連合学習（Federated Learning）は、AIモデルのほうを各病院へ巡回させる学習方法だ。中央サーバーから送られたモデルが院内の患者データで学習し、返すのは学習で変化した重みの更新だけで、カルテそのものは院内に残る。医療AIの開発が長く足踏みしてきた理由の一つは、複数の病院で同じモデルを鍛えたくてもデータの持ち出しに強い制約がかかる点にあった。連合学習は「データを外に出すかどうか」という問いを、「モデルを病院に出向かせるかどうか」という問いに置き換える。

連合学習とは何か

この手法を提唱したのはグーグルの研究チームで、2017年のことだ。マクマハンらの論文は、訓練データを端末側に残したまま、各端末で計算されたモデル更新を集約して共有モデルを学習する方式と定義している。同期型の確率的勾配降下法に代えて反復的なモデル平均化を用いることで、通信のラウンド数は10分の1から100分の1に減ると論文は報告している。想定されていた舞台はスマートフォンの入力予測だった。数百万台の端末に散らばったデータを一か所に集める運用は現実的でなく、プライバシーの面でも無理がある。そこでモデルのほうを端末へ送る発想が生まれた。

医療での使い方も理屈は同じで、ノードがスマートフォンから病院に替わっただけだ。カルテの形式や項目をそろえる規格の議論とは層が違う。規格が扱うのはデータを読み合うための言語であり、連合学習が扱うのは患者データを施設の外へ出すかどうかという、より手前の制約である。

タブレット端末でデジタル化された医療データを確認する医療従事者（イメージ）

仕組み──動くのはモデル、データは動かない

NISTの公式ブログは一連の流れをこう説明する。中央サーバーが学習途中のモデルの複製を各参加機関に配り、受け取るのはデータではなくモデルの更新である。各機関は自前の機微なデータでモデルを鍛え、データ自体はその機関から出ない。中央サーバーは返ってきた重みの更新を平均して次のラウンドのグローバルモデルをつくり、収束するまで同じ手順を繰り返す。サーバー側から見えるのは「この病院ではパラメータがどちらの向きに動いたか」であり、その動きを生んだ元のカルテは見えない。

ここが、データを先に集めてから学習させる従来のやり方との最大の違いになる。従来型は各病院が匿名化したカルテを同じデータベースへ送る前提で、データが院内システムを離れた時点でアクセス管理と漏えいのリスクに新しい変数が加わる。連合学習ではデータの物理的な置き場所が動かず、動くのはモデルのパラメータだけだ。誰が生のカルテに触れるかという問いの答えは、そのデータを持つ病院に固定される。

AIモデルの学習状況とデータ通信の経路を画面で確認するエンジニア（イメージ）

日本の制度：要配慮個人情報と次世代医療基盤法

日本で医療データをAIの学習に回すとき、最初に突き当たるのは個人情報保護法だ。同法第2条第3項は、病歴を含む一定の情報を要配慮個人情報と位置づけている。取得には原則として本人の同意が要り、通常の個人データなら使えるオプトアウトによる第三者提供も、要配慮個人情報には認められない。複数の病院のカルテを一か所に集めてAIを鍛える構想は、この入り口で同意の取り方という重い課題に直面する。データを動かさない連合学習の設計が医療分野で関心を集める法的な背景はここにある。

医療データの二次利用について、日本には別の制度も用意されている。次世代医療基盤法（正式名称は医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律）だ。国の認定を受けた事業者が医療機関から情報の提供を受け、匿名加工または仮名加工したうえで研究開発に提供する仕組みで、認定を受けた事業者の一覧は内閣府が公表している。2018年5月に施行され、2024年4月には仮名加工医療情報の枠組みを加えた改正法が施行された。

注意したいのは、この制度が連合学習と反対の設計思想に立つ点だ。次世代医療基盤法は情報をいったん認定事業者に集約し、加工することで利用の道を開く。連合学習は集約そのものを避ける。優劣の問題ではない。同意の取り方、加工の程度、研究者が扱えるデータの粒度がそれぞれ異なり、どちらを選ぶかは研究の目的しだいになる。

国外に目を向けると、医療研究での実績はすでに積み上がっている。フランスのスタートアップOwkinはキュリー研究所、リヨンのレオン・ベラール・センター、ギュスターヴ・ルシー研究所、トゥールーズの腫瘍センターの4施設と組み、連合学習で病理画像のAIモデルを学習させた。トリプルネガティブ乳がん患者650人の病理標本データは各施設のファイアウォールの内側から出ず、モデルは化学療法への反応を予測する用途に使われた。成果は2023年1月にNature Medicineへ掲載され、複数病院の病理画像を対象にした連合学習の研究としては初の発表となった。

医療チームが会議室で医療データの共同利用とAI活用について話し合う様子（イメージ）

残る課題──情報の復元とデータの偏り

連合学習はプライバシーのリスクをゼロにするわけではない。プライバシーと性能の両立を扱った医療向け連合学習フレームワークの論文は、データを動かさないことで集約に伴うリスクは下がる一方、勾配からの復元攻撃によってモデルの更新から機微な情報が取り出される余地は残ると指摘している。サーバーが受け取る重みの更新は数字の列にすぎないが、元データの特徴を推し量る手がかりを含みうる。対策として広く使われるのが差分プライバシーで、同じ論文は返送される勾配にノルムのクリッピングをかけ、較正したガウスノイズを加えることで、プライバシー予算をNISTの推奨に沿う範囲へ収めたと報告している。代わりに、ノイズの分だけモデルの精度は落ちる。

データ分布の偏りも避けて通れない。病院ごとに患者層、疾患の頻度、検査機器の仕様が異なり、統計的には非独立同一分布（non-IID）と呼ばれる状態になる。同じ論文の検証では、現実に近い異質なデータ条件で学習させた場合、分布がそろった基準条件と比べて精度は2〜4ポイント下がり、ラウンドごとのF1スコアのばらつきも大きくなった。規模の小さい病院や、患者の特徴が偏った病院が参加したとき、グローバルモデルがその病院の実態を公平に映すとは限らない。通信の負荷は相対的に軽い。同じ論文は、モデルの更新を8ビットに量子化した場合、1ノードあたり1ラウンドの通信量は約320KBだったとしている。ここは導入の主な障害になりにくい。

データガバナンスの責任の所在も、先に詰めておく論点だ。監査を誰が担うのか、モデルが誤った判断を出したときの責任はどこにあるのか、参加していた病院が抜けたあとのパラメータをどう扱うのか。こうした問いは連合学習を採用しただけでは片づかず、参加する側が自分たちで規約を決める作業が残る。

データの暗号化とプライバシー保護の仕組みを表した抽象的な画面（イメージ）

よくある質問

連合学習と、匿名化したカルテを集めて学習させるやり方はどう違うのか
後者はデータが病院を離れて中央のデータベースへ移るため、流出した場合に再識別される余地が残る。連合学習ではデータが生成された機関から出ず、中央サーバーが受け取るのはモデルの更新に限られる。データの物理的な置き場所という点で設計が異なる。

連合学習で鍛えたモデルから患者の情報が漏れる心配はないのか
皆無ではない。条件次第でモデルの更新から訓練データの一部が復元されうることは確認されており、返送する勾配に較正したノイズを加える差分プライバシーの併用が対策として挙げられている。その分だけ精度は犠牲になる。

日本の病院はすでに連合学習でAIを鍛えているのか
本稿の執筆時点で、複数の医療機関をまたぐ連合学習が国内で本格運用に入ったことを示す公的な資料は確認できていない。制度の面では、次世代医療基盤法にもとづく認定事業者を通じた集約型の枠組みが先に整えられており、認定を受けた事業者の一覧は内閣府が公表している。