臨床現場におけるAIの問題
医師と医学生は毎日ChatGPTとClaudeを使用しています。投薬量を確認します。診断を調べます。治療計画を見直します。これらのツールは有用です。
しかし、実際の患者データをこれらのツールに貼り付けることはHIPAAリスクをもたらします。テキストはAIプロバイダーのサーバーに送信されます。そのサービスに対して署名済みのビジネス・アソシエイト・アグリーメント（BAA）がなければ、この行為はHIPAAに違反します。ChatGPTとClaudeの標準アカウントには、臨床利用向けのBAAは含まれていません。
選択肢はいずれも良くありません。実際のデータでAIを使用してリスクを冒す。あるいは貼り付ける前に各メモを手作業で整理する——多忙な臨床医がしばしばスキップするこの遅い作業が、防ごうとしていたまさにその違反を引き起こします。
手動レビューが失敗する理由
HIPAA Safe Harborは18種類の識別子の削除を要求しています。医師は名前と日付を見つけるでしょう。しかし、一部の識別子は見落としやすいものです。
地理的なサブ識別子がその一例です。入院日と組み合わせた年齢も別の例です——これらが組み合わさると、HIPAAが対象とする識別子ペアを形成することがあります。これらのパターンは時間的プレッシャーの下では明白ではありません。
Menlo Securityの2025年の調査によると、ブラウザでのリアルタイムPHI傍受により情報漏洩が94%減少します。このギャップは、臨床医が見落とすものとツールが検出するものの差を示しています。Cyberhaven のデータはその規模を裏付けています：従業員の77%が少なくとも週に一度、AIツールに機密業務データを共有しています。
ブラウザ拡張機能がどのように役立つか
Chrome拡張機能は送信の瞬間にテキストを確認します。AIにテキストが届く前に動作します。臨床医には簡単なプレビューが表示されます。どのPHIが検出され、何がマスクされるかが示されます。
これは強制的なブロックではありません。医師は続行、編集、または停止を選択できます。これにより、通常は自動的な行為に短い確認が加わります。
事例として、症例ベースの学習にClaudeを使用する内科の指導医を考えてみましょう。すでに確認した症例メモを貼り付けます。拡張機能が2回目の確認を実施します。メモが問題なければアラートは表示されず、セッションは続行されます。日付のペアや小さな地名など、何か見落としがあれば、ツールが最初に検出します。
このモデルは臨床環境によく適合します。医師がコントロールを保持できます。人間が見落としがちなパターンに対するセーフティネットを追加します。
ツールのベンチマークについてはPHI検出精度の比較をご覧ください。BAA要件についてはHIPAAクラウドゼロ知識ガイドをご参照ください。設定の詳細はブラウザDLPガイドに記載されています。