何が起きたか #
RIZAPグループの子会社が、委託先であるIHI健康保険組合向けに運用する「特定保健指導管理システム」のデータをとりまとめる業務中、担当社員が個人的に利用していた外部の生成AIサービスへ対象者の情報を誤ってアップロードしていたことが判明した。
1. データ取りまとめ
特定保健指導データの整理作業中に発生。
2. 私用AIへ誤送信
業務未承認の生成AIサービスへアップロード。
3. 発覚・削除
該当チャット履歴を削除し学習利用をオフに。
4. 確認・報告
学習未使用を確認、個人情報保護委員会へ報告。
対象は2026年1月1日〜8月19日分のデータで、氏名・生年月日・性別・保険証記号番号・メールアドレスに加え、一部では住所・電話番号、さらに高血圧症・糖尿病・脂質異常症といった疾患情報まで含まれていた。
約210人
影響を受けた対象者数
8カ月分
対象データの期間
「学習には使われていない」は本当に安心材料か #
RIZAPはAIサービス提供事業者への確認により、データが第三者に閲覧されたり生成AIの学習に利用されたりした可能性はないとしている。だがこの“確認”は事業者側の申告に依存しており、企業が独自に検証できる範囲は限られる。健康情報のような機微性の高いデータが、業務用ツールの承認プロセスを経ずに社外のAIへ渡ってしまう「シャドーAI」の構図は、RIZAPに限った話ではない。生成AIが業務に浸透するほど、個人の判断で情報を貼り付けてしまうリスクは日常的に起こり得る。
対策の要はツールより運用 #
技術的な防御(DLPによる送信ブロックや承認済みAIツールの整備)は重要だが、今回の事故は「まとめ作業を早く終わらせたい」という善意の延長線上で起きている点が厄介だ。疾患名や保険証番号のような要配慮個人情報を扱う業務ほど、外部AI利用を明確に禁止するルールと、それを技術的に強制する仕組み(ネットワーク遮断や拡張機能の制御)を組み合わせる必要がある。
教訓
業務データは承認済みツールのみで扱う。機微情報ほど運用を厳格に。事業者の「学習未使用」の申告だけに安心せず、そもそも渡さない設計にする。
COMMENTS 0
No comments yet — be the first to leave one.