医療現場で生成AIを使うときに知っておくべき法律と技術 〜企Q-26・ZDR・ローカルLLM・SaMDを技術者目線で整理〜 A practical self-study guide for engineers and healthcare professionals covering key Japan…
- 医療AIに携わるエンジニアや医療従事者向けに、企Q-26・ZDR・ローカルLLM・SaMDといった法規制・技術概念を横断的に整理した自己学習ノート。
- 生成AIを医療現場へ導入する際の最低限の法律知識と技術的判断軸を一本にまとめた実践的な解説記事。
English summary
- A practical self-study guide for engineers and healthcare professionals covering key Japanese regulations and technical concepts—including Q-26 guidance, ZDR, local LLMs, and SaMD classification—relevant to deploying generative AI in clinical settings.
医療×AIの領域は技術の進化が速い一方、法規制の枠組みも急速に整備されつつある。エンジニアが医療現場へ生成AIを導入しようとするとき、技術的な実装力だけでなく、日本の薬機法や厚生労働省ガイドラインへの理解が不可欠となっている。本記事はそうした背景を踏まえ、複数の重要キーワードを技術者目線で横断整理した学習ノートとして公開されたものだ。
注目キーワードのひとつが「企Q-26」だ。これは厚生労働省が2023年以降に示した、医療機器プログラム（SaMD）における機械学習モデルの変更管理に関するQ&A文書を指すとされる。AIモデルは学習データの更新や再学習によって挙動が変わるため、薬機法上の「変更」として届出が必要になるケースがある。どの範囲の変更が規制対象になるのかという線引きは実務上の大きな悩みどころであり、企Q-26はその判断基準を示す指針として参照されることが多い。
SaMD（Software as a Medical Device）は医療機器として規制されるソフトウェアを指す国際的な概念で、日本では薬機法の「プログラム医療機器」として分類される。生成AIを使った診断支援ツールや画像解析システムがSaMDに該当するかどうかは、その使用目的や出力の医療行為への影響度によって判断される。SaMDに該当すれば製造販売承認または認証の取得が求められるため、開発初期段階から規制当局との事前相談が推奨されている。
ZDR（Zero Data Retention）は、APIを経由して外部LLMサービスを利用する際に、入力データをサービス側が保存・学習に使用しないことを契約上保証する仕組みだ。患者情報などの個人情報・要配慮個人情報を外部サービスに送信する場合、個人情報保護法の第三者提供規制や、医療機関としての守秘義務との整合性を確保するためにZDRの有無が実務上の重要チェックポイントになる。OpenAIやAzure OpenAI Serviceなどはエンタープライズ向けにZDR相当のオプションを提供しており、契約形態によって対応が異なる点に注意が必要だ。
医療AIに携わるエンジニアや医療従事者向けに、企Q-26・ZDR・ローカルLLM・SaMDといった法規制・技術概念を横断的に整理した自己学習ノート。
ローカルLLMはデータを院内ネットワーク内で完結させる選択肢として注目度が高まっている。LlamaやMistralといったオープンウェイトモデルをオンプレミスまたはプライベートクラウド上に展開することで、患者データが外部に出ないアーキテクチャを実現できる。ただし、医療分野に特化したファインチューニングや評価の難しさ、ハルシネーション対策、システム全体のセキュリティ管理など、運用上の課題も少なくない。2025年時点では日本語医療特化モデルの整備も進みつつあり、今後の選択肢の広がりが期待される。
医療AIは技術的な可能性と制度的な制約が交差する領域だ。エンジニアが法律の枠組みを早期に理解し、医師や薬事担当者と連携しながら開発を進めることが、安全で実用的なシステムの実現への近道と言えるだろう。
Deploying generative AI in clinical environments requires more than engineering skill—it demands a working knowledge of healthcare regulations that are evolving almost as fast as the technology itself. A self-study guide published on Zenn by a Japanese engineer lays out the essential legal and technical concepts in one place, targeting developers, clinicians tasked with AI adoption, and anyone looking to enter the medical AI space.
One of the central regulatory touchpoints covered is what the author refers to as "企Q-26" (Kigyo Q-26), a Q&A document issued by Japan's Ministry of Health, Labour and Welfare that addresses change management for machine-learning components embedded in medical device software. Because AI models can shift behavior when retrained or updated, even incremental changes may legally constitute a "modification" requiring a regulatory notification under Japan's Pharmaceuticals and Medical Devices Act (Yakki-ho). Knowing where that line sits is a persistent practical challenge, and documents like Q-26 serve as critical reference points for regulatory strategy during development.
The concept of SaMD—Software as a Medical Device—is international in origin but maps directly onto Japan's category of "program medical devices" (purogram iryō kiki). Whether a generative AI tool qualifies as SaMD depends on its intended use and the degree to which its outputs influence clinical decision-making. Diagnostic support tools and AI-driven image analysis systems are common candidates. When SaMD classification applies, developers must obtain manufacturing and marketing approval or certification, making early consultation with the Pharmaceuticals and Medical Devices Agency (PMDA) a practical necessity rather than an afterthought.
For teams that prefer cloud-based LLMs, Zero Data Retention (ZDR) is a contractual mechanism that prevents the API provider from storing or training on submitted inputs. In a healthcare context, where inputs may include patient records or other sensitive personal information, ZDR becomes a key compliance checkpoint under Japan's Act on the Protection of Personal Information (APPI) and professional confidentiality obligations. Major providers such as OpenAI and Microsoft Azure OpenAI Service offer enterprise-tier agreements with ZDR-equivalent guarantees, but the specifics vary by contract structure and region, so careful due diligence is warranted.
Local LLMs represent the other end of the deployment spectrum. Running open-weight models such as Llama or Mistral on-premises or within a private cloud keeps patient data entirely within the hospital network—a compelling proposition from a data governance standpoint. However, the tradeoffs are real: medical-domain fine-tuning is resource-intensive, hallucination risks in clinical contexts carry higher stakes than in consumer applications, and the security posture of the full stack must be rigorously maintained. As of 2025, Japanese medical-domain models are beginning to emerge, which may gradually lower the barrier to localized deployment.
What ties these concepts together is the broader insight that regulatory fluency and technical depth must coexist in medical AI development. Engineers who engage early with legal frameworks—and collaborate closely with physicians and regulatory affairs professionals—are far better positioned to ship systems that are both safe and genuinely useful. The guide positions itself not as definitive legal advice but as a structured orientation for practitioners navigating an increasingly complex intersection of innovation and compliance.
本ページの本文・要約は AI による自動生成です。正確性は元記事 (zenn.dev) をご確認ください。
