RIZAP社員が個人利用の生成AIに顧客情報を誤アップロード — 保険証番号や疾患情報も、学習利用なしと確認

RIZAPグループは2026年9月3日、連結子会社RIZAPの健康経営・保険者事業部の社員が、個人で使用している外部の生成AIサービスに顧客の情報を誤ってアップロードする事象が発生したと発表した。特定保健指導管理システムのデータ集計作業中の操作ミスで、対象データには氏名や保険証記号番号に加え、疾患情報などの要配慮個人情報も含まれる。同社は生成AI事業者への照会で第三者への閲覧と学習利用の可能性はないと確認し、個人情報保護委員会への報告を終えたとしている。

発生の概要 — 集計作業中に私用の生成AIへ

同社の発表によると、RIZAPの社員は特定保健指導管理システムに関するデータ集計作業を行っていた際、誤って個人で使う外部の生成AIサービスへ対象データをアップロードした。対象は2026年1月1日から8月19日までに同システムへ登録された特定保健指導対象者データの一部だ。

含まれた個人情報は、保険証記号番号、メールアドレス、氏名、生年月日、性別で、住所と電話番号は一部の対象者のみ。要配慮個人情報として、特定保健指導の支援形態（積極的支援・動機付け支援・重症化予防のいずれか）と、疾患情報（高血圧症・糖尿病・脂質異常症のいずれか複数に該当する分）が含まれる。要配慮個人情報とは病歴など特に慎重な扱いが求められる情報で、取得や第三者提供に原則として本人の同意が必要とされる区分だ。

確認済みの事項 — 学習利用なし、役職員の閲覧可否は確認中

同社は当該生成AIサービスの運営事業者へ即時照会し、アップロードした情報について当該事業者以外の第三者に閲覧された可能性と、生成AIの学習に利用された可能性はないと確認した。事業者からは「個人を特定できる情報を含むファイルは、会話データの学習利用が許可された設定でも自動システムでモデルの訓練に使われることはない」「アップロード後24時間以内に削除されたファイルは訓練に使われない」との回答を得た。本件は発生直後（24時間以内）に該当データを削除済みで、この回答に照らして学習利用の可能性はなく、第三者が関連する質問をしても個人情報が出力される可能性はないと同社は判断している。

一方、事業者の役職員などが情報を閲覧できる状態にあった可能性については確認を続けており、判明次第、対象の取引先と顧客へ個別に案内するとしている。

対応として、発見直後に作業者がチャット履歴の削除と学習データの利用停止設定を実施した。個人情報保護委員会への報告は完了し、データ提供元の各団体・企業と個別に調整したうえで、RIZAPまたは提供元から対象者へ順次連絡している。

同社が示した再発防止策 — 人的・技術的・組織的の3層

RIZAPグループは再発防止策として以下の3層の取り組みを挙げている。

• 人的措置：社内で許諾されていない生成AIサービス（外部への情報提供が許可されていない外部サービスなど）の業務利用禁止を全社へ周知徹底し、個人情報保護と生成AIの適切な利用に関する教育を継続する
• 技術的措置：アクセス権限と利用環境を点検・見直し、不正なデータ持ち出しや許可のない外部サービス利用による漏えいを防ぐ管理体制を整備する
• 組織的措置：情報セキュリティマネジメントシステム（ISMS）に加え、AIマネジメントシステム（AIMS）の導入を検討するなど、グループ全体のガバナンスと情報管理体制を強化する

問い合わせ窓口としてRIZAP特定保健指導サポート事務局（メールと電話0120-791-276、平日9時〜18時）を設けている。

日本の組織が留意すべき点 — 私用AIへの業務データ混入をどう防ぐか

今回の事案は外部攻撃ではなく、業務端末での私用生成AIの利用と集計作業の混同による誤操作だ。同社が挙げた「未許諾サービスの業務利用禁止の明文化」「権限と利用環境の点検」「ISMSに加えたAIMSの検討」は、生成AIを業務で使う多くの組織にも当てはまる管理策だ。特に医療・保険分野のデータを扱う組織では、利用を認める生成AIサービスの指定、入力してよい情報の範囲の明確化、学習利用の停止設定の確認が欠かせない。

出典

• RIZAPグループ「子会社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」（2026年9月3日） https://www.rizapgroup.com/news/detail?topics_id=1548