新しい業務アプリやAIを施設に入れようとしたとき、最初のきっかけは技術的な検討ではなく、現場の職員から出た心配や疑問の声でした。「AIに利用者さんの情報を入れて大丈夫なの？」という、ごく自然な不安です。
同時に、新しい業務アプリを導入するには、ルール整備がそもそも前提として必要でした。この2つが重なって、情報セキュリティの規程づくりが始まりました。
いま作っているもの（協議中の案）
筆者は、法人で、情報セキュリティの運用規程と、職員向けのAIルールブック、導入のスケジュール案を、ナギと一緒に作っています。規程は第3版で、いま協議している段階です。理事会の承認は、まだです。
進め方の順番は、職員向けの分かりやすいルールブック、テスト運用（利用者・家族の同意を得てから）、理事会の承認、正式運用、です。正式運用は、来年4月を予定しています。
最初に手をつけたのは「情報の4段階分類」
最初に手をつけたのは、情報を「公開・一般」「内部」「個人情報」「要配慮・高機密」の4段階に分けることでした。そして、扱えるアプリやツールを、段階ごとに制限します。
4段階に分けると、もう一つの課題が見えてきました。連絡手段が複数あり、機能（掲示板・業務連絡・ワークフロー）が重なって存在していたのです。どのツールが何を担当するのかを、整理する必要がありました。
規程の骨子（案）
- 生成AIは、法人が承認したアプリの範囲内だけで使う。個人のChatGPTなどに、利用者の情報を無断で入れることは禁止する
- 録音・文字起こしは、重要事項説明書での同意が前提
- 私物の端末（BYOD）は、画面ロックなどの条件を満たせば、事前申請なしで使える。強制ではなく、任意
- AIの出力は「下書き」で、最終判断は必ず人が行う
一番難しかったこと
一番難しかったのは、「現場の職員が実際に守れるルールにすること」でした。厳しくしすぎると、現場が使わなくなります。緩くしすぎると、危険になります。そのバランスです。
私物の端末のルールは、最初は事前申請制でした。それを、条件を満たせば、事前申請なしで使える形に変えました。このように、作りながら何度も調整しました。
担当者の注釈で直したこと
ルールブックなどの文書は、法人内の担当者が、疑問点や修正の依頼を、黄色のハイライトで書き込んでくれました。それを見ながら、直しました。たとえば、次のとおりです。
- 見出しはあるのに、本文が書かれていない節を見つけて、説明文を足した
- 規程の本体は第3版なのに、ルールブックは第2版のままだったので、直した
- 「ログインに使う端末は、施設のものか私物か」という注釈に、「施設内の端末でも、約束を守った私物のスマホでも、どちらでもかまいません」と明記した
- 「使えるところを具体的に」という注釈に、情報分類の表を、抽象的な言い回しから、実際のアプリで何ができるかが分かる書き方に、書き直した
気づいたこと
規程やルールブックのような文書は、正しいだけでは足りません。現場の職員が読んで、「何をしていいか、いけないか」が具体的に分かる書き方が大事だと感じています。抽象的な言葉より、実際のアプリの名前や操作で書きます。
「職員の不安の声」から始まったこの取り組みは、完成がゴールではありません。現場の声を聞きながら、直し続けていくものだと考えています。
この記事はAIの補助を受けて作成し、介護現場18年の筆者が内容を確認しています。
コメント