RIZAPは3日、公式サイトを更新し、外部生成AIサービスへ誤って顧客情報をアップロードする事案が発生したことを報告し、謝罪した。
同社は「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」と題した文書を発表。「このたび、RIZAP株式会社（以下「当社」）の健康経営・保険者事業部におきまして、社員が個人で使用している外部の生成AIサービスに、お客様の情報を誤ってアップロードする事象が発生いたしました」と報告した。
第三者閲覧や学習利用の可能性は「ない」と確認
続けて「当該生成AIサービスを運営する事業者には即時照会を行い、アップロードしたお客様の情報については、当該事業者以外の第三者に閲覧された可能性、および、生成AIの学習に利用された可能性はないことを確認しております」とし、「また、当該生成AIサービスを運営する事業者の役職員等がお客様の情報を閲覧可能な状態にあった可能性については現在も確認を行っており、今後確認ができ次第、対象となる取引先様およびお客様へ個別にご案内いたします」と対応を伝えた。
そして「対象となるお客様をはじめ、関係者の皆様に多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。当社では本件の発生を重く受け止め、再発防止に向けて全社を挙げて取り組んでまいります」と謝罪した。
発生の概要と対象データ
発生の概要によると、社員が特定保健指導管理システムに関するデータ集計作業中に、誤って個人で使用している外部の生成AIサービスに対象データをアップロードした。対象データは、2026年1月1日から2026年8月19日までの期間に特定保健指導管理システムに登録された特定保健指導対象者データの一部で、個人情報として保険証記号番号、メールアドレス、氏名、生年月日、性別、住所（一部の方のみ）、電話番号（一部の方のみ）が含まれる。要配慮個人情報として、特定保健指導の支援形態（積極的支援、動機付け支援、重症化予防のいずれか）、疾患情報（高血圧症、糖尿病、脂質異常症のいずれか又は複数に該当する方のみ）も含まれる。
行政機関への報告と再発防止策
現在の対応状況として、個人情報保護委員会への報告を完了している。対象となるお客様への連絡は、対象データの提供元である各団体・企業と個別調整のうえ、当社または各提供元より対象者へ順次実施している。二次被害防止措置として、事象発見直後に当該作業者により該当チャット履歴の削除および学習データの利用停止設定を実施した。
生成AI事業者におけるデータ取扱状況の確認では、入力されたデータについて照会を行い、個人を特定できる情報が含まれるファイルは、アカウント側で会話データの学習利用が許可されている場合であっても、自動システムによりモデルのトレーニングに使用されることはないとの回答を得た。また、アップロード後24時間以内にファイルが削除された場合もモデルのトレーニングには使用されないとし、本件では事象発生直後（アップロードから24時間以内）に該当データを削除済みであるため、学習利用の可能性はなく、仮に第三者が当該生成AIサービスを通じて関連する質問をした場合に個人情報等が出力される可能性はないと判断している。
今後の対応および再発防止策として、社内で許諾されていない生成AIサービスの業務利用禁止を全社へ周知徹底し、個人情報保護および生成AIの適切な利用に関する教育を実施する。技術的措置として、アクセス権限および利用環境の点検・見直しを行い、不正なデータ持ち出しや許可のない外部サービス利用による漏えいを防ぐ管理体制を整備する。組織的措置として、情報セキュリティマネジメントシステム（ISMS）に加え、AIマネジメントシステム（AIMS）の導入を検討するなど、グループ全体におけるガバナンスおよび情報管理体制の強化を推進する。
