Claudeの医療機関向けBAAと3省2ガイドラインの要件を突き合わせる

3省2ガイドラインとBAAの突き合わせがなぜ必要か

3省2ガイドラインは1つの文書ではありません。医療機関側に向けた厚生労働省「医療情報システムの安全管理に関するガイドライン」(令和5年5月改定、第6.0版)と、システム関連事業者側に向けた総務省・経済産業省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」(令和7年3月改定、第2.0版)の2文書を指します。「3省2ガイドライン第6.0版」とひとくくりに語られることがありますが、版数が6.0なのは厚労省側だけで、事業者側は2.0版です。医療機関がClaudeでPHI(保護対象となる医療情報)を扱う前提としてBAA(Business Associate Agreement、事業提携契約)を締結する際、この2つのガイドラインが事業者に何を求めているかを個別に確認する必要があります。

BAA自体の対象プラン・有効化手順・機能ごとの適用範囲はClaude EnterpriseのBAA締結 — 医療機関の前提条件で扱っています。本記事はその前提を踏まえた上で、3省2ガイドラインの各要件とBAAが実際にカバーする範囲がどこまで一致し、どこが一致しないかを1つずつ突き合わせます。

事業者選定基準(JIS Q 15001・27001)とAnthropicの認証

厚労省ガイドライン第6.0版の経営管理編は、システム関連事業者を選定する際の遵守事項として、JIS Q 15001(個人情報保護マネジメントシステム、Pマーク)またはJIS Q 27001(情報セキュリティマネジメントシステム、ISMS)、あるいはこれと同等の規格の認証を受けている事業者を選ぶよう医療機関に求めています。

Anthropicが保有する認証はSOC 2 Type I・Type II、ISO 27001:2022、ISO/IEC 42001:2023(AI管理システム)、そしてHIPAA対応構成です。JIS Q 27001はISO/IEC 27001の日本産業規格版で、規格としては同一の国際規格に基づいています。したがってAnthropicのISO 27001:2022認証は、ガイドラインが求める「JIS Q 27001又はこれと同等の規格の認証」の要件を満たす候補として扱えます。一方、JIS Q 15001(Pマーク)そのものは日本国内の制度であり、Anthropicが取得しているという情報は確認できていません。医療機関の事業者選定においては、ISO 27001相当の認証でこの基準を満たすと判断できるかどうかを、自組織のガイドライン運用方針に照らして確認する作業が必要です。

厚労省ガイドラインはさらに、個人情報保護法の第25条が委託先の監督を、個人情報を取り扱う事業者の義務としている点にも触れています。適切な委託先の選定を行うこと自体がこの監督義務に含まれるという整理です。BAAの承諾やISO 27001の確認は、この監督義務を果たすための材料の1つにはなりますが、監督義務そのものを免除するものではありません。事業者選定の記録を医療機関側で残しておく作業は、認証の有無を確認した後も別途必要です。

契約管理・責任分界の明文化要件とBAAの対応範囲

委託契約では、委託業務の内容・事業者の体制・責任分界を書面で可視化し、認識の齟齬が生じないよう管理することが厚労省ガイドラインの遵守事項になっています。委託先事業者との責任分界が不明確だと、非常時の原因究明に支障が出るためです。事業者側の選定基準や監督義務については外部委託事業者の管理でも扱っている、契約管理の中核的な要件です。

機能単位の線引きは、この責任分界の書面化に部分的に対応します。BAAが定義するのは、AnthropicとPHIを扱う医療機関との間の責任分担であり、対象になるのはClaude Enterpriseと1P APIだけです。しかも機能単位で対象・対象外が細かく線引きされていて、MCPやConnectors、Enterprise SearchのようにサードパーティーへPHIが渡る経路は、利用自体はできても保護の対象外です。この機能単位の線引き自体が、厚労省ガイドラインが求める「委託業務の内容」「責任分界」の書面化の一形態と言えます。ただし線引きの詳細を医療機関側が正確に把握し、自組織の契約書や運用手順に落とし込む作業までは、BAAの承諾だけでは完結しません。

再委託(海外事業者)への留意点とAnthropic直接契約の位置づけ

委託先が再委託を行う場合には、事前に医療機関へ情報提供し協議・合意形成を経た上で承認を得ることを契約内容に含めるよう、厚労省ガイドラインは求めています。特に海外のシステム関連事業者を再委託先とする場合には、個人情報保護法が求める要件を具備しない可能性があるとして、十分な留意を求めています。再委託先の管理体制まで含めた事業者選定の考え方は外部委託事業者の管理にまとめています。

ここで整理が必要なのは、Anthropicとの直接契約(1P API・Enterprise)は「再委託」ではなく、医療機関からAnthropicへの直接の委託だという点です。ガイドラインが警戒する「委託先がさらに海外事業者へ再委託する」という間接的な構造ではなく、米国企業であるAnthropicへ医療機関が直接データを渡す一次委託の形になります。個人情報保護法の上で、この一次委託が「委託」に当たるのか「外国にある第三者への提供」に当たるのかという論点は、Claudeへの個人データ入力は外国にある第三者への提供にあたるかで扱っています。3省2ガイドラインの再委託規定は、Anthropicへの一次委託そのものには直接適用されない一方、医療機関がAnthropicとの契約内容を精査すべきという実務上の要請は変わりません。

クラウド利用時の責任分界 — Bedrock経由かAnthropic直接か

厚労省ガイドラインは、クラウドサービスを用いる場合、サービスを提供する委託先事業者とクラウドサービス事業者との間で責任関係が複雑になりやすいと指摘しています。医療機関が障害等の原因究明でどの事業者と協議すべきか不明瞭になりうるためです。

Claudeでのこの複雑さは、BAAの締結先が2通りある形で現れます。1つはAnthropicと直接BAAを締結し、1P APIまたはEnterpriseでPHIを扱う経路。もう1つは、Amazon Bedrock経由でClaudeモデルを使い、AWSとのBAA(Business Associate Addendum)の下でPHIを扱う経路です。Amazon BedrockはAWSのHIPAA対応サービス一覧に含まれており、AWSとBAAを締結していればBedrock経由で利用可能なClaudeを含む複数のモデルが、Anthropicと個別にBAAを結ばなくてもカバーされます。どちらの経路を選ぶかで、医療機関が責任分界を確認すべき相手がAnthropicになるかAWSになるかが変わります。ガイドラインが警戒する「原因究明でどの事業者と協議すべきか不明瞭になる」事態を避けるには、契約前にどちらの経路でPHIを扱うかを一本化し、責任分界の窓口を明確にしておく必要があります。

BAAを結んでも医療機関の管理責任は移らない

医療情報システムの安全管理をシステム関連事業者に委託する場合でも、委託先事業者の選定・管理を適切に行う義務は医療機関側に残ります。これは厚労省ガイドラインが明記している点です。委託先事業者の過失によって情報セキュリティインシデントが発生した場合でも、医療機関が責任を免れるわけではありません。

この構造はBAAを結んでも変わりません。BAAはAnthropicと医療機関の間で契約上の責任分担を定める文書であり、HIPAA(米国法)の枠組みでAnthropic側の義務を明確にする効果はあります。しかし3省2ガイドラインが求める「医療機関としての管理責任」は、BAAを締結したかどうかにかかわらず医療機関側に残り続けます。BAAの承諾は事業者選定・契約管理の質を高める材料にはなっても、医療機関自身の説明責任を代替するものではないという理解が出発点になります。

医療機関がBAA締結前に確認すべき突き合わせ表

3省2ガイドラインの主要な要件と、BAAが実際にカバーする範囲を並べると次のようになります。

いずれの項目も、BAAの締結それ自体が3省2ガイドラインの要件充足を自動的に意味するわけではありません。BAAはHIPAA(米国法)を前提にした契約類型であり、3省2ガイドラインという日本の行政ガイドラインが直接要求する制度ではないためです。それでも、事業者選定・契約内容の明確化・責任分界という観点では、BAAが提供する仕組みの多くが3省2ガイドラインの要求と実質的に重なります。医療機関の担当者が確認すべきは、この重なりがどこまでで、どこから先は自組織の追加確認が必要かという線引きです。

まとめ

3省2ガイドラインは厚労省側(第6.0版)と総務省・経産省側(第2.0版)の2文書からなり、事業者選定・契約管理・再委託・責任分界の各要件を医療機関に課しています。AnthropicのBAAは、認証(ISO 27001相当)・機能単位の責任分界表という形でこれらの要件の一部に応えますが、JIS Q 15001相当の確認や、Anthropicへの一次委託が個人情報保護法でどう整理されるかといった論点は、BAAの締結だけでは解決しません。Bedrock経由かAnthropic直接契約かで責任分界の窓口も変わるため、医療機関はPHIを扱う経路を先に一本化した上で、この記事の突き合わせ表を出発点に自組織の確認作業を進める必要があります。