Amazon Bedrock を活用した Bluesight のエージェント型 AI ソリューション構築

この記事は、Bluesight の CTOである Vijay Venkatesh と共著です。

病院向けソフトウェアを開発している方ならご存知の通り、コンプライアンス対応は規模が拡大するほど非効率になりがちです。特に 340B ドラッグ・プライシング・プログラムへの対応を担う病院では、データの問題が複合化しています。グループ購買機関（GPO）で購入した薬品が例外適用の対象となることを証明するには、複数の情報源を同時に照合する必要があります。具体的には、食品医薬品局（FDA）の不足リスト、米国医療システム薬剤師協会（ASHP）のデータ、在庫の日数、機械学習（ML）による不足予測、そして数百の他病院からのバックオーダー信号などが対象となります。

単一の適用対象機関にとって、この手動監査プロセスには年間 4,000 時間以上が費やされます。これを 620 施設を超えるネットワーク全体に拡大すると、問題の規模がいかに甚大かが浮き彫りになります。

Bluesight は、在庫管理、調達、コンプライアンス対応を簡素化するインテリジェンスによって、病院や薬局の運営を支えています。Thoma Bravo のポートフォリオ企業である同社は、KitCheck、ControlCheck、CostCheck、340BCheck、ShortageCheck、PrivacyPro からなる製品群を提供し、全米に数千ものパートナーを抱えています。それぞれの製品は、コンプライアンスというパズルの異なるピースを解決する役割を果たしています。しかし顧客からは、製品間の壁を越えた機能への要望が相次ぎました。彼らが求めたのは、複数のシステムからデータを統合して推論し、アナリストが手動でレポートをつなぎ合わせる必要なく、即座に実行可能なインサイトを提供できる AI レイヤーです。

本稿では、Bluesight が 2 つの AWS エンゲージメントと Amazon Bedrock の AgentCore を活用し、単一の製品向け AI プロトタイプから、6 つの医療コンプライアンス製品を横断する統合型エージェント AI ソリューション「Prism」へと進化させたプロセスについて解説します。ControlCheck 向けの Prism Assistant は 2026 年 5 月にリリースされ、すでに 20 の医療システムで活用されています。また、より複雑な複数製品を横断するエージェント型ソリューションも、2026 年後半の提供に向けて順調に開発が進められています。

Bluesight がエージェント型 AI を目指すコンプライアンス上の課題

Bluesight における最初の AI の活用例は、薬物の不正転用（ドラッグ・ディバート）の検出です。ControlCheck は病院薬局における規制薬物の取引を監視し、高度な分析を通じて不正転用の可能性のあるパターンを検知します。従来、コンプライアンスチームはレポート作成や経営陣向けのビジネスレビューの執筆、そしてダッシュボード間での手動による信号の照合に膨大な時間を費やしていました。こうした分析を数秒で実行できる対話型インターフェースがあれば、病院の利用者やカスタマーサクセスチームにとって大きな時短になります。ただし、病院のコンプライアンスプログラムが求めるセキュリティと精度の基準を満たす必要があります。

2 つ目の課題は、より野心的なものでした。DSH（Disproportionate Share：不均衡負担率が高い施設）、PED（Children's：小児専門）、CAN（Free-Standing Cancer：独立系がんセンター）に分類される病院は、非 GPO チャネルで入手できないことが実証された場合を除き、GPO 契約を通じて外来用医薬品を購入することが禁止されています。この例外を証明するには、Bluesight の複数の製品からの証拠を同時に提示する必要があります。具体的には、CostCheck からの購入記録、ShortageCheck からの不足情報、そして 340BCheck からの 340B 制度の適用資格です。単一の製品だけで全体像を把握することはできませんでした。

両方のユースケースに共通していた制約は、アーキテクチャを初日から本番環境レベルのものにする必要があったことです。患者データは健康保険の携帯性と責任に関する法律（HIPAA）によって管理されています。病院のコンプライアンスチームには監査証跡が必要です。薬品購入の遵守について主張する AI システムは、重要な場面において説明可能で決定論的である必要があります。Bluesight が必要としたのは、新しいユースケースごとに再構築を余儀なくされる個別のソリューションではなく、再利用可能な AI アーキテクチャでした。

Amazon Bedrock AgentCore を基盤に

Bluesight が AWS を選んだ理由は、Amazon Bedrock AgentCore がゼロから構築する必要のない、本番環境対応のエンティティ型 AI インフラを提供していたからです。この選択を決定づけたのは、以下の 3 つの機能です。

*図 1. Amazon Bedrock AgentCore 上の Prism Assistant シングルエージェントアーキテクチャ。

第一に、Amazon Bedrock は HIPAA の対象となるサービス です。保護された医療情報を扱う医療企業にとって、これは譲れない条件でした。Bluesight は AWS と業務提携契約（BAA）を締結しており、Amazon Bedrock で処理される顧客データは基盤モデルの学習には使用されません。この規制遵守とデータプライバシーの両立が、チームにエージェントを実際の病院データに接続する自信を与えました。

第二に、AgentCore Runtime は、セッションの分離機能を持つ安全なサーバーレスホスティングを提供します。これは複数の病院が同時にシステムにアクセスする際に不可欠な要件です。また、AgentCore Gateway を利用すれば、既存のプロダクト API をエージェントが発見して呼び出せる Model Context Protocol (MCP) 準拠のツールに変換できます。これには組み込みの認証と暗号化機能も含まれています。つまり、ゼロから独自のカスタム統合インフラを構築することなく、3 つのプロダクトにまたがる生データソースへエージェントを接続することが可能になりました。

第三に、AgentCore の「エージェント間通信」パターンは、GPO 禁止というユースケースで Bluesight が必要としていたアーキテクチャと一致しています。調整役となるエージェントが、専門的なデータ処理ワーカーにタスクを委任します。具体的には、1 つのエージェントが CostCheck の購入記録を検索し、別のエージェントが ShortageCheck の在庫データを照会、さらに 3 つ目のエージェントが 340B プログラムの適格性を検証します。AgentCore Runtime は、責任範囲の明確な分離と実行チェーン全体にわたる可観測性を実現することで、こうしたマルチエージェントのパターンを適切にサポートしています。

コントロールチェックのプロトタイプから本番環境へ、9 か月で実現

2025 年 9 月、Bluesight は AWS と「EBA（Experience-Based Acceleration）」プログラムを通じて提携し、3 日間の集中スプリントを実施しました。このプロジェクトの目的は、生データにクエリを実行して視覚的なレポートを生成できる、会話型の薬物転用分析エージェントを「ControlCheck」に構築することでした。

8 人の Bluesight エンジニアと 7 人の AWS プロフェッショナルで構成される 15 名のチームは、Amazon Bedrock 上の AgentCore Runtime で動作する Strands Agents を活用し、機能するエージェントを完成させました。AgentCore Gateway を介して ControlCheck の API 10 以上を MCP サーバーとして接続し、チャート生成機能を備えたフロントエンドを開発。さらに、パフォーマンスの監視やコストの属人化（アトリビューション）を実現するための観測性（オバザビリティ）も実装しました。

アーキテクチャ上の重要な判断の一つは、AI の推論層とデータ層を分離した点です。エージェントに生データベースを直接公開するのではなく、既存の ControlCheck API エンドポイントを AWS Lambda 関数でラップし、エージェントが扱いやすい構造化データを返す形に変更しました。これにより、クエリの応答時間を従来の 5 分から 10 秒に短縮。また、ビジネスロジックは本来あるべきアプリケーション層に保持され続けました。エージェントの役割は、ユーザーの質問を解釈し、ツールの呼び出しを調整し、結果を明確に提示することです。

デモ終了後、ブルースイットの製品管理ディレクターであるサミール・ネイージ氏は断言しました。「100% 以上、これはダイバーションプログラム（薬物流転防止プログラム）の販売を劇的に支援します」と。彼は翌週の月曜日にも顧客にこの機能を披露したいと考えていました。

「医療業界はコンプライアンス、データセキュリティ、スケーラビリティにおいて極めて高い基準が求められます。AWS との協力により、これらすべてを同時に処理できるアーキテクチャを実現できました」とブルースイットの CTO、ヴィジャイ・ベンカテシュ氏は語ります。「その基盤の上に、ブルースイット独自のドメイン知識と独自データを組み合わせることで、日々のコンプライアンス業務に従事する顧客にとって真に有用な機能となっています。」

EBA（Enterprise Business Agreement）により、ブルースイットは初日から本番環境で運用可能なアーキテクチャを手に入れました。仮想プライベートクラウド（VPC）内で展開され、完全な暗号化が施されています。認証、観測性（オバザビリティ）、そしてインフラストラクチャー・アズ・コードも既に整備済みです。アーキテクチャの転換を余儀なくされることもなければ、後で解消しなければならない技術的負債も発生しませんでした。

Prism Assistant は、ブルースイットが全製品にわたる社内 AI 機能として統一して掲げているブランド名です。この 3 日間のスプリントから本番環境での一般提供まで、わずか 9 ヶ月未満で達成しました。通常であれば、探索的な AI 開発に 12〜18 ヶ月を要するところを、驚異のスピードで実現したのです。

Prism を通じた多製品統合知能への拡張

2026 年 3 月、ブルースイットは再び EBA に取り組みました。今回はより野心的な目標が掲げられました。複数の製品にまたがるオーケストレーションを行うエージェント型 AI ソリューションを構築し、GPO（一般販売禁止リスト）の禁止事項に関するコンプライアンス監査を自動化することです。

最初の EBA で確立された参照アーキテクチャとパターンは、開発期間を大幅に短縮しました。ControlCheck の構築に 3 日間の集中した作業が必要だったものが、Prism では再利用可能なインフラストラクチャとして機能しています。チームは「エージェントの挙動とインフラ」「データワーカーとツール」「UX/フロントエンド」の 3 つのワークストリームに分かれて活動し、基盤となるパターンがすでに実証済みであるため、迅速に開発を進めることができました。

こうして完成した Prism のアーキテクチャでは、主要モデルとして Claude Sonnet 4.6 を採用し、高速処理には Claude Haiku 4.5 を使用します。これらはすべて Amazon Bedrock 上で動作しており、AgentCore Runtime は VPC 内のプライベートサブネットにデプロイされています。AgentCore Gateway が Lambda ベースのツールを CostCheck、ShortageCheck、340BCheck の各データソースと接続しています。また、GPO に特化したオーケストレーターエージェントが、特定の製品ドメインから証拠を集める役割を持つ専門的なデータワーカーエージェントたちと連携して動作します。

コンプライアンスの判定結果は、単なる大規模言語モデル（LLM）の意見ではありません。Bluesight は 13 の証拠信号と優先度に基づくマッチング、設定可能な時間窓を組み合わせた決定論的なスコアリングパイプラインを構築しました。LLM がデータ収集やレポート生成を指揮する一方で、スコアリングロジック自体はルールベースで監査可能です。これは規制当局に対して手法の根拠を示す必要がある病院のコンプライアンスプログラムにおいて、極めて重要な区別です。

フルシステムは 1 日目終了までに接続され稼働状態となりました。2 日目には計画された全機能が動作確認済みでした。3 日目は仕上げと探索的テストに充てられ、Bluesight の事業関係者および AWS のエグゼクティブスポンサー向けにデモを行いました。EBA（評価期間）における合成データでのテストでは、エージェントは請求書の検出率 100% と証拠の正当化精度 93% を達成し、目標としていた 85% を大きく上回りました。

「2 回目のエンゲージメントでは、より大きな問いを投げかけました。単に『別のエージェントが作れるか』ではなく、『プラットフォームを構築できるか』です」とベンカテシュは語ります。「つまり、アーキテクチャをさらに押し広げ、最初のエンゲージメントでは試されなかったような、製品横断型のコンプライアンスワークフローに対してストレステストを行う必要がありました。それが機能し、しかも高速で動作したことが、プリズムを単なるアイデアから、実際に構築にコミットできるビジョンへと変えたのです」

AWS チームとの協働は素晴らしかったです。試行錯誤の道筋と、確立されたパターンに従うことへの導きのおかげで、予想以上の進捗を遂げることができました。EBA（早期ビルドアプローチ）のプロセスがなければ、これほどまでに質の高いデモは実現できなかったでしょう」と、Bluesight のシニアエンジニアリングマネージャーである Steve Hodges 氏は語ります。

「3 日間にわたり、多くの優秀な人材を一つの目標に向かって同じ部屋に集めれば、驚くべき成果を生み出せるものです」と、Bluesight の CostCheck 担当ゼネラルマネージャーである AJ Rivosecchi 氏も付け加えます。

本番環境におけるセキュリティとコンプライアンス

エンジェント AI（自律型 AI）の導入を検討する医療機関にとって、セキュリティは後から追加する機能ではありません。最初から設計上の制約条件として組み込まれるべきものです。Bluesight のアーキテクチャでは、この課題をすべてのレイヤーで解決しています。

Amazon Bedrock が提供する HIPAA 適合性と BAA（業務委託契約）の対応は、エージェントが処理する患者関連データのコンプライアンス対策を支える重要な要素です。ただし、AWS の共有責任モデルの下では、組織自身がコンプライアンス評価を行う責任を負う必要があります。AgentCore Runtime は VPC 内のプライベートサブネットとセキュリティグループ内でデプロイされ、エージェントとデータソース間の通信を制御されたネットワーク境界内に閉じ込めます。

認証と認可は Amazon Cognito が担当し、OAuth2 クライアント資格情報のフローと JSON Web Token（JWT）の検証を行います。これにより、データへのアクセスが発生する前に、すべてのエージェントリクエストが正しく認証・承認されます。

AWS Key Management Service (AWS KMS) は、保存時および転送中のデータの暗号化鍵を管理します。AWS Secrets Manager は、下流のサービス接続に必要な認証情報を扱います。Amazon CloudWatch は、エージェントの実行チェーン全体にわたってダッシュボード、アラート、メトリックフィルタを提供します。すべてのエージェントの判断、ツール呼び出し、データアクセスはログに記録され、追跡可能です。

この観測機能層は単なる運用ツールの類ではありません。病院のコンプライアンスプログラムでは、どのようにしてコンプライアンス判定に至ったのかを明確に示す必要があります。具体的には、どのデータソースを参照したか、どのような証拠を集めたか、そして評価基準がどう適用されたかを提示できなければなりません。これは「あれば便利」というレベルの話ではなく、規制上の必須要件です。決定論的なスコアリングロジックと包括的な監査証跡を組み合わせることで、AI 支援による判定が正当性を保てることをコンプライアンスチームは確信できます。

「当社の病院顧客にとって、セキュリティは最優先事項です」と Bluesight の CTO、Vijay Venkatesh は語ります。「顧客は、いかなる AI ソリューションを採用する前に、データが HIPAA に準拠して保護されていることを知る必要があります。Amazon Bedrock の HIPAA 適合性と、AgentCore に組み込まれたネットワーク分離により、私たちは初日からコンプライアンスチームに自信を持って提示できるセキュリティ体制を構築できました。」

結果

プリズム・アシスタントの早期導入者たちは、すでに日々の業務フローにおいて計測可能な改善効果を実感し始めています。Bluesight が 20 の医療システムを対象に内部で実施した測定データによると、ダイバーションチーム（転送対応チーム）は、従来のプロセスと比較してレポート作成やデータ分析が最大 97% 高速化されたことを報告しています。

• 定期レポートの完了時間が 96% 短縮され、手作業での組み立てに要していた約 6 時間から 15 分へと劇的に短縮されました。
• 事前調査のためのトリアージ（選別）にかかる時間が 90% 削減され、3 時間から約 10 分に短縮されました。
• 規制薬物のばらつき分析が 97% 高速化され、従来 30 分かかっていたものが 1 分未満で完了するようになりました。

プリズム・アシスタントの個別指標を超えて、今回の 2 つの導入事例では、ソリューション全体として複合的な価値が生まれています。

最初のエージェントを本番環境に導入するまでの開発期間が、通常 12〜18 か月かかるものを 9 ヶ月未満に圧縮しました。

合成テストデータを用いた検証では、請求書発見率が 100% を達成。GPO エージェントが関連する購入案件をすべて特定できることを証明しています。

また、証拠の妥当性判断精度も 93% に達し、目標としていた 85% を上回りました。

これにより、年間 4,000 時間以上に及ぶ手作業によるコンプライアンス対応を削減する見込みです。

さらに、最初のプロジェクトで構築したアーキテクチャを流用したことで、2 つ目のエージェントも驚くほど短期間で開発できました。

本ソリューションは設計段階からスケーラビリティを考慮しており、Bluesight のネットワーク内にある 2,000 施設以上の病院へ拡張可能です。

「両方の EBA（エンタープライズ・ビジネス・アライメント）がもたらした市場投入までの期間短縮は、従来の開発手法では不可能だったものです」とベンカテシュ氏は語ります。「最初のプロジェクトで得たスピード感と堅牢な基盤。そして、その基盤を応用すれば、驚くほど短期間で高度なマルチプロダクト機能を実装できるという証明ができました。アーキテクチャの専門知識、技術検証、そして複数のソリューションアーキテクトがチームと共に作業した AWS のパートナーシップモデルこそが、この二つの成果を可能にした加速剤だったのです。」

Prism の今後の展望

Prism は Bluesight の全 6 つのプロダクトに跨る統一された AI レイヤーです。GPO プロhibition エージェントは 2026 年後半のリリース予定で、初のマルチプロダクトソリューションとなります。一方、ControlCheck 向けの「Prism Assistant」はすでに公開され、18 の医療システムで活用されています。

近未来の計画として、チームは評価スイートを拡張中であり、エッジケースや回帰テストを含む 3〜15 のテストケースをカバーする範囲に広げています。同時に、GPO エージェントの本番環境への展開を完了し、病院運営者やコンプライアンス担当者からのフィードバック収集を進めています。

より長期的には、Bluesight はエージェント間アーキテクチャを、340B 制度における材料の違反特定、ワークフローのトリアージ、自動監査準備といった追加のコンプライアンスユースケースへ拡張する計画です。620 以上の病院にまたがるクロス顧客データネットワークは、最大 2,000 院まで拡張可能であり、このネットワークがソリューションに参加する病院が増えるほど、証拠層としての価値を高めます。このネット効果と再利用可能なエージェントアーキテクチャを組み合わせることで、Prism は時間とともに価値が蓄積されるインフラストラクチャーとして位置づけられています。

結論

Bluesight が単一製品の AI プロトタイプからマルチプロダクトのアジェンシー型ソリューションへと進化するには 9 か月を要しました。Amazon Bedrock AgentCore が、ランタイムやゲートウェイ、メモリ、観測機能を含む本番環境インフラを提供したおかげで、エンジニアリングチームは AI インフラの構築に時間を割くことなく、医療ドメイン固有のロジック開発に集中できました。EBA モデルが築いたアーキテクチャ基盤は、両方のプロジェクトを通じて価値を蓄積し、セキュリティファーストな設計思想が病院顧客に対してコンプライアンスワークフローでの AI 導入への信頼をもたらしました。

規制の厳しい業界向けにエージェント型 AI を構築する場合は、Bluesight が採用した基盤をそのまま活用できます。まずは Amazon Bedrock AgentCore を探索し、Amazon Bedrock コンソール にアクセスして、ご自身のアカウントで試してみましょう。

最初のエージェントは、AgentCore のドキュメント と Strands Agents フレームワークを使って構築し、Amazon Bedrock AgentCore サンプルリポジトリ でエンドツーエンドのサンプルコードも確認できます。AWS におけるエージェントの詳細については、「Building h