OpenAIが健康記録とChatGPTの連携機能を公開｜社員が健診結果をAIに貼る前に、入力可否の基準を決めているか

結論：AIに何を入れてよいかを決めていない会社は、社員の判断に会社の責任を預けている

OpenAIが2026年7月23日、「Health in ChatGPT」を米国の利用者向けに提供開始したと発表しました。同年1月に導入した機能を、対象を広げて提供するものです。Apple Healthや対応する医療記録をChatGPTに接続し、検査値の比較、前回受診からの変化の要約、服薬の管理、睡眠・運動と健康の関係の把握などができるとされています。

前提を明確にしておきます。**これは米国内の18歳以上のログイン利用者向けで、Web版とiOS版、Free／Go／Plus／Pro の各プランが対象です。日本での提供ではありません。**また、接続した医療記録・Apple Healthのデータ、およびそれらを使った会話は、モデルの学習にも広告のターゲティングにも使用しないとOpenAIは明言しています。

つまり、この機能そのものが日本企業の業務に直接影響するわけではありません。にもかかわらず本記事で取り上げるのは、企業経営に関わる別の示唆が含まれているからです。

その示唆とは、AIが扱う情報の機微さの水準が、社会全体で一段上がったということです。健康・医療情報は、個人情報の中でも特に慎重な扱いが求められる領域です。そこに大手のAIサービスが正面から踏み込んだということは、利用者側の心理的な障壁も下がるということを意味します。

そして企業にとっての問題はここから始まります。自分の健康情報をAIに読ませることに慣れた社員が、業務で扱う他人の健康情報について、同じ感覚で操作しない保証はどこにあるのか、という問題です。

3行サマリー（先に結論）

• OpenAIが健康記録をChatGPTに接続する機能を公開。AIが機微な情報を扱うことが一般化しつつある。
• 企業側の論点は、社員が業務データ（他人の健康情報を含む）をAIへ入力することへの抵抗感が下がること。
• 対策は禁止事項の列挙ではなく、①業務単位で入力可否の基準を作る ②使ってよいツールを限定する ③確認できる仕組みを持つ、の3点。

要点表：発表内容と企業への含意

※本機能の提供条件およびデータの取り扱いについては、OpenAIの公式情報を一次情報としてご確認ください。

企業が扱っている「機微な情報」を数え上げる

まず、自社にどのような機微情報があるかを認識するところから始めます。中堅企業でも、次のような情報を日常的に扱っています。

人事・労務の領域

• 定期健康診断の結果、再検査の指示、産業医の意見書。
• ストレスチェックの結果、面接指導の記録。
• 傷病による休職・復職に関する診断書、産業医面談の記録。
• 障害者雇用に関する情報、合理的配慮の申出内容。
• 労災に関する記録。
• 育児・介護休業に関する家族の状況。

その他の領域

• 顧客の健康状態に関する情報（医療・介護・福祉に関わる事業の場合）。
• 従業員の信条・組合活動に関する情報。
• 犯罪歴、被害の事実に関する情報。

このうち、健康診断の結果や病歴、障害に関する情報などは、個人情報保護法上の要配慮個人情報に該当し得ます。要配慮個人情報は、取得にあたって本人の同意が必要とされるなど、通常の個人情報より厳格な扱いが求められます。

ここで重要なのは、これらの情報が「機密文書」として金庫に入っているわけではないという点です。実際には、担当者のパソコンのExcelファイルにあり、メールの添付ファイルとして送られ、共有フォルダに置かれています。つまり、コピー＆ペーストできる状態にあるということです。

起きうる場面を具体的に想像する

抽象論では動きません。実際に起こり得る場面を挙げます。

場面1：健診結果の集計 人事担当者が、健康診断の結果一覧をAIに貼り付けて「有所見者を部署別に集計して」と依頼する。集計作業としては合理的ですが、他人の健康情報を外部サービスへ送信していることになります。

場面2：産業医面談記録の要約 面談記録が長いため、AIに要約させて上長への報告資料を作る。効率的ですが、本人が産業医に話した内容が外部へ出ています。

場面3：復職判定資料の作成 診断書と面談記録をもとに、復職可否の検討資料を作らせる。判断材料としてAIを使うこと自体の是非に加え、情報の送信先が問題になります。

場面4：問い合わせ対応の下書き 顧客からの健康状態に関する問い合わせについて、返信の下書きをAIに作らせる。顧客の情報が含まれます。

場面5：採用選考での配慮事項の整理 応募者からの配慮申出について、対応案をAIに相談する。応募者の障害に関する情報が含まれます。

いずれも、担当者に悪意はなく、むしろ業務を効率化しようとした結果です。だからこそ、個人の判断力に依存する運用では防げません。ルールがないところに、善意の効率化が入り込みます。

「禁止」から始めない

多くの企業のAI利用ルールは、禁止事項の列挙から始まります。「個人情報を入力してはならない」「機密情報を入力してはならない」。これは書きやすい一方、実務ではほとんど機能しません。理由は2つあります。

理由1：境界が判断できない 「個人情報」と言われても、集計後の数値は個人情報か。部署名と人数だけなら問題ないか。名前を伏せれば大丈夫か。担当者は毎回この判断を迫られ、結果として自己流の解釈が生まれます。

理由2：業務が回らないと、ルールが無視される 禁止が厳しすぎて業務が回らないと、現場は隠れて使い始めます。これがシャドーAIと呼ばれる状態で、把握できないぶん、明示的に許可するより危険です。

したがって推奨するのは、業務単位で「この作業ではここまで使ってよい」を定めるアプローチです。

入力可否の基準表を作る

次のような表を、自社の業務に合わせて作成します。作成は人事・総務・情報管理の担当者と、実際にAIを使っている現場が一緒に行うのが望ましい形です。

この表の価値は、現場が毎回悩まなくて済むことにあります。判断が表に書いてあれば、担当者は自分の解釈を持ち込まずに済みます。

なお、「不可」とした項目についても、業務上どうしてもAIを使いたい場面は出てきます。そのときの手順（誰に相談し、どう判断するか）を決めておくと、隠れた利用を防げます。「不可、ただし相談すれば検討する」のほうが、単なる「不可」より実効性があります。

使ってよいツールを限定する

基準表と並んで重要なのが、ツールの限定です。同じ「AIに入力する」でも、次の3つは意味がまったく異なります。

種類1：個人が無料で使える一般向けサービス 利用規約によっては、入力内容が学習に使われる場合があります。会社の管理も及びません。

種類2：会社が契約した法人向けサービス 学習利用の除外、アクセス管理、ログの取得ができる場合が多く、管理下に置けます。

種類3：自社環境内で動くAI 外部への送信が発生しないため、機微情報の扱いに関する懸念は小さくなります。ただし構築・運用の負担があります。

会社としてやるべきは、業務では種類2以上を使うという方針を出し、実際に契約して使える状態にすることです。ここが抜けていると、「個人アカウントを使うな」と言いながら代替手段を用意していない状態になり、現場は従いません。

守られているかを確認する仕組み

ルールを作っただけでは、機能しているかどうかが分かりません。次のいずれかの方法で、確認できる状態を作ります。

方法1：法人契約サービスの管理機能を使う 法人向けプランには、利用状況を確認できる管理機能が備わっていることがあります。誰がどの程度使っているかを把握できます。

方法2：ネットワーク側で確認する 社内ネットワークから、許可していないAIサービスへの通信が発生していないかを確認します。フィルタリング機能を持つ機器がある場合、設定で制御できます。

方法3：定期的な確認とヒアリング 半年に一度、各部署に「どのAIサービスを、どの業務で使っているか」を報告してもらいます。技術的な仕組みがなくても実施でき、実態把握には有効です。

方法4：入口で促す 就業規則や誓約書に一文を加える、研修で扱う、といった方法です。抑止としては働きますが、これ単独では実態は把握できません。

現実的には、方法1と方法3の組み合わせから始めるのが、費用と効果のバランスが取れています。

法人契約サービスの設定で確認すべきこと

「法人向けプランを契約したから安全」と考えるのは早計です。契約しただけでは有効にならない設定があります。管理者権限を持つ人と一緒に、次を確認してください。

確認1：学習利用の除外設定 入力内容がモデルの改善に使われない設定になっているか。プランによっては既定で除外されますが、明示的な設定が必要な場合もあります。契約書の条項と、管理画面の設定の両方を確認してください。

確認2：データの保持期間 入力内容と応答が、サービス側にどれくらいの期間保存されるか。短縮できる設定があるなら、業務に支障のない範囲で短くします。

確認3：アカウントの管理 社員の入退社に応じてアカウントを追加・停止する運用ができているか。退職者のアカウントが残っていると、退職後もアクセスできる状態が続きます。

確認4：外部共有・連携の制限 会話の共有機能、外部サービスとの連携機能（コネクタ、プラグイン等）が、意図せず有効になっていないか。連携を通じて、社内データが別のサービスへ流れる経路ができることがあります。

確認5：利用状況の可視化 誰がどの程度使っているかを確認できる機能があるか。使われていなければ導入の意味がなく、特定の人だけが大量に使っているなら、その用途を確認する価値があります。

確認6：保存場所（リージョン） データがどの国のサーバに保存されるか。個人情報を扱う場合、越境移転の観点で確認が必要になることがあります。

これらは一度確認すれば済むものではなく、サービスの仕様変更に伴って状況が変わります。年1回、または大きな機能追加があったタイミングで再確認する運用にしてください。

ルールを浸透させる——研修と誓約の設計

基準表を作っても、周知されなければ意味がありません。とはいえ、分厚い規程を配っても読まれません。実効性のある浸透のさせ方を示します。

方法1：1枚にまとめる 基準表を、A4用紙1枚に収めます。「入れてよいもの」「だめなもの」「迷ったら相談する先」の3ブロックで構成し、デスクに貼れる形にします。

方法2：具体例で説明する 研修では抽象的な説明を避け、自社の業務に即した具体例で説明します。「健診結果の一覧を貼って集計させる」「産業医の面談記録を要約させる」といった、実際に起こりそうな場面を挙げます。

方法3：相談窓口を明示する 「迷ったらここに聞く」という窓口を作ります。窓口がないと、迷った人は自己判断するか、諦めて非効率な手作業を続けるかのどちらかになります。どちらも望ましくありません。

方法4：許可されている使い方を伝える 禁止事項だけを伝えると、「AIは使ってはいけないもの」という認識が広がります。会社として推奨する使い方も同時に伝えてください。効率化の余地を潰してしまっては、ルールを作った意味が半減します。

方法5：誓約書は補助的な位置づけにする 誓約書への署名は、意識づけとしては有効ですが、それ自体が事故を防ぐわけではありません。署名させて終わりにせず、基準表と窓口をセットで運用してください。

事故が起きた場合の手順

機微情報が誤ってAIサービスに入力された、という事態が判明した場合の初動を、あらかじめ決めておきます。

手順1：事実の確認 いつ、誰が、どのサービスに、どの情報を、どの範囲で入力したか。責める場面ではないため、事実を正確に把握することを優先します。担当者が萎縮して事実を隠すのが、最も避けたい事態です。

手順2：影響範囲の特定 入力された情報に、何人分の、どのような情報が含まれていたか。要配慮個人情報が含まれているかどうかで、その後の対応が変わります。

手順3：サービス側の設定確認 そのサービスが、入力内容を学習に使う設定だったか。会話履歴が保存されているか。削除が可能か。可能なら削除を依頼します。

手順4：報告義務の判断 個人情報の漏えい等に該当するかどうかを判断します。この判断には法的な検討を伴うため、社内で完結させず、専門家に相談してください。要配慮個人情報が含まれる場合、判断はより慎重に行う必要があります。

手順5：再発防止 なぜその入力が行われたのかを分析します。多くの場合、ルールを知らなかったか、ルールはあるが業務上そうせざるを得なかったかのどちらかです。後者の場合、ルールの側に問題があります。

手順6：記録を残す 経緯と対応を文書に残します。同種の事態が再発した場合の判断材料になり、また対外的な説明が必要になったときの根拠にもなります。

人事総務部門への具体的な提案

この記事を人事総務の実務に落とすなら、次の3つを今月中に実施することを提案します。

実施1：健康情報を扱う業務の洗い出し（半日） 健診、ストレスチェック、休職・復職、労災、障害者雇用。それぞれについて、誰がどの資料を扱い、どんな加工作業が発生しているかを書き出します。

実施2：その業務でAIが使われていないかの確認（半日） 責めるためではなく、実態を知るために聞きます。「効率化のために試したことはあるか」という聞き方のほうが、実態が出てきます。

実施3：基準表の作成と周知（1週間） 前掲の表を自社版に作り替え、部署に配布します。完璧を目指さず、まず出すことを優先してください。運用しながら追加していけば十分です。

FAQ

Q1. 「Health in ChatGPT」は日本で使えますか。 A. 提供対象は米国の18歳以上の利用者で、日本は対象外です。したがって、この機能そのものへの対応は不要です。本記事の主旨は、当該機能の利用可否ではなく、機微情報をAIに入力することへの抵抗感が社会全体で下がっていくことに対する、企業側の備えのほうにあります。

Q2. 匿名化すれば健康情報も入力してよいですか。 A. 慎重な判断が必要です。氏名を伏せても、部署・年齢・症状の組み合わせから個人が特定できる場合があります。少人数の職場では特にそうです。原則不可としておくのが安全です。

Q3. 社員が個人のスマートフォンで使う分には関係ないですか。 A. 私的利用は自由です。問題になるのは、業務で扱っている他人の情報を私的な端末・アカウントで処理する場合です。この線引きを明示してください。

Q4. ルールを作ると業務効率が落ちませんか。 A. 禁止だけを増やせば落ちます。だからこそ、使ってよい範囲を明示し、法人契約のサービスを用意することがセットになります。「使うな」ではなく「これを使え」が実効性のある形です。

Q5. 法人向けサービスなら学習に使われませんか。 A. 多くの法人向けプランでは学習利用の除外が設定されていますが、サービス・プランごとに条件は異なります。契約時に条項を確認し、設定が有効になっているかも確かめてください。

Q6. 過去に社員が機微情報を入力していた可能性があります。どうすればよいですか。 A. まず範囲を把握してください。いつ、どのサービスに、どの程度の情報が入力されたか。その上で、対象者への対応や報告義務の要否を判断します。判断が難しい場合は、法務の専門家に相談してください。

Q7. 中小企業でもここまでやる必要がありますか。 A. 規模より、扱っている情報の性質で決まります。健康情報を扱わない会社は存在しないため、最低限の基準表は作るべきです。作業としては数日で終わります。

GXOに相談すべきタイミング

次のいずれかに当てはまるなら、事故が起きる前に整理をおすすめします。

• 社内でどのAIサービスが使われているか把握できていない。
• AI利用のルールがない、または禁止事項だけで実務に合っていない。
• 人事・健康情報を扱う業務でAIが使われている可能性があるが、確認できていない。
• 法人向けサービスの導入を検討しているが、設定や運用の設計に自信がない。

GXOはAIサービスの販売代理店ではないため、ツールを増やす方向ではなく、使い方と管理を整える方向から支援できます。AI利用の実態把握とルール整備はAI導入診断、情報管理・アクセス制御の観点からの点検はセキュリティ診断・対策の相談、法人向けAI環境の構築や社内システムとの接続はAI開発・活用の相談が入口です。基準表のたたき台づくりからでもお受けします。お問い合わせよりご相談ください。

社員がAIを使うのは、仕事を良くしようとしているからです。会社がやるべきは、その意欲を止めることではなく、踏んではいけない線を先に引いておくことです。

参考文献

• OpenAI「Launching Health in ChatGPT」（一次・公式、2026年7月23日。提供対象・プラン・データの取り扱い方針の出所）: https://openai.com/index/health-in-chatgpt/
• TechCrunch「OpenAI makes ChatGPT Health available to all U.S. users」（二次・報道、2026年7月23日）: https://techcrunch.com/2026/07/23/openai-makes-chatgpt-health-available-to-all-u-s-users/
• 個人情報保護委員会（一次・公式／要配慮個人情報の定義と取り扱い）: https://www.ppc.go.jp/

※本稿は2026年7月24日までに確認できた公開情報をもとにした整理であり、法令の解釈や法的助言を示すものではありません。要配慮個人情報の具体的な取り扱い、および自社の対応が適切かどうかについては、法務の専門家にご確認ください。