PsyKarte AI は精神科・心療内科の診療情報を扱うため、国内での処理・通信の暗号化・認証とアクセス制御といった安全管理措置を講じて設計・運用しています。
厚生労働省「医療情報システムの安全管理に関するガイドライン」および経済産業省・総務省のガイドライン（いわゆる3省2ガイドライン）を参照して設計しており、安全管理措置の整備を段階的に進めています。本サービスは、同ガイドラインへの準拠に関する第三者認証・第三者監査を受けたものではありません。現時点の対応状況（実施済みの措置・整備中の措置）は個別にご説明します。
カルテから取り込まれた患者情報・診療データは、AWS（アマゾン ウェブ サービス）東京リージョンに保管されます。AWS は ISO 27001・ISO 27017（クラウドセキュリティ）・ISO 27018（クラウド上の個人情報保護）、SOC 2、政府の ISMAP 等の第三者認証・評価を取得しており、金融機関・官公庁・医療機関でも広く採用されている基盤です。AWS のデータセンターでは、AWS により物理的な入退室管理・電源やネットワークの冗長化・常時監視が実施されています。（これらの認証および統制は、いずれも基盤事業者である AWS が取得・実施しているものであり、当社が取得・実施しているものではありません。各認証には対象サービス範囲が定められています。）
患者データの保存・AIによるカルテ生成・音声の文字起こしは、日本国内で処理しています（保存・AI 処理は AWS 東京リージョン、音声認識は国内事業者）。国外の事業者へ診療情報を送信する経路は既定で無効にしています。なお決済およびアカウント通知メールの配信には国外事業者を利用しますが、これらに診療情報は含まれません。
データベース（Amazon Aurora）・ストレージ（Amazon S3）はいずれも AWS KMS による保存時暗号化を有効にして保管し、通信はすべて TLS で保護しています。データベース接続では AWS の RDS 認証局バンドルを用いてサーバ証明書とホスト名を検証し、なりすまし接続を防ぎます。
診療の会話の音声は文字起こしのためだけに用い、長期保存はしません。処理中のみ国内の暗号化されたストレージに一時的に置き、カルテ本文の生成が完了した時点で削除します。処理が中断した場合も、一時領域のデータは1日以内に自動的に失効します。音声認識の委託先は、音声をサーバに記録しない設定（nolog）で利用しています。お試し・Lite プランでは、音声をサーバーに送信しません。
ID とパスワードによる利用者認証に、認証基盤として Amazon Cognito を採用しています。職種（医師・心理士・事務・管理者）ごとに利用者グループを設定し、利用できる画面と管理機能を分けています。患者データは医療機関ごとに区分して管理し、他の医療機関のご利用者が貴院のデータを参照することはできません。システムの保守・サポートのため、当社の管理者アカウントに限り医療機関を横断してアクセスできる権限があります（対象者を限定して管理しています）。
音声認識は AmiVoice（音声をサーバに残さない「nolog」を使用）、AI によるカルテ整形は Amazon Bedrock（東京リージョン）に委託しており、委託先は必要最小限に限定しています。いずれも、入力内容が基盤モデルの学習に利用されない条件で提供される各社のサービス規約・仕様に基づいて利用しています。委託先の一覧および各社との取り扱い条件は、NDA のもとで書面にてご提供します。
3省2ガイドラインを参照し、組織的・物理的・技術的・人的安全管理措置および外部委託・クラウドの要求への対応を段階的に進めています。現時点の対応状況・未対応項目は、ご要望に応じて個別にご説明します。
| 安全管理措置 | 実装済みの主な内容 |
|---|---|
| 組織的 | 医療機関ごとのデータ区分管理、職種別のアクセス権限管理、委託先の選定・確認 |
| 物理的 | AWS 東京リージョン（国内）のデータセンターを利用（物理的安全管理はクラウド基盤事業者の責任範囲） |
| 技術的 | 保存時・通信の暗号化、データベース接続時のサーバ証明書検証、ID／パスワードによる利用者認証、職種別のアクセス制御、医療機関ごとのデータ分離 |
| 人的 | パスワード要件の設定と管理、利用規約による当社と医療機関の責任範囲の明示（生成物は下書きであり、内容の確認・確定および診療上の最終判断は医師が担うこと／ID・パスワードの共用禁止） |
| 外部委託・クラウド | 診療情報の処理は国内リージョンを基本とし、音声認識は音声を保存しない設定（nolog）で利用。各委託先が公表するサービス規約・データ取扱い方針（入力内容を基盤モデルの学習に用いない旨を含む）を確認のうえ選定・管理 |
※ 本表は、現時点で実装済みの事項のみを記載しています。ガイドラインの全要求事項への適合を表明するものではありません。
技術構成・データフロー・委託先の取り扱いなど、より詳細なセキュリティ説明資料を、お問い合わせ・秘密保持契約（NDA）のもとでご提供します。貴院の情報セキュリティ評価にご活用ください。
セキュリティ・データ取り扱いに関するご質問、詳細資料のご請求はこちらから。
※ 本ページは概要です。記載は継続的な改善により更新されることがあります。詳細は個別にお問い合わせください。
株式会社サイコイノベーション PsyKarte AI お問い合わせ: info@psykarte.com