RIZAP子会社、生成AIに顧客情報を誤送信
3行まとめ
- RIZAP子会社の従業員が業務データ集計中、個人利用の外部生成AIに顧客情報を誤送信
- 氏名・住所・保険証番号や疾患情報など要配慮個人情報を含む
- チャット履歴削除・学習利用停止のほか個人情報保護委員会へ報告済み
かんたんに言うと
会社の従業員が、仕事のデータ集計中に個人で使っているAIチャットに顧客の個人情報をうっかり送ってしまいました。会社は業務での私的AI利用のルール徹底とチェック体制の見直しが必要です。
AIセキュリティとの関連: 従業員による個人利用生成AIへの業務データ誤送信という「シャドーAI」リスクの実例だから
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
RIZAPグループは、子会社RIZAPの従業員が顧客の個人情報を個人利用の生成AIサービスに誤ってアップロードしたと発表した。特定保健指導管理システムのデータ集計作業中に発生したという。対象は2026年1月1日から8月19日までに登録された特定保健指導対象者の一部データで、氏名、住所、電話番号、生年月日、性別、保険証記号番号、メールアドレスに加え、支援形態や疾患情報といった要配慮個人情報も含まれていたとされる。発覚後、同社は問題の生成AIサービス上のチャット履歴を削除し、学習データとしての利用を停止する設定を行った。個人情報保護委員会にも報告している。
誰に・どう影響するか
中小企業にとっては、業務用に許可していないAIツールを従業員が私的に使う「シャドーAI」の危険性を示す事例といえる。特別なシステムがなくても、個人アカウントへのアップロードだけで情報漏えいが起こり得る。大企業では取引先や委託元との調整、対象者への個別連絡など対応コストが大きくなりやすい。業種を問わず、健康情報のような要配慮個人情報を扱う部署では特に注意が必要とされる。
今すぐやるべきアクション
- 業務データを扱う端末での生成AIサービス利用ルールを明文化する
- 会社が許可していない外部AIツールへのアクセスを技術的に制限する（DLP等の活用）
- 従業員向けに生成AI利用時の情報取扱い研修を実施する
- 誤送信が起きた際の報告・削除・関係機関連絡の手順を事前に整備する
重大度の判定理由
重大度「中」: 悪用の兆候はなく人為的誤操作による漏えいで、対象データも一部に限定されるため