIに入れる情報の区分（公開情報／社外秘／個人情報／病歴などの特に慎重な個人情報）、もう1つは国内での処理を必須にするかです。この2つが決まらないと、構成も見積もりも決まりません。

① 業種向けの既製AIサービスを使う

医療・薬局向けには、公開価格のある既製サービスが出てきています。

• クリニック向けのAI（MEDISMA AIクラーク）：使い放題で月30,000円〜（税区分の記載なし。調剤薬局・病院は対象外と明記）
• 薬局向けのAI薬歴（ファーネット YAKUREKI-AI）：設定費4万円（税別、1法人1申込）＋月額使用料4万円（使用頻度の制限なし）
• 料金は非公開ながら、「3省2ガイドラインに則ってデータを管理」と明記している薬歴支援サービス（ウィーメックス、2024年8月発表）や、大手薬局チェーンが50店舗に先行導入したサービス（日本調剤、2024年11月発表）もあります

注意したいのは、公式ページにガイドラインへの対応、入力内容の学習への利用、保存場所の記載が見当たらないサービスもあることです。価格が手頃でも、契約前に開示書と、後述する8つの質問への回答を求めてください。

業務がサービスの想定どおりで、今のシステムとつなぐ必要がなく、提供会社が開示書を出せるなら、まずこの方法を検討するのが順当です。一方で、自院・自社独自の書式や、今のシステムとの連携には対応できないことがあります。

② 法人向けプランを配り、社内ルールで使う範囲を決める

ChatGPT・Claude・Microsoft 365 Copilotなどの法人向けプランは1人あたり月3,000円前後で、既定では入力内容を学習に使いません。ただし、デジタル庁が2026年9月1日から行政機関に適用している生成AIの基準（DS-920 第2.0版）は、規約に同意するだけで使えるクラウド型の生成AIでは、原則として機密性の高い情報を扱えないと整理しています。行政向けの基準ですが、民間の規制業種でも審査の参考になる考え方です。

公開情報や社内の一般的な文書が中心なら、この方法で十分です。患者情報や顧客の機微情報を入れる用途なら、個別の契約・設定・社内ルールの確認が別に必要になります。

③ 自社のクラウドから、専用の経路でAIを呼び出す

自社で契約しているクラウド（AWS・Azureなど）の中にAIの呼び出し口を作り、インターネットを通らない専用の経路でAIを使う構成です。金融・医療で多い形で、経路の費用自体は月数千円程度（Azureで1本あたり月約1,100円、AWSで月約3,100円＋データ処理料）にとどまり、費用の中心は構築と運用です。

ただし、専用の経路は「通り道」を閉じるだけで、データがどこに保存され、どこで処理されるかは別の設定と契約で決まります。 「日本国内で処理すること」を要件にした場合、2026年9月時点の対応状況は次のとおりです。

まとめると、国内処理を必須にすると、最新・最上位のモデルが使えない（または遅れる）うえ、AIの利用料が1割前後上がります。 先に見たとおり医療の第7.0版も国内保存を一律には求めておらず、求めているのは「どこで保存・処理されるかを確認して記録すること」です。また、最新の最上位モデルの中には、提供元での一定期間（30日）の保存が必須のものもあり、「データを一切残さない」という要件と両立しないことがあります（Claude Fable 5の企業導入の注意点）。

顧客情報・患者情報を扱いたい場合や、今の業務システムとつなぎたい場合に選ばれる方法です。

④ オンプレ（自社のサーバーでAIを動かす）

AIを動かす機材ごと自社に置き、データを外に出さない構成です。公開例では、インテックの「ローカルLLMの導入支援」が参考価格500万円〜（最短1か月）、APOLLO11の「EdgeLLM」が初期980万円〜（税込・参考）＋月額固定費で、同時に使えるのは約5人、導入は標準5〜6週間です。

外に出せない情報を扱う場合の最後の手段ですが、同時に使える人数に上限があり、機材の保守やAIの入れ替えの負担が続きます。

4つの方法の違い

構成ごとの詳しい費用と審査での答え方は、生成AIのセキュリティ要件を満たす社内導入の構成で比較しています。

AIの提供会社に確認する8つの質問

どの方法を選んでも、審査で必ず聞かれるのは同じ質問です。契約前に提供会社から書面で回答をもらっておくと、その回答がそのまま審査資料になります。

医療機関・薬局は、これに加えてサービス仕様適合開示書を求めます。金融機関は、回答を委託先の評価に綴じ、取扱範囲を覚書で明文化するのが一般的な流れです。開発会社に発注する場合は、この8つを仕様書の段階で入れておくと、見積もりの比較がしやすくなります（システム開発の相見積もりとRFP）。

規制業種のAI導入の費用の目安

進め方ごとの公開相場と、当社の価格を並べます。

AIそのものの毎月の利用料は、社内で使う規模なら月数千〜数万円に収まることが多く、費用の大半は人の作業にかかります。規制業種で上乗せになるのは、AIの利用料ではなく、次の5つの工程です。

1. ルールの特定：自社に当てはまる法律・ガイドライン・業界の基準、既存の委託契約を洗い出す
2. 情報の区分：公開情報・社外秘・個人情報・特に慎重な個人情報に分け、AIに入れる範囲を決める
3. 提供会社の確認と契約：8つの質問への回答、開示書、契約書・覚書
4. 人の確認の設計：どの出力を、誰が、いつ確認し、その記録をどう残すか
5. 記録と監査：入力・出力・アクセスの記録の取得と、定期的な見直し

見積書を受け取ったら、この5つの工程が作業に含まれているかと、人件費とAI・クラウドの利用料が分けて書かれているかを確認してください。5つの工程が含まれていない見積もりは、一見安くても、審査の段階で作業が追加になりがちです。

当社の受託開発では、規制業種の案件を次の3つの入口でお受けしています。

• 今のシステムにAI機能を1つ足す（小規模改修 30万円〜）：画面や帳票の追加、表計算ソフトで開ける形式でのデータ出力、他のシステムとの連携など、つなぐ部分が1か所の改修
• 業種のルールに合わせて1業務で試す（PoC 300万円〜）：課題と検証内容の整理、簡易的な要件定義、PoCの設計と開発、検証環境、結果の整理、本開発の提案まで
• 本番の構築（個別見積）：利用者数、機能数、外部連携、データ移行、セキュリティの要件を確認して算出

医療情報システムの対応経験があり、情報処理安全確保支援士（情報セキュリティの国家資格）が設計とレビューに関わります。取り扱う情報、利用目的、保存場所、外部サービス、権限、運用体制を確認したうえで対応方法を提案し、お客様のクラウド環境への構築にも対応しています。対応範囲と進め方は受託開発サービスのページにまとめています。PoCの工程と費用配分はAIのPoC費用で詳しく解説しています。

規制が厳しい現場で成果が出ている公開事例

医療：電子カルテを残したまま、クラウドのAIでサマリーを作成（恵寿総合病院）

日本医師会の答申には、恵寿総合病院の取り組みが紹介されています。生成AIで退院サマリー・看護サマリーの文案を約1分で作り、医師・看護師による確認と修正を義務にしたうえで、全体で約5分以内に完成させています。仕組みは、院内のサーバーで動く電子カルテにクラウドのAIを組み込み、カルテ上の操作一つで文案を出して最終確認する形です。

生成AIでのサマリー作成を導入した後、医師の月間残業時間は45時間から18.5時間に、看護師全体では月8.1時間から1.1時間に減りました。ただし答申自身が、この成果はAI単独ではなく、業務の流れの見直し、データの整備、RPA（パソコン上の定型作業を自動で行うソフト。別途約130台で年間約12,500時間を削減）、職員の学び直しなどの組み合わせによるものだと明記しています。

規制が最も厳しい医療でも、「文書作成・要約」から、人の確認を必ず挟む形で始めれば成果が出ていること、そして今のシステムを入れ替えずにAIを足す形で実現していることが分かります。今のシステムへのAIの足し方は既存システムへのAIの組み込み方で解説しています。

薬局：約1,300店でAI薬歴、記載時間は半減の見通し（アインHD）

日本経済新聞（2026年2月18日）によれば、アインホールディングスは生成AIを使った薬歴システムを約1,300店に導入し、薬歴の記載時間は半減する見通しで、年間50万時間程度の業務時間の削減を目指しています。導入は2027年4月期までに完了する予定です。

自社に当てはめる場合の試算の例を示します。薬剤師1人の薬歴入力が1日約85分として、これが半分になれば1日約42分の短縮、月20日勤務で月約14時間です。時給を3,000円と仮定すると1人あたり月約4.2万円分、薬剤師10人の薬局チェーンなら月約42万円分の時間になります。時給は仮定、「半減」はアインHDの見通しであり、どの薬局でも同じ効果が出ることを保証する数字ではありません。

行政（参考）：個人情報なしで試し、約3か月後に条件付きで解禁（大阪市）

規制業種ではありませんが、個人情報を大量に扱う組織の進め方として参考になるのが大阪市です。総務省の自治体向けガイドブック第4版によれば、大阪市は次の順番で広げました。

• 2023年5〜7月：検討チームを設置
• 2023年9〜12月：事業者と共同で検証
• 2024年1〜2月：試行（個人情報の入力は不可）
• 2024年4月〜：本格利用（条件付きで個人情報の入力を可能に）

検討の開始から、個人情報を扱えるようになるまで約11か月です。インターネットを通らない専用の経路でつないだクラウド環境の上に市独自の生成AIを用意し、1回の処理で1,000人分までの個人情報の入力を運用上認めています（マイナンバーを含む情報は対象外）。専用の回線は、生成AIの導入以前から整備済みでした。利用した職員の約80%が「業務が効率化された」と答えています（2024年7月のアンケート）。

実際にやった事例

守秘の関係で、社名や環境の詳細は出せません。ここでは当社が担当した案件の構造をお伝えします。

医療機関のケース｜1部門・1業務に絞ったPoC（約3か月）

課題：蓄積されている文書や記録は多いのに、必要な情報を探すのに時間がかかっていました。

作ったもの：手元の資料をAIに読ませ、質問すると根拠となる箇所を示しながら答える仕組みです。いきなり全部門に展開せず、対象を1部門・1業務に絞ったPoCとして進めました。期間は、対象業務の絞り込みと合格ラインの設定に2週間、資料の受け取りと整形に3週間、試作と調整に5週間、現場での試用と判定に2週間です。

何がどう変わったか：開始前に「どの質問に、どの水準で答えられたら合格とするか」を文書で決めていたため、終了時には合格ラインに対する実測値、本開発の概算見積、本番移行時の運用体制案が揃い、全部門に広げるかどうかを2週間で判断できました。 対象を1業務に絞ると、AIに入れる情報の範囲も小さくなり、確認すべき項目も減ります。

調剤薬局のケース｜今のシステムはそのままに、データの受け渡しだけを作った（約5週間）

課題：あるシステムに入力した内容を、別の管理表へ手で書き写す作業が毎日あり、忙しい時期には書き写し漏れも起きていました。

作ったもの：一方のシステムから出力したデータを整え、もう一方の形式に変換して取り込む仕組みです。システムを入れ替えるのではなく、データの出力と取り込みでつなぐ小規模改修で、期間は相談と仕様の確定に2週間、実装に2週間、現場での試験運用に1週間です。

何がどう変わったか：書き写しの作業と、書き写しの誤りを探して直す時間がなくなりました。対象を「毎日発生している書き写し1か所」に絞ったことで、5週間で使い始められました。あいだにAIによる分類や下書きをはさむ場合も、今のシステムに手を入れる範囲を最小にする構造は同じです。

インフラ企業のケース｜AIに任せる範囲を「判断の材料を揃えるところまで」に線引きした

課題：「この申請は今どの段階か」「この設備の登録情報はどうなっているか」といった質問に答えるため、担当者が複数のシステムを開いて調べてから返していました。

作ったもの：AIが社内文書を参照するだけでなく、必要に応じて別のシステムに照会し、現在の状態を取ってきたうえで答える仕組みです。承認や決裁そのものはAIに行わせず、人が判断するための情報を揃えるところまでにしています。

何がどう変わったか：「調べれば分かるが、調べるのに時間がかかる」種類の質問が、担当者の手を煩わせずに解決するようになりました。先に示した表の「任せない」業務（承認・決裁）を、最初から設計の外に置いた例です。

3件に共通しているのは、対象の業務と、AIに任せる範囲を最初に絞っていることです。規制業種では、この絞り込みがそのまま審査の通りやすさにつながります。

導入までの流れと期間

規制業種の現実的な進め方は、大阪市の例と同じく次の3段階です。

1. 個人情報を入れずに試す：公開情報や社内の一般的な文書で、効果と使い勝手を確かめる
2. 環境と契約を整える：8つの質問への回答、開示書・覚書、記録の取得、二要素認証
3. 入れてよい情報を、条件付きで広げる：対象の部門・情報の種類・件数の上限を決めて段階的に広げる

上の目安を足し合わせると、初回相談から本番の利用開始まで、おおむね半年〜9か月が目安です。一般の業種との差は、主に「提供会社の確認と社内の審査」の2週間〜2か月です。

時間がかかりやすいのは技術の作業ではなく、「どの情報をAIに入れてよいか」が社内で決まらないことと、審査の質問と回答が何往復もすることです。8つの質問への答えを最初に揃えておくと、この往復が減ります。期間の内訳はAI開発の期間、社内の稟議の通し方は生成AIの稟議資料で解説しています。

相談の時点で、構成や要件が決まっている必要はありません。「どのルールが当てはまるのか分からない」「審査で何を用意すればいいか分からない」という段階から整理を始める案件も少なくありません。その段階から使える窓口として、受託開発の無料相談をご用意しています。

よくある質問

Q1. 国内のデータセンターを使うサービスなら、それだけで要件を満たせますか。

満たせるとは限りません。データが国内に置かれていても、運営会社や再委託先が海外の会社であれば、外国の法律が適用され、外国政府から開示を求められる可能性が残ります。医療の第7.0版の解説でも、確認して記録すべき項目は保存国だけでなく、処理国、アクセスできる地域、再委託先、外国の法律の適用可能性まで含まれています。さらに、二要素認証や記録の取得、保守を委託する会社の管理は、データの置き場所とは別に求められます。「国内」という言葉だけで判断せず、8つの質問への回答を一式もらってください。

Q2. AIが間違えた回答を出し、それをもとに判断して問題が起きたら、誰の責任になりますか。

AIの回答を使って最終判断をした医療機関や会社の側が責任を負う、と考えておくのが基本です。日本医師会の答申が「医師による確認と責任の原則」を掲げ、金融庁の整理が顧客向けのAIにいつでも人に切り替えられる仕組みを挙げているのも、この前提があるからです。既製のサービスや法人向けプランでは、規約で提供会社の責任の範囲が限られていることも多いため、規約を確認したうえで、「誰が、いつ、どの出力を確認したか」を記録に残す運用を最初から組み込んでおくことが、自社を守ることにもつながります。

Q3. 業種向けの既製AIサービスを入れたあと、今のシステムとつなぐ部分だけを開発会社に頼めますか。

頼めます。既製サービスが電子カルテや薬歴のシステム、社内の管理システムと直接つながらない場合でも、データを出力して整え、もう一方に取り込む部分だけを作る方法があります。つなぐ部分が1か所なら、当社では小規模改修（30万円〜）の範囲に収まることが多い帯です。既製サービスを選ぶか、自社専用に作るかの判断の考え方はSaaSとカスタム開発の判断基準にまとめています。

Q4. 2026年の個人情報保護法の改正で、患者や顧客のデータをAIに使いやすくなったと聞きました。すぐに使えますか。

すぐには使えません。改正法は2026年7月10日に成立、7月17日に公布され、一部を除いて公布から2年以内に政令で定める日に施行されます。改正の中には、統計の作成など（統計の作成と整理できるAIの開発を含む）のためであれば、本人の同意なく個人データを第三者に提供できるといった特例が含まれますが、特定の個人を評価する目的や、マーケティングの目的には使えない限定的なものです。課徴金制度の新設など、企業にとって厳しくなる改正も含まれています。日々の業務でAIに顧客情報を入れる場面は、施行後も含めて、いまの法律のルールで判断してください（個人情報保護委員会）。

Q5. EUのAI規制法は、日本の医療機関や金融機関にも関係しますか。

EUで事業をしていない国内の中堅・中小企業は、基本的に対象外です。EUのAI規則では、金融の信用評価や保険の価格決定、医療機器などが「高リスク」の類型に挙がっていますが、2026年7月に発効した改正で、高リスクのAIに関する義務の適用は2027年12月2日（製品に組み込まれるものは2028年8月2日）に延期されたと報じられています。EU域内の顧客にサービスを提供している、EUの拠点があるといった場合は、専門家に個別に確認してください。

Q6. 社内にエンジニアがいなくても、導入後の運用はできますか。

方法によって違います。業種向けの既製サービスや法人向けプランは、社内にエンジニアがいなくても運用しやすい方法です。自社のクラウドやオンプレで動かす場合は、保守の委託が前提になります。その場合、医療の第7.0版では保守を委託する会社向けの編が新設されており、保守会社も管理の対象になる点に注意してください。また、AIのモデルは提供終了が通知されることがあり（Anthropicなどは少なくとも60日前）、入れ替えのたびに保存・処理場所の条件を確認し直す必要があります。保守契約にこの作業が含まれているかを、契約前に確認してください。運用費の中身はシステム保守運用費の相場をご覧ください。

Q7. 規制業種に強い開発会社かどうかは、どう見分ければよいですか。

実績の件数よりも、最初の打ち合わせで何を聞いてくるかで見分けるのが確実です。「AIに入れる情報は何か」「どこに保存し、どこで処理するか」「誰が最終判断をするか」「監査部門や情報システム部門の審査様式はあるか」を開発会社の側から確認してくるかどうかが目安になります。医療であればサービス仕様適合開示書、金融であれば委託先の評価や覚書に対応できるかも聞いてください。発注先の選び方はAI開発会社の選び方にまとめています。

Q8. AIの導入に補助金は使えますか。

使える制度があります。東京都の「令和8年度 医療機関におけるAI技術活用促進事業」は、都内の200床未満の病院と有床診療所の開設者が対象で、AI問診、電子カルテへのAI音声入力、既存システムとの連携の改修費用、コンサルティング費用などに対し、補助率2分の1、基準額1,000万円（コンサルティングを実施する場合は2,000万円）です。令和8年度の第2回締切は2026年9月30日（水）で、交付決定から2027年3月31日までに着手・完了し、実績報告と額の確定のあとに支払われます（東京都保健医療局）。次年度の募集は本記事の執筆時点で未発表です。全国向けのデジタル化・AI導入補助金2026は、事務局に登録された既製のツールが対象で、自社専用に作るシステムは対象外です。通常枠の1次締切は2026年9月29日（火）17:00、交付決定は2026年11月9日（月）の予定で、2次締切以降の日程は本記事の執筆時点で未発表です（公式スケジュール）。どちらも後払いのため、入金までの資金繰りは補助金の入金時期を参考にしてください。

規制業種のAI導入でお悩みの方へ

規制業種でもAIは導入できます。大切なのは、「AIに入れてよい情報」「どこで保存・処理するか」「誰が最終判断するか」を業種のルールに合わせて先に決めることです。費用は、業種向けの既製サービスなら月3万〜4万円台から、今のシステムにAI機能を足すなら30万円〜、ルールに合わせて1業務で試すPoCは公開相場で100万〜300万円、オンプレは500万円〜が目安で、一般の業種より審査の分だけ2週間〜2か月長くかかります。

• 「うちは規制があるから無理」と言われ、何が本当にだめなのか分からない
• 情報システム部門・法務・コンプライアンス部門の審査で、AIの導入が止まっている
• 既製のAIサービスで足りるのか、今のシステムとつなぐ開発が必要なのか判断できない

このいずれかに当てはまるなら、初回相談は無料です。当社の価格はPoC 300万円〜、小規模改修30万円〜、本開発は個別見積（すべて税別）で、医療機関・薬局・インフラ企業での実績があります。要件が固まっていない段階からご相談いただけます。

ご相談の際は、①業種と対象にしたい業務、②AIに入れたい情報の例、③審査で止まっている質問（あれば）の3点をお聞かせください。既製サービスで足りるのか、足りない部分だけの改修で済むのか、1業務で試すところから始めるべきかを、概算の費用と期間とあわせてお伝えします。作らなくていいと判断した場合は、そう申し上げます。

▶ 規制業種のAI導入・システム開発の無料相談はこちら

関連記事：生成AIのセキュリティ要件を満たす社内導入の構成／既存システムへのAIの組み込み方／AIのPoC費用／社内資料をAIに読ませる仕組み（RAG）の導入費用／シャドーAIのリスク