規制業種のAI導入｜医療・薬局・金融・インフラで守るルールと要件・費用【2026年10月最新】

医療機関・薬局・金融機関・インフラ企業でもAIは導入できます。守るべき点は業種ごとに決まっていて、医療・薬局は3省2ガイドライン（第7.0版とそのQ&A）、金融は金融庁の指針・FISC安全対策基準・機微情報の扱い、インフラは経済安全保障推進法と、2026年10月1日に施行されたサイバー対処能力強化法です。文書作成・要約・社内資料の検索のように「人が最後に確認できる業務」から始めれば、これらの範囲で進められます。

費用の目安は、業種向けの既製AIサービスなら月3万〜4万円台から、今の業務システムにAI機能を1つ足すなら当社では100万円〜、業種のルールに合わせて1業務で試す検証（PoC）なら公開相場で100万〜300万円（当社は300万円〜）です。一般の業種との違いはAIそのものではなく「審査と確認」の工程にあり、その分だけ期間が2週間〜2か月延びます。

この記事でわかること

• 医療・薬局・金融・インフラで、それぞれ何を守ればよいか（2026年10月時点の版と日付つき）
• 2026年9〜10月に変わった点（第7.0版Q&Aでの生成AIの扱い、サイバー対処能力強化法の施行、Amazon Bedrockでの国内処理の対応）
• AIに任せやすい業務と任せない業務の線引き
• 要件を満たす4つの方法と、AIの提供会社に確認する8つの質問
• 費用・期間の目安と、実際の導入事例

この記事が役立つ方：医療機関・薬局・介護事業者、銀行・証券・保険会社、電力・ガス・水道・通信・鉄道などのインフラ企業で、AI導入を任された事業責任者・情報システム担当・業務部門長の方。

当社も受託開発で、医療機関・薬局・インフラ企業のシステムやAIを作っています（PoC 300万円〜／既存システムの改修100万円〜／本開発は個別見積、すべて税別）。ただし、業種向けの既製サービスで足りる場合は、作ることを勧めません。 その線引きも正直に書きます。

なお、本記事は法令・ガイドラインを一般的に整理したもので、個別の法的助言ではありません。自社への当てはめは、所管官庁の資料や顧問弁護士への確認とあわせて行ってください。金額は特記のない限り税別です。各社の製品価格は2026年9月時点の公開情報で、変わっている場合があります。

業種別｜AI導入で守るルールの早見表

自社の業種で何を守ればよいかを、業種ごとに整理しました。

規制業種のAI導入はどこで止まっているか

AIの利用自体は規制業種でも広がっており、止まるのは「顧客・患者の情報を入れる段階」と「社内審査の段階」です。

「規制業種」は法律上の用語ではありません。本記事では、業法や国のガイドラインで情報の扱い方・外注先の管理・説明責任が細かく決められている業種を指し、医療機関・薬局・介護、金融（銀行・証券・保険）、インフラ（電力・ガス・水道・通信・鉄道など）を対象にします。

金融庁が2024年に行ったアンケート（130社が回答）では、AIを利用している金融機関のうち71.1%が一般社員まで広く生成AIを使えるようにしており、文章の要約・翻訳は7割超が導入済みでした（金融庁 AIディスカッションペーパー第1.1版）。日本銀行の2025年度の調査でも、生成AIを「利用中」の金融機関は50.3%と、前年の31.0%から増えたと報じられています。

それでも導入が止まるのは、次の3つの段階です。

1. 顧客・患者の情報をAIに入れる段階：金融庁のアンケートで、生成AIの登場によって「課題が難しくなった」と感じる先が最も多かったのが個人情報保護でした。特に、①顧客情報をAIの学習に使う、②顧客情報を含む文章をAIに入力する、③開発や学習を外部に委託する、④海外にサーバーがあるサービスを使う、の4つの場面で、ルールの当てはめ方が分かりにくいと指摘されています。
2. 社内のデータを使う段階：同じアンケートでは、約半数が汎用の生成AIをそのまま使うにとどまり、社内のデータを活用する段階に進んでいません。社内の資料や顧客データをAIに読ませようとした瞬間に、「その情報を入れてよいのか」「どこに保存されるのか」という確認が必要になるからです。
3. 社内の審査の段階：管理職1,008名への調査（コーレ、2026年1月）では、AI活用が進まない理由の1位が「セキュリティ面に懸念」（33.5%）、3位が「情報システム部門の理解・協力が得られない」（22.4%）でした。

一方で、現場の負担は待ってくれません。薬局では、薬剤師の薬歴入力に1日あたり約1時間25分かかっているという厚生労働省の調査結果が紹介されています。薬剤師881名への調査（ウィーメックス、2023年10月）では、約70%が服薬指導中の会話をメモに残し、手が空いた時間にそのメモから薬歴を入力していました。医療機関ではサマリーなどの文書作成、金融では規程や商品資料の確認、インフラでは点検報告書の作成と、どの業種にも「AIで短くできるのに、ルールが分からず手を付けられない」作業が残っています。

社内で許可されていないAIを現場が勝手に使い始める前に、使ってよい範囲を決めておくことも大切です（シャドーAIのリスクと対策）。

守るべきルールは3層ある｜法律・国のガイドライン・業界の基準

出典: 内閣府 公式サイト

経営者がまず押さえるべきは、「何が本当に必須か」です。規制業種のAI導入に関係するルールは、強さの違う3つの層に分かれます。

「AIの法律ができたから厳しくなった」わけではありません。 2025年5月に成立し、6月4日に公布、9月1日に全面施行されたAI推進法（人工知能関連技術の研究開発及び活用の推進に関する法律）は、日本で初めてAIに特化した法律ですが、罰則のない理念法で、企業に新しい義務を直接課すものではありません（内閣府）。2025年12月23日にはこの法律に基づく人工知能基本計画が閣議決定され、「世界で最もAIを開発・活用しやすい国」を目指す方針が示されています。

実務で効いてくるのは、次の2つです。

• 個人情報保護法（現行）：個人データを含む内容をAIに入力する場合、AIの提供会社は「データを預ける外注先（委託先）」として管理する必要があります。個人情報保護委員会は2023年6月の注意喚起で、提供会社が入力内容を学習に使わないことを十分に確認するよう求めています（個人情報保護委員会）。
• 業種ごとのガイドライン：医療・金融・インフラでそれぞれ別の指針があり、求められる確認項目が異なります。

このほか、総務省・経済産業省のAI事業者ガイドラインが2026年3月31日に第1.2版に改訂され、AIが他のシステムを操作する仕組み（AIエージェント）の定義が加わりました。AIエージェントを入れる場合は、外部システムとの連携を適切に制限し、権限を正確に設定することが求められています。

なお、2026年7月17日に公布された改正個人情報保護法（令和8年法律第56号）は、一部を除き公布から2年以内に政令で定める日に施行される予定で、2026年10月時点で施行日は決まっていません（個人情報保護委員会）。業務でのAI利用は、いまの法律で判断してください。

医療機関・薬局でAIを入れるときの要件

出典: 厚生労働省 公式サイト

医療機関・薬局が守るのは、通称「3省2ガイドライン」（厚生労働省の1本と、総務省・経済産業省の1本からなる国の指針）です。2026年9月25日に公表された第7.0版のQ&Aで、海外にサーバーがある生成AIでも、入力内容が保存されないことを契約で担保すれば使えるという考え方が示されました。

第7.0版で、AIやクラウドのサービスも対象として明確になった

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、2026年6月に第7.0版になりました（厚生労働省）。保守を委託する会社向けの編が新設され、概説・経営管理・企画管理・システム運用・保守委託機関の全5編になっています。AIの導入に関係する主な点は次の4つです。

最後の点は法律事務所の解説（三宅法律事務所）でも指摘されています。

2026年9月25日のQ&Aで、生成AIの扱いが一部示された

第7.0版の本文には生成AIに固有のルールは入っていませんでしたが、厚生労働省は2026年9月25日に「第7.0版に関するQ&A」を策定しました（厚生労働省 Q&A）。AI導入に直接関係するのは次の項目です。

ここで注意したいのは、Q18の条件が「保存されないことの契約上の担保」である点です。最新の最上位モデルの中には、提供元での一定期間（30日）の保存が必須のものもあり、その場合はQ18の条件と合わない可能性があります（Claude Fable 5の企業導入の注意点）。「どのモデルを、どの経路・契約で使えば保存ゼロにできるか」を、モデル選びの前に確認するのが実務の順番です。

また、Q&Aは本文の規律ではなく解釈を示したものです。院内の規程と契約に落とし込む作業は、引き続き医療機関側に残ります。これが、医療でAIを入れるときに工程と費用が上乗せになる一番の理由です。厚生労働省は「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」も提供しているので、あわせて確認してください。

AIの提供会社には「サービス仕様適合開示書」を求める

医療機関にシステムを提供する会社向けには、総務省・経済産業省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、2025年3月28日）があります（経済産業省）。提供会社は、自社のサービスがガイドラインのどの項目にどう対応しているかを「サービス仕様適合開示書」で医療機関に示し、合意することになっており、ガイドラインには開示書とSLA（サービスの品質保証の取り決め）の参考例も付いています。

AIサービスを入れる医療機関・薬局は、契約前にこの開示書を求めるのが実務の基本です。開示書をすぐに出せない提供会社は、医療情報を預かる前提の体制が整っていない可能性があります。

日本医師会は、AIに任せる範囲を3つに分けた

2026年4月、日本医師会のAIの臨床利用に関する検討委員会は、答申でAIの使い方を3つに区分しました（日本医師会 答申）。

• 適用可能：文書作成、要約、説明文の下書き
• 慎重な適用：検査・処方の提案（根拠の提示、医師の確認、監査用の記録が前提）
• 適用困難：確定診断や救急での最終判断の代替

答申は「医師による確認と責任の原則」を、記録と監査のプロセスに制度として組み込むべきだとしています。「仮に正解率98%でも、1,000項目なら20項目を誤判断する」という指摘は、AIの出力を人が確認する仕組みがなぜ必要かを端的に表しています。医療・ヘルスケア分野の業界団体（HAIP）が2025年7月に公表した生成AI利用ガイドライン第2版も、生成AIは医療者の判断を代替するものではなく支援する補助ツールで、最終判断は医療従事者が行うという立場です。

診断を目的とするAIは、別の規制になる

病気の診断・治療・予防を目的とするソフトウェアは、薬機法上の医療機器（プログラム医療機器）に当たる場合があり、承認・認証・届出が必要になります。審査や販売後の管理が求められるため、一般的な業務システムの開発とは期間も費用も桁が違います。本記事は文書作成・要約・検索などの業務支援を対象にしており、診断目的のAIは扱いません。 業務支援のAIは一般にこの対象外と整理されますが、機能の説明の仕方によって判断が変わることがあるため、境目にあたる場合は専門家に確認してください。

大病院は、経済安全保障の届出の対象になりうる

2026年6月10日に成立し、6月17日に公布された改正経済安全保障推進法で、医療が「基幹インフラ」に加わりました。対象は特定機能病院などの大病院を念頭に置いており、重要な設備の候補として電子カルテ・手術部門・集中治療部門に関連する設備が挙がっています。対象になると、設備の導入や保守の委託の前に、国への事前届出と審査（原則30日）が必要になります。

施行は公布から1年6か月以内に政令で定める日で、報道によれば、まず各地方で少なくとも1病院を指定し、施行後3年目までに都道府県ごとに1病院以上へ広げる方針です。具体的な施行日と対象設備の最終的な範囲は、2026年10月時点で確定していません。中小病院・クリニック・薬局には直接関係しない制度です。

医療・薬局の活用例は医療・病院のAI活用事例と薬局のAI活用事例にまとめています。

金融機関でAIを入れるときの要件

出典: 金融庁 公式サイト

金融機関が押さえるのは、①AIの提供会社を委託先として管理すること、②病歴などの機微情報を原則入れないこと、③監査部門が使うFISC基準の版の3点です。金融庁自体は、AIの活用を萎縮させない立場を明示しています。

金融庁は「萎縮させない」立場を明示している

金融庁のAIディスカッションペーパー（第1.1版、2026年3月3日）は、検査やモニタリングでの目線や具体的な対応を求める文書ではなく、論点を整理したものだと明記しています。そのうえで、AIを使わない「チャレンジしないリスク」も認識されるべきであり、金融機関を過度に萎縮させない行政対応を行うとしています。2026年10月時点で、この文書の新しい版は確認できていません。

また日本経済新聞（2026年5月7日）によれば、金融庁は顧客対応向けの生成AIの基盤モデルの開発を金融データ活用推進協会（FDUA）に委託し、地方銀行などに無償で提供するとともに、安全に使うための指針も示す予定と報じられています。提供時期は2026年10月時点で確認できていません。

とはいえ、顧客情報を扱う以上、次の点は押さえておく必要があります。

機微情報は、原則としてAIに入れない

金融分野の個人情報保護ガイドラインでは、病歴などの要配慮個人情報に加えて、労働組合への加盟、門地、本籍地、保健医療、性生活に関する情報を「機微（センシティブ）情報」とし、原則として取得・利用・第三者提供を行わないこととしています（例外規定あり。個人情報保護委員会）。保険の告知内容や病歴、与信の審査資料をAIに読ませる設計を考えている場合は、例外に当たるかの確認が、構成を考えるより先です。

システム監査の基準（FISC）にもAIの項目が入った

金融機関のシステム監査や委託先の評価で参照される、金融情報システムセンター（FISC）の安全対策基準は、第13版（2025年3月）でAIを対象とする基準項目を追加し、第14版（2026年3月25日公表）で官公庁や業界団体のAI・生成AIに関するガイドライン等を反映しました（FISC）。2026年10月時点では第14版が最新です。AIを入れる際は、自社の監査部門がどの版を基準にしているかを先に確認しておくと、審査での手戻りが減ります。

日本銀行の2025年度の調査では、生成AIの利用状況の確認、外部の提供会社のリスクやサイバー攻撃への対策、実務ルールの見直しについて、5割程度の金融機関が「改善の余地がある」または「検討中」と答えたと報じられています。利用は広がっても、管理の仕組みはまだ追いついていないのが実情です。

活用例は銀行・金融機関のAI活用事例、保険・損保のAI活用事例、証券会社のAI活用事例をご覧ください。

インフラ企業でAIを入れるときの要件

出典: 国家サイバー統括室 公式サイト

インフラ企業が守るのは、設備を止めないことです。2026年10月1日にサイバー対処能力強化法が施行され、基幹インフラ事業者には届出とサイバー攻撃の報告の義務が始まりました。AIは、設備を操作する系統から切り離した情報系から始めるのが安全です。

• サイバー対処能力強化法（2026年10月1日施行）：基幹インフラ事業者に、一定の重要なシステム（特定重要電子計算機）の届出と、サイバー攻撃などを受けたときの報告の義務が始まりました（e-Gov法令検索）。政府は2026年7月31日のサイバーセキュリティ戦略本部で、10月1日の施行に向けた準備を指示し、重要インフラの統一基準なども決定しています（首相官邸）。報道・解説によれば、施行時に導入済みの機器は2027年3月31日まで、施行後に新しく導入する機器は原則として導入日から4か月以内に届け出る必要があり、対象は2026年7月1日時点で15分野258事業者とされています。報告の期限など細かな要件は、所管省庁の資料で確認してください。
• 基幹インフラ制度（経済安全保障推進法）：国が指定した事業者（特定社会基盤事業者）は、国が定めた重要な設備を導入するときや、その保守を委託するときに、事前に届け出て審査を受ける必要があります（内閣府）。生成AIそのものを重要な設備として明示した資料は、2026年10月時点で確認できませんでした。制御系や重要な設備に関わるAIは、届出の対象になるかを所管省庁のルールで確認してください。

進め方としては、設備を操作する系統（制御系）にはAIを直接つながず、報告書や社内文書を扱う系統（情報系）から始めるのが安全です。AIを動かすサーバーや、AIを組み込んだシステムが新たな届出の対象にならないかも、構成を決める前に確認しておくと手戻りがありません。インフラの活用例は電力・ガス・水道のAI活用事例で紹介しています。

AIに任せやすい業務・慎重に進める業務・任せない業務

どの業種でも、文書作成・要約・検索から始め、最終判断はAIに任せないのが審査を通しやすい順番です。日本医師会の3区分、金融庁の整理、総務省の自治体向けガイドブックの考え方をもとに、業種ごとの線引きを1枚にまとめました。

「任せやすい」業務は、AIが間違えても人が確認の段階で気づけるうえ、入れる情報の範囲も絞りやすいからです。

反対に、「最終的な判断もAIに任せたい」「人の確認を省きたい」という要望は、どの業種の指針とも合わないため、当社でもおすすめしていません。 人の確認を残したうえで、確認にかかる時間を短くする設計にするのが現実的です。任せる範囲の決め方はAIエージェントに任せられる業務でも解説しています。

規制業種で要件を満たす方法は4つある

出典: デジタル庁 公式サイト

要件を満たす方法は、①業種向けの既製サービス、②法人向けプラン＋社内ルール、③自社クラウド＋専用の経路、④オンプレの4つです。構成を選ぶ前に、社内で2つのことを決めておく必要があります。1つはAIに入れる情報の区分（公開情報／社外秘／個人情報／病歴などの特に慎重な個人情報）、もう1つは国内での処理を必須にするかです。この2つが決まらないと、構成も見積もりも決まりません。

① 業種向けの既製AIサービスを使う

医療・薬局向けには、公開価格のある既製サービスが出てきています（2026年9月時点の公開情報）。

• クリニック向けのAI（MEDISMA AIクラーク）：使い放題で月30,000円〜（税区分の記載なし。調剤薬局・病院は対象外と明記）
• 薬局向けのAI薬歴（ファーネット YAKUREKI-AI）：設定費4万円（税別、1法人1申込）＋月額使用料4万円（使用頻度の制限なし）
• 料金は非公開ながら、「3省2ガイドラインに則ってデータを管理」と明記している薬歴支援サービス（ウィーメックス、2024年8月発表）や、大手薬局チェーンが50店舗に先行導入したサービス（日本調剤、2024年11月発表）もあります

注意したいのは、公式ページにガイドラインへの対応、入力内容の学習への利用、保存場所の記載が見当たらないサービスもあることです。価格が手頃でも、契約前に開示書と、学習への利用・保存場所・処理場所・再委託先についての書面での回答を求めてください。

業務がサービスの想定どおりで、今のシステムとつなぐ必要がなく、提供会社が開示書を出せるなら、まずこの方法を検討するのが順当です。一方で、自院・自社独自の書式や、今のシステムとの連携には対応できないことがあります。既製か開発かの判断はSaaSと受託開発の選び方も参考にしてください。

② 法人向けプランを配り、社内ルールで使う範囲を決める

ChatGPT・Claude・Microsoft 365 Copilotなどの法人向けプランは1人あたり月3,000円前後で、既定では入力内容を学習に使いません。ただし、デジタル庁が2026年9月1日から行政機関に適用している生成AIの基準（DS-920 第2.0版）は、規約に同意するだけで使えるクラウド型の生成AIでは、原則として機密性の高い情報を扱えないと整理しています。行政向けの基準ですが、民間の規制業種でも審査の参考になる考え方です。

公開情報や社内の一般的な文書が中心なら、この方法で十分です。患者情報や顧客の機微情報を入れる用途なら、個別の契約・設定・社内ルールの確認が別に必要になります。医療の場合は、第7.0版Q&AのQ18のとおり「入力内容が保存されないこと」を契約で担保できるかが分かれ目になります。

③ 自社のクラウドから、専用の経路でAIを呼び出す

自社で契約しているクラウド（AWS・Azureなど）の中にAIの呼び出し口を作り、インターネットを通らない専用の経路でAIを使う構成です。金融・医療で多い形で、経路の費用自体は月数千円程度（2026年9月時点の公開価格で、Azureで1本あたり月約1,100円、AWSで月約3,100円＋データ処理料）にとどまり、費用の中心は構築と運用です。

ただし、専用の経路は「通り道」を閉じるだけで、データがどこに保存され、どこで処理されるかは別の設定と契約で決まります。 「日本国内で処理すること」を要件にした場合、2026年10月時点の対応状況は次のとおりです。

国内処理を必須にすると、提供経路の選択肢が絞られ、AIの利用料も1割前後上がります。 Bedrockのように最新モデルでも国内処理を選べる経路は出てきましたが、1リージョンに固定できないなど細かな制約は残ります。医療の第7.0版も国内保存を一律には求めておらず、Q&AのQ18では海外サーバーの生成AIでも「保存しない契約」があればよいと整理されました。「国内処理が本当に必要か」と「保存しない契約が結べるか」を分けて検討すると、選べる構成が広がります。

顧客情報・患者情報を扱いたい場合や、今の業務システムとつなぎたい場合に選ばれる方法です。

④ オンプレ（自社のサーバーでAIを動かす）

AIを動かす機材ごと自社に置き、データを外に出さない構成です。公開例（2026年9月時点）では、インテックの「ローカルLLMの導入支援」が参考価格500万円〜（最短1か月）、APOLLO11の「EdgeLLM」が初期980万円〜（税込・参考）＋月額固定費で、同時に使えるのは約5人、導入は標準5〜6週間です。

外に出せない情報を扱う場合の最後の手段ですが、同時に使える人数に上限があり、機材の保守やAIの入れ替えの負担が続きます。

4つの方法の違い

構成ごとの詳しい費用と審査での答え方は、生成AIのセキュリティ要件を満たす社内導入の構成で比較しています。

AIの提供会社に確認する8つの質問

どの方法を選んでも、審査で必ず聞かれるのは同じ質問です。契約前に提供会社から書面で回答をもらっておくと、その回答がそのまま審査資料になります。

医療機関・薬局は、これに加えてサービス仕様適合開示書（MDS/SDS）を求めます。金融機関は、回答を委託先の評価に綴じ、取扱範囲を覚書で明文化するのが一般的な流れです。開発会社に発注する場合は、この8つを仕様書の段階で入れておくと、見積もりの比較がしやすくなります（システム開発の相見積もりとRFP、AI開発会社の選び方）。

規制業種のAI導入の費用の目安

AIそのものの毎月の利用料は、社内で使う規模なら月数千〜数万円に収まることが多く、費用の大半は人の作業です。進め方ごとの公開相場と、当社の価格を並べます。

規制業種で上乗せになるのは、AIの利用料ではなく、次の5つの工程です。

1. ルールの特定：自社に当てはまる法律・ガイドライン・業界の基準、既存の委託契約を洗い出す
2. 情報の区分：公開情報・社外秘・個人情報・特に慎重な個人情報に分け、AIに入れる範囲を決める
3. 提供会社の確認と契約：8つの質問への回答、開示書、契約書・覚書
4. 人の確認の設計：どの出力を、誰が、いつ確認し、その記録をどう残すか
5. 記録と監査：入力・出力・アクセスの記録の取得と、定期的な見直し

見積書を受け取ったら、この5つの工程が作業に含まれているかと、人件費とAI・クラウドの利用料が分けて書かれているかを確認してください。5つの工程が含まれていない見積もりは、一見安くても、審査の段階で作業が追加になりがちです。本番稼働後の費用はAIシステムの保守費用、社内の資料を読ませる仕組みの費用はRAG導入の費用で解説しています。

当社の受託開発では、規制業種の案件を次の3つの入口でお受けしています。

• 今のシステムにAI機能を1つ足す（既存システムの改修 100万円〜）：今あるシステムへの機能や画面・帳票の追加、表計算ソフトで開ける形式でのデータ出力、他のシステムとの連携など、つなぐ部分が1か所の改修
• 業種のルールに合わせて1業務で試す（PoC 300万円〜）：課題と検証内容の整理、簡易的な要件定義、PoCの設計と開発、検証環境、結果の整理、本開発の提案まで
• 本番の構築（個別見積）：利用者数、機能数、外部連携、データ移行、セキュリティの要件を確認して算出

医療情報システムの対応経験があり、情報処理安全確保支援士（情報セキュリティの国家資格）が設計とレビューに関わります。取り扱う情報、利用目的、保存場所、外部サービス、権限、運用体制を確認したうえで対応方法を提案し、お客様のクラウド環境への構築にも対応しています。対応範囲と進め方は受託開発サービスのページにまとめています。PoCの工程と費用配分はAIのPoC費用で詳しく解説しています。

受託開発が合う組織・既製サービスで十分な組織

規制業種のAI導入で、開発会社に頼むべきかどうかは「今のシステムとつなぐか」「独自の審査資料が要るか」でほぼ決まります。

おすすめしないケース：業種向けの既製サービスが開示書を出せ、業務もサービスの想定どおりであれば、開発する必要はありません。また、診断目的のAI（医療機器にあたるもの）や、最終判断をAIに任せる仕組みは当社でもお受けしていません。

規制が厳しい現場で成果が出ている公開事例

医療・薬局・行政の公開事例に共通するのは、人の確認を残し、今のシステムを入れ替えずにAIを足していることです。

医療：電子カルテを残したまま、クラウドのAIでサマリーを作成（恵寿総合病院）

日本医師会の答申には、恵寿総合病院の取り組みが紹介されています。生成AIで退院サマリー・看護サマリーの文案を約1分で作り、医師・看護師による確認と修正を義務にしたうえで、全体で約5分以内に完成させています。仕組みは、院内のサーバーで動く電子カルテにクラウドのAIを組み込み、カルテ上の操作一つで文案を出して最終確認する形です。

生成AIでのサマリー作成を導入した後、医師の月間残業時間は45時間から18.5時間に、看護師全体では月8.1時間から1.1時間に減りました。ただし答申自身が、この成果はAI単独ではなく、業務の流れの見直し、データの整備、RPA（パソコン上の定型作業を自動で行うソフト。別途約130台で年間約12,500時間を削減）、職員の学び直しなどの組み合わせによるものだと明記しています。

規制が最も厳しい医療でも、「文書作成・要約」から、人の確認を必ず挟む形で始めれば成果が出ていること、そして今のシステムを入れ替えずにAIを足す形で実現していることが分かります。今のシステムへのAIの足し方は既存システムへのAIの組み込み方で解説しています。

薬局：約1,300店でAI薬歴、記載時間は半減の見通し（アインHD）

日本経済新聞（2026年2月18日）によれば、アインホールディングスは生成AIを使った薬歴システムを約1,300店に導入し、薬歴の記載時間は半減する見通しで、年間50万時間程度の業務時間の削減を目指しています。導入は2027年4月期までに完了する予定です。

自社に当てはめる場合の試算の例を示します。薬剤師1人の薬歴入力が1日約85分として、これが半分になれば1日約42分の短縮、月20日勤務で月約14時間です。時給を3,000円と仮定すると1人あたり月約4.2万円分、薬剤師10人の薬局チェーンなら月約42万円分の時間になります。時給は仮定、「半減」はアインHDの見通しであり、どの薬局でも同じ効果が出ることを保証する数字ではありません。

行政（参考）：個人情報なしで試し、約3か月後に条件付きで解禁（大阪市）

規制業種ではありませんが、個人情報を大量に扱う組織の進め方として参考になるのが大阪市です。総務省の自治体向けガイドブック第4版によれば、大阪市は次の順番で広げました。

• 2023年5〜7月：検討チームを設置
• 2023年9〜12月：事業者と共同で検証
• 2024年1〜2月：試行（個人情報の入力は不可）
• 2024年4月〜：本格利用（条件付きで個人情報の入力を可能に）

検討の開始から、個人情報を扱えるようになるまで約11か月です。インターネットを通らない専用の経路でつないだクラウド環境の上に市独自の生成AIを用意し、1回の処理で1,000人分までの個人情報の入力を運用上認めています（マイナンバーを含む情報は対象外）。専用の回線は、生成AIの導入以前から整備済みでした。利用した職員の約80%が「業務が効率化された」と答えています（2024年7月のアンケート）。

実際にやった事例

守秘の関係で、社名や環境の詳細は出せません。ここでは当社が担当した医療機関・調剤薬局・インフラ企業の案件の構造をお伝えします。

医療機関のケース｜1部門・1業務に絞ったPoC（約3か月）

課題：蓄積されている文書や記録は多いのに、必要な情報を探すのに時間がかかっていました。

作ったもの：手元の資料をAIに読ませ、質問すると根拠となる箇所を示しながら答える仕組みです。いきなり全部門に展開せず、対象を1部門・1業務に絞ったPoCとして進めました。期間は、対象業務の絞り込みと合格ラインの設定に2週間、資料の受け取りと整形に3週間、試作と調整に5週間、現場での試用と判定に2週間です。

何がどう変わったか：開始前に「どの質問に、どの水準で答えられたら合格とするか」を文書で決めていたため、終了時には合格ラインに対する実測値、本開発の概算見積、本番移行時の運用体制案が揃い、全部門に広げるかどうかを2週間で判断できました。 対象を1業務に絞ると、AIに入れる情報の範囲も小さくなり、確認すべき項目も減ります。

調剤薬局のケース｜今のシステムはそのままに、データの受け渡しだけを作った（約5週間）

課題：あるシステムに入力した内容を、別の管理表へ手で書き写す作業が毎日あり、忙しい時期には書き写し漏れも起きていました。

作ったもの：一方のシステムから出力したデータを整え、もう一方の形式に変換して取り込む仕組みです。システムを入れ替えるのではなく、データの出力と取り込みでつなぐ既存システムの改修で、期間は相談と仕様の確定に2週間、実装に2週間、現場での試験運用に1週間です。

何がどう変わったか：書き写しの作業と、書き写しの誤りを探して直す時間がなくなりました。対象を「毎日発生している書き写し1か所」に絞ったことで、5週間で使い始められました。あいだにAIによる分類や下書きをはさむ場合も、今のシステムに手を入れる範囲を最小にする構造は同じです。

インフラ企業のケース｜AIに任せる範囲を「判断の材料を揃えるところまで」に線引きした

課題：「この申請は今どの段階か」「この設備の登録情報はどうなっているか」といった質問に答えるため、担当者が複数のシステムを開いて調べてから返していました。

作ったもの：AIが社内文書を参照するだけでなく、必要に応じて別のシステムに照会し、現在の状態を取ってきたうえで答える仕組みです。承認や決裁そのものはAIに行わせず、人が判断するための情報を揃えるところまでにしています。

何がどう変わったか：「調べれば分かるが、調べるのに時間がかかる」種類の質問が、担当者の手を煩わせずに解決するようになりました。AIに任せない業務（承認・決裁）を、最初から設計の外に置いた例です。

3件に共通しているのは、対象の業務と、AIに任せる範囲を最初に絞っていることです。規制業種では、この絞り込みがそのまま審査の通りやすさにつながります。

導入までの流れと期間

初回の相談から本番で使い始めるまでは、半年〜9か月程度が目安です。規制業種で現実的なのは、個人情報を入れない試行から段階的に広げる次の3段階の進め方です。

1. 個人情報を入れずに試す：公開情報や社内の一般的な文書で、効果と使い勝手を確かめる
2. 環境と契約を整える：提供会社からの書面回答（学習・保存・処理場所・再委託先など）、開示書・覚書、記録の取得、二要素認証
3. 入れてよい情報を、条件付きで広げる：対象の部門・情報の種類・件数の上限を決めて段階的に広げる

一般の業種との違いは、「提供会社の確認・社内審査」の2週間〜2か月です。遅れる原因の多くは、AIに入れてよい情報が社内で決まっていないことと、審査での質疑のやり取りが何往復も続くことです。提供会社からの書面回答を先に揃えておくと、やり取りを減らせます。期間全体の考え方はAI開発の期間の目安、社内の稟議の通し方はAI導入の稟議の通し方で解説しています。

よくある質問

Q1. 国内のデータセンターを使えば、それだけで要件を満たせますか？

満たせるとは限りません。保存場所が国内でも、運営会社や再委託先が海外にあれば、外国の法律が適用され、外国政府から開示を求められる可能性があります。医療の第7.0版は、保存国・処理国・アクセスできる地域・再委託先・外国の法律の適用可能性を確認して記録することを求めています。二要素認証、記録の取得、再委託先の管理も、データの場所とは別に必要です。

Q2. AIの誤った出力で問題が起きたら、誰が責任を負いますか？

最終判断をした医療機関・金融機関などの側が責任を負うのが基本です。日本医師会は「医師による確認と責任の原則」を求め、金融庁も顧客がいつでも人に切り替えられることを求めています。提供会社の利用規約では責任の範囲が限定されているのが一般的なため、「誰が、いつ、どの出力を確認したか」を記録に残しておくことが自社を守ることにもつながります。

Q3. 介護事業者も、医療のガイドラインに沿ってAIを入れる必要がありますか？

医療情報をシステムで扱う場合は対象です。第7.0版のQ&A（概説編Q4）で、介護事業者も医療情報を扱う場合は対象になると示されています。ケア記録の要約や申し送りの下書きにAIを使う場合も、開示書の入手や、入力内容が保存されないことの確認など、医療機関と同じ手順を踏んでください。

Q4. ISMAPに登録されているAIサービスなら、審査は通りますか？

それだけでは足りません。第7.0版のQ&A（企画管理編Q20）は、ISMAPなどのリストに掲載されているだけでは十分ではなく、サービス固有の対策と責任分担を資料で確認する必要があるとしています。認証は「確認の出発点」と考え、開示書や個別の回答で、学習・保存・処理場所・再委託先を確かめてください。

Q5. 業種向けの既製AIサービスを入れたあと、システム連携だけを開発会社に頼めますか？

頼めます。既製のサービスが電子カルテや薬局のシステムと直接つながらない場合、データの出力・変換・取り込みの開発だけで足りることがあります。つなぐ部分が1か所であれば、当社では既存システムの改修（100万円〜）の範囲になることが多い案件です。

Q6. 2026年の個人情報保護法の改正で、患者・顧客の情報をすぐAIに使いやすくなりますか？

すぐには変わりません。改正法は2026年7月10日に成立、7月17日に公布され、一部を除き公布から2年以内に施行されます。統計の作成など（AIの開発を含む）を目的とする第三者提供の特例などが設けられますが、特定の個人を評価する用途やマーケティングは含まれません。日々のAI利用は、改正前の現行法で判断してください。

Q7. EUのAI規則は、日本の医療機関や金融機関に関係しますか？

EU域内で事業をしていない限り、通常は直接関係しません。EUのAI規則は、改正規則（Regulation (EU) 2026/1744）が2026年7月27日に発効し、信用評価や重要インフラなどの高リスクAIの義務の適用が2027年12月2日に、医療機器などの製品に組み込まれるAIは2028年8月2日に延期されました。EUの顧客にサービスを提供している、EUに拠点がある場合は、専門家に確認してください。

Q8. 社内にエンジニアがいなくても運用できますか？

方法によります。業種向けの既製サービスや法人向けプランなら、エンジニアがいなくても運用できます。自社クラウドやオンプレの構成では、保守を外部に委託することになります。医療の第7.0版では保守を委託する会社向けの編が新設されたため、保守契約に、AIのモデルの提供終了への対応（事前通知の期間を含む）が含まれているかを確認してください。

Q9. 規制業種に強い開発会社は、どう見分ければよいですか？

最初の打ち合わせで、「AIにどの情報を入れるか」「どこに保存・処理されるか」「最終判断は誰がするか」「社内審査の様式はあるか」を開発会社の側から聞いてくるかが目安です。医療機関はサービス仕様適合開示書への対応、金融機関は委託先の評価や覚書への対応の経験を聞いてみてください。

Q10. AI導入に補助金は使えますか？

使える制度があります。国の「デジタル化・AI導入補助金2026」は、登録された既製のツールの導入が対象で、独自のシステム開発は対象外です。公式スケジュールでは次の締切が2026年10月30日（金）17:00、交付決定は2026年12月10日（木）の予定で、事業の実施期間は交付決定から2027年5月31日までの予定です（デジタル化・AI導入補助金 公式）。東京都の「医療機関におけるAI技術活用促進事業」（200床未満の病院・診療所が対象）は、令和8年度の募集（6月・9月締切の2回）がすでに締め切られ、追加募集や次年度の募集は2026年10月時点で発表されていません（東京都）。どちらも先に支払い、後から補助金を受け取る仕組みのため、入金までの資金繰りは補助金の入金時期と資金繰りで確認してください。

規制業種のAI導入でお悩みの方へ

医療機関・薬局・金融機関・インフラ企業でもAIは導入できます。先に決めるべきは、AIに入れてよい情報、保存と処理の場所（医療なら「保存しない契約」が結べるか）、最終判断を誰がするかの3つで、それを業種のルールに合わせて文書にしておけば、審査は通しやすくなります。

費用は、業種向けの既製サービスなら月3万〜4万円台から、今のシステムへのAI機能の追加は当社では100万円〜、1業務に絞ったPoCは公開相場で100万〜300万円、オンプレは500万円〜が目安です。審査の工程の分だけ、一般の業種より2週間〜2か月長くかかります。

「どのルールが自社に当てはまるか分からない」「社内審査で止まっている」「既製サービスで足りるのか、開発が必要なのか判断できない」という段階でもご相談いただけます。初回相談は無料で、要件が固まっていなくても構いません。当社の価格はPoC 300万円〜、既存システムの改修100万円〜、本開発は個別見積（すべて税別）です。医療機関・薬局・インフラ企業での対応経験をもとに、既製サービスで足りる場合は「作らない」選択肢も含めてご提案します。

受託開発サービスの詳細・無料相談はこちら