RIZAP社員が生成AIへ顧客情報を誤入力｜健保組合は対象210名と公表

画像：AIエージェントナビ編集部

RIZAPグループは2026年9月3日、連結子会社であるRIZAP株式会社の社員が、個人で使っている外部の生成AIサービスに顧客の情報を誤ってアップロードしたと公表し、謝罪しました。特定保健指導の対象者データを集計する作業中に起きたもので、氏名や保険証記号番号のほか、疾患情報などの要配慮個人情報も含まれていました。

委託元であるIHIグループ健康保険組合は前日の9月2日に公表しており、対象を210名としています。本記事では、二つの公表を突き合わせて、何が起きたのか、どこまで確認が済んでいるのかを整理します。

社員が私用の生成AIに保健指導データをアップロード

RIZAPグループの公表によると、事象が起きたのはRIZAP株式会社の健康経営・保険者事業部です。社員が特定保健指導管理システムに関するデータの集計作業をしている最中に、個人で使用している外部の生成AIサービスへ対象データをアップロードしました。故意ではなく誤操作によるもので、委託元である健康保険組合の公表では、社員本人の自己申告によって判明したとされています。

含まれていた個人情報と要配慮個人情報

対象となったのは、2026年1月1日から8月19日までに同システムへ登録された特定保健指導対象者データの一部です。含まれていた個人情報は、保険証記号番号、メールアドレス、氏名、生年月日、性別と、一部の人については住所と電話番号です。あわせて、要配慮個人情報にあたる特定保健指導の支援形態（積極的支援、動機付け支援、重症化予防のいずれか）と、疾患情報（高血圧症、糖尿病、脂質異常症のいずれか、または複数に該当する人のみ）も含まれていました。

サービス名と人数は健保組合の公表で分かった

本件については、委託元であるIHIグループ健康保険組合が9月2日に先行して公表を行っています。両者の発表内容には一部の項目で差異が見られます。RIZAP側の公式発表では、利用したサービスを「当該生成AIサービス」と表現し、具体的な製品名は伏せられています。一方で、IHIグループ健康保険組合の公表では、利用先がOpenAI社であると明記されました。

対象人数と数え方の違い

対象人数についても、RIZAPグループの公表には記載がありません。健康保険組合の公表によって、2024年・2025年・2026年度にRIZAPの特定保健指導を利用した210名が対象だと分かりました。なお、RIZAPグループが示す「2026年1月1日から8月19日に登録されたデータ」と、健康保険組合が示す「2024年度から2026年度の利用者210名」は、数え方の異なる別々の説明です。委託先で起きた事故は、委託元の側が先に、より詳しく公表することがあります。

他の委託元が公表した全体の人数

実際、公表しているのはIHIグループ健康保険組合だけではありません。2026年9月8日時点で確認できた範囲では、全国土木建築国民健康保険組合が、外部生成AIサービスへ入力・参照されたデータを全体で19,996名分と公表し、うち同組合分は1,167名分だとしています。地方職員共済組合も9月4日付で、対象者726名・14支部と公表しました。いずれも入力が行われたのは2026年8月20日としています。

210名はあくまでIHIグループ健康保険組合の分であり、事案全体の規模ではありません。

情報の安全性と今後の対応策

RIZAPグループは、個人情報保護委員会への報告を完了したとしています。健康保険組合の公表によると、RIZAPは当該サービス上のデータを削除したうえで、OpenAI社に対して保管データの削除と学習機能の停止を依頼しました。9月1日には、OpenAI社から当該データはモデルの学習に利用されていないとの回答を得ています。

第三者への漏えい可能性と今後の確認状況

RIZAPグループは、当該事業者以外の第三者に閲覧された可能性はないことを確認したとしています。また、運営事業者から、アップロード後24時間以内に削除されたファイルはモデルの学習に使用されないとの回答を得ており、実際に24時間以内に削除済みであることから、学習に利用された可能性はないと判断しています。一方で、当該事業者の役職員などが閲覧できる状態にあったかどうかは、現在も確認中です。対象者へは、RIZAPから9月4日以降に個別メールで順次連絡されるとしています。

組織的な再発防止策の検討

再発防止に向けて、RIZAPは3つの柱で対策を強化します。第一に、許諾していない生成AIサービスの業務利用を禁止し、従業員への教育を徹底する人的措置です。第二に、アクセス権限の厳格化や利用環境の点検・見直しといった技術的措置です。第三に、従来のISMS（情報セキュリティマネジメントシステム）に加え、AIマネジメントシステム（AIMS）の導入を検討する組織的措置です。AIマネジメントシステムについては、導入を決めたのではなく検討する段階だと記載されています。

まとめ

• RIZAPグループは2026年9月3日、子会社の社員が私用の外部生成AIサービスへ顧客情報を誤ってアップロードしたと公表し、謝罪した。
• 対象は2026年1月1日から8月19日に特定保健指導管理システムへ登録されたデータの一部で、疾患情報などの要配慮個人情報も含まれていた。
• 委託元のIHIグループ健康保険組合は9月2日に公表し、対象を210名、運営事業者をOpenAI社と明記した。
• 第三者による閲覧と学習利用の可能性は否定されたが、運営事業者の役職員が閲覧できる状態だったかは確認中。
• 再発防止策は、許諾していない生成AIの業務利用禁止と教育、アクセス権限と利用環境の点検、AIMS導入の検討の3点。

関連記事：【比較検証】シャドーAI対策ツール6選｜社内のAI利用を可視化する方法

出典：IHIグループ健康保険組合／RIZAPグループ／全国土木建築国民健康保険組合／地方職員共済組合