CROにおける生成AI活用：GCP・データ完全性を守る運用設計

CROで生成AIを扱う際の前提

生成AIは、文書の下書き、用語の整理、定型的な照合、記録の検索支援、欠落候補の提示などに利用できます。一方で、治験では被験者保護、データ完全性、記録の信頼性、監査可能性が重要です。生成AIの出力は補助情報であり、医療上の判断、安全性評価、因果関係評価、重大逸脱の最終評価、規制上の提出判断を代替しません。

厚生労働省のGCPガイダンスとICH E6(R3)は、被験者の権利・安全・福祉、試験結果の信頼性、リスクに釣り合った品質マネジメント、データガバナンスを重視しています。生成AIの利用範囲を定める際も、誰が入力を準備し、誰が出力をレビューし、誰が承認し、どの記録を残すかを明文化します。

利用候補と人が担う判断の分離

生成AIを利用する業務は、出力を原資料、承認済み手順書、一次資料と照合できる範囲から選びます。入力・出力の品質を人が確認できず、誤りが被験者保護や試験結果の信頼性に影響する業務は、安易に自動化対象にしません。

生成AIの出力を利用する場合は、出力がどの入力と指示から作成されたか、誰がどのように確認・修正・承認したかを説明できるようにします。最終記録に採用する内容は、適切な権限を持つ担当者が確認します。

データと利用環境を確認するチェックリスト

• 利用目的と対象業務を定め、利用しない最終判断を明確にした。
• 入力するデータの正本、出所、利用権限、保存先を確認した。
• 個人情報、機密情報、治験関連記録の取扱いを品質保証・法務・情報セキュリティと確認した。
• 入力、出力、レビュー、承認、訂正、保存の流れを記録できる。
• アクセス権、外部委託・再委託、データ移送、ログ保全のルールを定めた。
• 出力の受入基準、例外処理、エスカレーション、障害時の対応を定めた。
• モデル、指示、データソース、連携先を変更する際の変更管理を定めた。

患者や施設に関する情報を扱う場合は、利用目的、同意・権限、データ保護、委託範囲、保存・削除の扱いを個別に確認します。匿名化・仮名化を含む技術的な措置だけではなく、アクセスと利用の運用ルールを組み合わせることが重要です。

検証・変更管理・監査証跡

導入前には、対象業務、入力データ、想定する出力、受入基準、レビュー責任者、承認者を文書化します。検証では、通常の利用場面だけでなく、情報不足、誤った入力、出力の不整合、連携障害、権限外の利用といった例外も確認します。テスト結果、差異、対応、承認の記録を保存します。

生成AIのモデル、利用する指示、連携先、データソースを変更する場合は、影響を評価してから必要なテストと承認を行います。利用者への教育、運用手順の改訂、監査証跡の確認も変更管理に含めます。運用中に問題が見つかった場合は、利用を停止・限定する条件、影響調査、是正、再検証の責任者を定めておきます。

よくある質問（FAQ）

Q1. 生成AIの出力を提出資料にそのまま使えますか？

そのまま確定資料として使わず、担当者が根拠を確認し、修正・承認した記録を残します。臨床上・品質上・規制上の最終判断は人が担います。

Q2. 患者に関する情報を入力してもよいですか？

利用目的、同意・権限、データの正本、アクセス制御、保存先、匿名化・仮名化、委託先の取扱いを確認してから判断します。個別案件は責任者と専門部署が確認します。

Q3. 生成AIの変更時に何を確認しますか？

変更対象、影響範囲、リスク、テスト、受入基準、承認者、監査証跡を定め、関係する責任者が確認します。

参考資料

• 厚生労働省「医薬品の臨床試験の実施の基準に関する省令」のガイダンス
• PMDA「ICH-E6 GCP（医薬品の臨床試験の実施基準）」
• ICH E6(R3) Guideline for Good Clinical Practice
• 経済産業省「AI事業者ガイドライン」関連資料
• デジタル庁「生成AIの調達・利活用に係るガイドライン」

最後に（問い合わせ導線）

生成AIの導入では、対象業務、データ、品質、監査可能性、変更管理、責任分界を関係部署で確認してください。CROへの委託があっても、治験依頼者の監督と、被験者保護、医療上・品質上の最終判断は、適切な権限を持つ責任者が担います。