RIZAP社員、私用生成AIに顧客情報を誤投入　疾患・保険証番号も対象

私用の生成AIへ、健康情報を含む顧客データを送った

RIZAPは2026年9月3日、健康経営・保険者事業部の社員が、個人で使用していた外部の生成AIサービスへ顧客情報を誤ってアップロードしたと発表しました。特定保健指導管理システムのデータ集計作業中に起きた事案です。対象は2026年1月1日から8月19日までに登録された顧客データの一部で、人数と生成AIサービス名は公表されていません。

含まれていたのは、保険証記号番号、メールアドレス、氏名、生年月日、性別、一部の住所と電話番号です。さらに、保健指導の区分と、高血圧症、糖尿病、脂質異常症に該当する人の疾患情報も含まれていました。単なる社内資料ではなく、本人の不利益につながり得る要配慮個人情報を、会社が管理していないAI利用環境へ送った点が重い事案です。

個人で使用する外部生成AIへ、氏名や保険証記号番号、疾患情報を含む顧客データを誤ってアップロードした。

出典：RIZAP公式発表を要約

「学習されなかった」と「問題がなかった」は別である

RIZAPは生成AI事業者へ照会し、個人を特定できる情報を含むファイルは、会話データの学習を許可したアカウントでもモデル訓練へ使われず、アップロードから24時間以内に削除したファイルも訓練へ使われないとの回答を得ました。社員は発見直後にチャット履歴を削除し、学習データの利用停止も設定しました。会社はこの回答から、第三者への生成AI出力を通じた情報流出と、モデル学習への利用の可能性はないと判断しています。

ただし、サービス運営事業者の役職員などが情報を閲覧できる状態だった可能性は、発表時点で確認中です。データがモデル学習へ入らなかったことは、外部サービスへ送信された事実や、委託先・保存場所・アクセス権を会社が事前管理できなかった問題を消しません。企業は「AIが覚えたか」だけでなく、誰にデータが渡り、どの契約と保存条件が適用され、削除を証明できるかまで分けて確認する必要があります。

個人情報保護委員会は入力前の確認を求めている

個人情報保護委員会は、事業者が生成AIへ個人情報を入力する場合、特定した利用目的の達成に必要な範囲かを確認するよう注意喚起しています。本人の同意なく個人データを入力し、回答生成以外の目的で扱われる場合は、個人情報保護法に違反する可能性があるため、提供事業者が機械学習へ利用しないことなどを十分に確認する必要があるとしています。

今回含まれた疾患や保健指導の情報は要配慮個人情報です。同委員会は、要配慮個人情報を含む個人データの漏えい等、またはそのおそれを、人数にかかわらず報告対象となる類型として示しています。RIZAPは個人情報保護委員会への報告を完了し、データ提供元と調整しながら対象者へ順次連絡しています。

個人データを生成AIへ入力する前に、利用目的の範囲と、提供事業者が機械学習へ利用しないことなどを十分確認する必要がある。

出典：個人情報保護委員会の注意喚起を要約

研修だけでは私用AIへの送信を止められない

RIZAPは再発防止として、未許可の生成AIサービスの業務利用禁止を全社へ再周知し、個人情報保護と生成AI利用の教育を続けるとしています。技術面ではアクセス権限と利用環境を見直し、ISMSに加えてAIマネジメントシステムの導入も検討します。重要なのは、今回の原因を一人の操作ミスだけに閉じないことです。

編集部は、許可サービス一覧と研修に加え、個人情報を扱う端末から未許可AIへのファイル送信を制限する仕組みが必要だとみます。ブラウザーやクラウドアクセスの制御、機密ラベルとDLP、会社管理アカウントへの限定、アップロード操作の記録を組み合わせれば、誤操作を送信前に止め、発生後の調査範囲も狭められます。便利な法人AIを用意しても、私用アカウントの方が早い状態ならシャドーAIは残ります。

企業は「送信前」と「発覚後」を一つの手順にする

まず、個人情報や顧客資料を生成AIへ送る業務を洗い出し、許可するサービス、アカウント、データの種類、利用目的を一枚の台帳にします。次に、要配慮個人情報と機密ファイルは原則ブロックし、例外利用は事前承認と匿名化、最小化を必須にします。入力欄への貼り付けだけでなく、ファイル添付、連携ストレージ、ブラウザー拡張、AI付きオフィス機能も同じ送信経路として点検すべきです。

発覚後は、履歴削除だけで終えず、対象データ、送信時刻、アカウント設定、保存期間、事業者側の閲覧範囲を確定します。サービス事業者への照会、アクセス停止、ログ保全、法務・セキュリティ部門への連絡、行政報告と本人通知の要否判断を時系列で残します。今回の事案が示すのは、AI利用ルールの有無より、私用AIへの送信を技術的に見つけて止め、事故後に証明できる運用まで備えているかが問われるということです。