MCPは便利な仕組みですが、本質は**「つなぐ」こと**です。つながるということは、情報が動く経路が増えるということでもあります。
一般の業務システムなら「便利になった」で済む変化も、医療情報を扱う現場では、権限・記録・情報の出口を設計し直す必要があります。本記事では、その具体的な確認事項を整理します。
MCPの基礎は MCPとは？、電子カルテへの当てはめは 電子カルテでMCPを使うとは？ をご覧ください。
免責：本記事は一般的な情報提供であり、法的助言ではありません。ガイドラインは改定されます。実際の運用判断は最新版の原文および専門家の確認のもとで行ってください。
なぜMCPが「セキュリティの話」になるのか
MCPを技術部門だけの話として扱うと、抜けが生じます。理由は単純で、MCPはAIができることの範囲を規定する仕組みだからです。
従来、「誰がどの情報を見られるか」は、システムのユーザー権限で管理されていました。ここにAIという新しい行為主体が加わります。AIは職員の指示で動きますが、実際にデータへアクセスするのはAIです。このとき、誰の権限で動いているのか。
この問いに明確に答えられない構成は、権限管理としては破綻しています。
3省2ガイドラインの観点で整理する
3省2ガイドライン の枠組みに沿って、MCP導入時に対応が必要な論点を整理します。
| ガイドラインの観点 | MCP導入で新たに問われること |
|---|---|
| アクセス権限管理 | AIは誰の権限で動くのか。職員の権限を超えないか |
| アクセスログ・監査 | AIの参照・実行が記録されるか。人の操作と区別できるか |
| 外部委託・第三者提供 | 院外AIサービスは委託先か。どの情報が出るか。学習利用の扱いは |
| 完全性の確保 | AIが書き込んだ内容と人が書いた内容を区別できるか |
| 可用性 | 連携が止まっても診療は継続できるか |
| 責任分界 | 事故時、ベンダーと医療機関のどちらが何を負うか |
**完全性の観点は見落とされがちです。**カルテに記録された内容について、「これはAIが生成した下書きを人が確認したものか、人が最初から書いたものか」を後から区別できるか。診療記録の証拠性に関わる論点です。
責任分界の考え方は AI電子カルテのセキュリティ設計と責任分界、実装手順のレベルでは 3省2ガイドライン対応の進め方 で扱っています。
権限設計の3原則
原則①：AIは人の権限を超えない
これが最も重要です。AIが動くとき、指示した職員が本来アクセスできる範囲を超えてはいけません。
受付職員の指示で動いたAIが、その職員が画面上では閲覧できない診療内容を読める——この状態は、AIを経由した権限昇格です。「AIは便利だから全部見られるようにしておく」という設定は、権限管理の放棄にあたります。
原則②：窓口は細かく分け、必要なものだけ開ける
MCPでは、最小権限が窓口（ツール）の粒度として現れます。「カルテデータを取得する」という粗い窓口より、「直近の検査値を取得する」「アレルギー情報を取得する」と分かれているほうが、用途ごとに絞れます。詳しくは MCPサーバーとは？ をご覧ください。
原則③：読み取りと書き込みを分離する
参照だけなら、最悪の事態は「誤った情報が表示される」です。書き込みが可能なら、「誤った内容が記録される」まで進みます。影響の大きさが違う以上、同じ設定で扱ってはいけません。
書き込みを許可する場合も、下書きの生成までとし、確定は人が行う。この線引きの考え方は AIに任せてよい業務・任せてはいけない業務の線引き で詳述しています。
避けるべき失敗パターン
現場で起きやすい構成上の失敗を挙げます。
① 共有アカウントでAIを動かす 「AI用の管理者アカウント」を1つ作り、全職員がそれ経由でAIを使う構成。誰の指示だったかが追跡できず、権限も全開になります。最も避けるべきパターンです。
② 権限を絞らないまま全カルテを対象にする 「とりあえず全部見られるようにして、後で絞る」という進め方。後で絞られることは、実際にはほとんどありません。開けるのは後から簡単ですが、閉じるのは難しいと考えるべきです。
③ 確認なしの書き込みを許可する 「効率のため確認ステップを省く」判断。誤りが記録に残ってから気づく構成は、医療記録では取り返しがつきません。
④ 監査ログを後回しにする 機能から先に入れ、ログは後で整備する、という順序。事故が起きてからログがないと、何が起きたか永久にわからないままになります。ログは最初から必要です。
⑤ 情報の出口を把握しないまま外部AIにつなぐ どのデータが、どの経路で、どこへ行くのか。これを図に書けない状態で運用を始めるべきではありません。
医療特有のリスク——「間接的な指示」の問題
MCPのようにAIが外部データを読み込む構成では、AIが読んだデータの中に、AIへの指示と解釈されうる文字列が紛れ込むというリスクがあります。プロンプトインジェクションと呼ばれる問題です。
医療の文脈で具体化すると、たとえば次のような経路が考えられます。
- 外部から受け取った文書（紹介状のPDF、患者が入力した問診の自由記述など）に、指示文のような文字列が含まれる
- AIがそれを「読むべきデータ」ではなく「従うべき指示」として解釈する
- 想定外の窓口を呼び出したり、不適切な内容を出力したりする
防御の考え方はシンプルです。
- AIが呼べる窓口を、そもそも狭くしておく。呼べないものは悪用されません
- 影響の大きい操作には、必ず人の確認を挟む
- 外部由来のデータは「データ」として扱い、指示として解釈させない設計をベンダーに確認する
第1の防御が最も効きます。権限設計は、この種のリスクに対する最大の対策でもあります。
Web問診など患者由来のテキストを扱う場面は Web問診のデジタル化、AI問診とは でも扱っています。
監査ログに残すべき項目
「ログを取っています」だけでは不十分です。何が残るかを確認します。
| 項目 | なぜ必要か |
|---|---|
| 日時 | 事象の時系列を再構成するため |
| 指示した職員（人単位） | 誰の権限で動いたかの特定 |
| 呼び出された窓口（ツール名） | 何をしようとしたかの特定 |
| 対象データ（患者ID・範囲） | どの情報に触れたかの特定 |
| 読み取りか書き込みか | 影響範囲の判定 |
| 実行結果（成功／失敗／拒否） | 権限拒否が正しく働いたかの確認 |
| 人の承認の有無 | 確定操作の責任所在 |
「AIが使われた」という記録だけでは足りません。「誰の権限で、どの窓口を通して、どのデータに触れたか」まで残っていて、初めて事故時の切り分けができます。
事故が起きたときの切り分け
想定しておくべきシナリオと、そのとき必要になる情報を挙げます。
「AIが誤った情報を表示した」 → どの窓口から、どのデータを取得したのかのログ。データ自体が誤っていたのか、AIの解釈が誤っていたのかを切り分けます。
「見られないはずの情報が見えた」 → AIが動いた権限と、窓口ごとのアクセス制御設定。原則①が守られていたかの検証です。
「誤った内容がカルテに記録された」 → 人の承認記録。承認ステップがあったか、承認されたのはいつ、誰によってか。
「情報が院外に出た可能性がある」 → 外部接続の経路図と、送信ログ。平時に経路図がなければ、有事に確認できません。
ベンダー確認チェックリスト
商談・導入時にそのまま使える形で挙げます。
権限
- AIはログインユーザーの権限を超えてアクセスできますか（できない設計であることの確認）
- AIが参照できるデータ範囲は、医療機関側で設定変更できますか
- 読み取り専用での運用は可能ですか
書き込み 4. AIによる書き込みは、下書きに限定できますか 5. 確定操作に人の承認を必須にできますか 6. AIが生成した内容と人が入力した内容は、記録上区別できますか
ログ 7. 監査ログには、日時・職員・窓口・対象データ・成否が残りますか 8. ログの保持期間と出力方法を教えてください
情報の出口 9. 院外に出る情報があれば、その項目と経路を教えてください 10. 入力情報がAIの学習に使われない契約になっていますか 11. AIサービスの提供元（再委託先を含む）はどこですか
可用性・責任 12. 連携部分が停止した場合、カルテ本体の診療は継続できますか 13. 3省2ガイドライン適合について、責任分界はどう整理されていますか
「後付け」か「一体」かで難易度が変わる
最後に構成上の論点を一つ。
既存カルテに外部AIを後付けする構成では、権限が二重管理になります。カルテ側の権限と、AI側の権限。両者の整合を取り続ける運用負荷が発生し、齟齬が生まれれば、それが権限の抜けになります。
AIとカルテが同じ基盤上にある構成では、権限体系が一つで済みます。監査ログも一箇所にまとまり、外部に出る経路も最小限です。この設計思想については AIネイティブ電子カルテとはどんなものなのか？ をご覧ください。
どちらが正解ということではなく、確認すべき項目の数と、運用で守り続ける負荷が違う——という理解が実務的です。
まとめ
- MCPは情報が動く経路を増やす仕組み。技術部門だけの話にすると権限の抜けが生じる
- 3省2ガイドラインの観点では、権限・ログ・外部委託・完全性・可用性・責任分界が新たに問われる
- 権限設計の3原則は①AIは人の権限を超えない ②窓口は細かく分ける ③読み取りと書き込みを分離
- 避けるべきは共有アカウント／全開の権限／確認なしの書き込み／ログの後回し／出口の未把握
- 外部由来データが指示と解釈されるリスクへの最大の対策は、呼べる窓口を狭くしておくこと
- 監査ログは「使われた」だけでなく誰の権限で・どの窓口で・どのデータにまで必要
- 後付け構成は権限が二重管理になる。一体構成なら体系が一つで済む
AIカルテのセキュリティ設計に関するご相談は お問い合わせ からご連絡ください。