RIZAP子会社で顧客情報を外部生成AIへ誤送信
RIZAPグループは9月3日、子会社の社員が業務上扱っていた顧客情報を、個人で利用していた外部の生成AIサービスへ誤ってアップロードしたと発表した。社員は特定保健指導管理システムに関するデータを集計する作業を行っていたという。RIZAPは対象者や関係先に謝罪するとともに、情報の取り扱い状況を調査している。
今回の事案では、社内業務で扱う情報が会社側で許可していない外部サービスへ送信された。RIZAPは発生を重く受け止め、対象となる企業や団体と調整しながら関係者への連絡を進めている。
2026年に登録された特定保健指導データが対象に
送信されたのは、2026年1月1日から8月19日までの間に特定保健指導管理システムへ登録された対象者データの一部だった。特定保健指導に関する業務で管理されていた情報が、データ集計の過程で外部の生成AIサービスへ投入された。
対象となる情報には、保険証記号番号やメールアドレス、氏名、生年月日、性別などが含まれる。さらに一部の対象者については住所や電話番号も含まれており、個人を識別できる複数の情報が送信対象となった。
氏名や住所だけでなく疾患に関する情報も含有
今回アップロードされたデータには、通常の個人情報だけでなく、健康状態に関する要配慮個人情報も含まれていた。具体的には、特定保健指導の支援形態として、積極的支援、動機付け支援、重症化予防のいずれに該当するかを示す情報が対象となっていた。
また、一部の対象者については、高血圧症、糖尿病、脂質異常症のいずれか、または複数に該当することを示す疾患情報も含まれていた。RIZAPは対象データの提供元となる各団体や企業と個別に調整し、対象者への案内を順次進めている。
第三者による閲覧や生成AIの学習利用は確認されず
RIZAPは、生成AIサービスの運営事業者へデータの取り扱いについて照会した。その結果、アップロードした情報が運営事業者以外の第三者に閲覧された可能性はなく、生成AIのモデル学習に利用された可能性もないことを確認したとしている。
サービス運営事業者からは、個人を特定できる情報を含むファイルについては、会話データの学習利用が設定上認められている場合でも、自動的にモデルの訓練には使われないとの回答があった。さらに、アップロード後24時間以内に削除されたファイルも学習には使用されないと説明を受けたという。
運営事業者側の閲覧可能性は引き続き確認へ
RIZAPによると、問題となったデータは事案の発見後、アップロードから24時間以内に削除された。該当するチャット履歴を消去するとともに、学習データとしての利用を停止する設定も行った。このため、入力内容が生成AIを通じて別の利用者への回答として出力される可能性はないと判断している。
一方、生成AIサービスを運営する事業者の役職員などが、対象情報を閲覧可能な状態にあった可能性については確認が続いている。RIZAPは確認結果が判明した段階で、対象となる取引先や利用者へ個別に案内する方針を示している。