【東京・江東／IHIグループ健保】RIZAP従業員が個人情報を生成AIへ　210人が漏えい可能性対象、第三者漏えいは現時点で未確認

IHIグループ健康保険組合は9月2日、特定保健指導業務を委託しているRIZAP株式会社で、従業員が対象者の個人情報を外部の生成AIサービスに参照させる事案が発生したと公表した

IHIグループ健保で漏えいの可能性がある対象者は、2024年度から2026年度にRIZAPの特定保健指導を利用した210人

RIZAP側の公表によると、社員がデータ集計作業中、個人で使用していた外部生成AIサービスに対象データを誤ってアップロードしたという

現時点で外部の第三者への情報漏えいは確認されておらず、生成AIのモデル学習にも利用されていないと説明している。一方、生成AIサービスを運営する事業者の役職員らがデータを閲覧できる状態にあった可能性については、9月4日時点でも確認が続いている 

8月24日にRIZAPから報告　9月2日にIHI健保が公表

IHIグループ健康保険組合は東京都江東区豊洲に所在し、2026年度予算時点で被保険者2万4764人、被扶養者2万1927人を抱える健康保険組合だ 

組合によると、RIZAPから今回の事案について報告を受けたのは8月24日

RIZAPの特定保健指導運営事務局で、従業員がデータ抽出作業を行った際、対象者の個人情報を生成AIに参照させていたことが、従業員本人の自己申告によって判明したとしている

IHIグループ健保は9月2日に公式サイトで事案を公表し、対象となる加入者には9月4日からRIZAPが順次、個別メールを送る予定としている 

RIZAPは「個人で使用している外部生成AIサービスに誤ってアップロード」

IHIグループ健保の発表は「生成AIに参照させた」と表現しているが、RIZAP自身が9月3日に公表した内容はさらに具体的だ

RIZAPによると、健康経営・保険者事業部の社員が、特定保健指導管理システムのデータ集計作業中、個人で使用している外部生成AIサービスへ対象データを誤ってアップロードしたという

対象データは2026年1月1日から8月19日までに特定保健指導管理システムへ登録された対象者データの一部としている 

ここで注意が必要なのは、RIZAPの発表はIHIグループ健保だけではなく、今回の事案全体について説明している点だ

IHIグループ健保は自らの加入者について210人を対象としている一方、RIZAPは事案全体の人数を公式発表では明らかにしていない 

氏名や保険証記号番号に加え「疾患情報」も

RIZAPが公表した今回の対象データには、一般的な連絡先情報だけではなく、健康状態に関する情報も含まれていた

RIZAPによると、対象データには保険証記号番号、メールアドレス、氏名、生年月日、性別のほか、一部の対象者について住所や電話番号が含まれていた

さらに要配慮個人情報として、特定保健指導の支援形態や、高血圧症、糖尿病、脂質異常症に関する疾患情報も含まれていたとしている 

ただし、これらすべての項目がIHIグループ健保の210人全員について生成AIへアップロードされたとまでは公表されていない

IHIグループ健保側の発表では、210人について「個人情報」としており、その具体的な項目ごとの内訳は示していない 

OpenAI「モデルの学習には利用されていない」

IHIグループ健保は、事案発覚後にRIZAPが生成AIサービス上のデータを削除し、OpenAIに対して保管データの削除や学習機能の停止を依頼したと説明している

9月1日にはOpenAIから、今回のデータについてモデルの学習には利用されていないとの回答を得たとしている 

RIZAPも9月3日の公表で、対象データはアップロードから24時間以内に削除され、生成AI事業者への照会結果からモデルのトレーニングに利用された可能性はないと説明した 

ここで区別しなければならないのは、「AIの学習に使われていない」ことと、「誰にも閲覧されていない」ことは同じではないという点だ

生成AI事業者側の閲覧可能性は調査継続

IHIグループ健保は、現時点で第三者への情報漏えい等の事実は確認されていないとしている

その一方で、OpenAI側による閲覧の有無については引き続き確認中としている 

RIZAPの説明も同様で、生成AIサービス事業者以外の第三者が閲覧した可能性はないことを確認した一方、サービス運営事業者の役職員などがデータを閲覧可能な状態にあった可能性については現在も確認している 

つまり9月4日時点で確認されているのは、

モデル学習への利用なし
外部第三者への漏えいは確認されず

という点までであり、サービス提供事業者内部を含めたアクセス状況の確認は完了していない

問われる「個人利用の生成AI」を業務で使えた管理体制

今回の事案で見過ごせないのが、RIZAP社員が利用したのが、会社の管理下にある業務専用AIではなく、社員が個人で使用していた外部生成AIサービスだったという点だ

RIZAPは再発防止策として、社内で許諾されていない生成AIサービスの業務利用禁止をあらためて全社に周知するとしている

さらにアクセス権限や利用環境の点検、情報セキュリティマネジメントシステムに加えてAIマネジメントシステムの導入も検討するとしている 

ここで会社側に問われるのは、一人の社員が誤操作をしたという結果だけではない

なぜ特定保健指導という健康情報を扱う業務で、個人利用の外部生成AIへデータを投入できる状態だったのか

技術的なアクセス制御はあったのか

生成AI利用に関する社内ルールはどこまで現場に徹底されていたのか

再発防止を考えるなら、個人の注意だけではなく、組織としての情報管理が検証される必要がある

個人情報保護委員会には報告済み

RIZAPは今回の事案について、個人情報保護委員会への報告を完了したとしている 

個人情報保護委員会は、健康保険組合が委託先に個人データを取り扱わせ、その委託先で漏えい等が発生した場合、健保側も速やかに報告を受け、原因調査や必要に応じた改善要求などを行う必要があるとしている

一定の漏えい等事案では、原則として委託元の健康保険組合と委託先双方が報告や本人通知の義務を負う場合がある 

IHIグループ健保は今回、RIZAPに原因究明と再発防止策の徹底を指示するとともに、委託先に対する情報管理体制や業務手順を見直すとしている 

個人情報保護委員会は以前から生成AI利用に注意喚起

企業による生成AI利用を巡っては、個人情報保護委員会が2023年から注意を呼びかけている

同委員会は生成AIサービスの普及を受け、個人情報取扱事業者や行政機関、一般利用者に対し、入力する個人情報の取り扱いや、生成AI提供事業者側でのデータ利用について確認するよう注意喚起を実施している

ChatGPTを開発・提供するOpenAIに対しても、個人情報の取り扱いを巡る注意喚起を行っている 

今回の事案は、生成AIそのものの性能や安全性よりも、企業側がどの情報を、誰に、どの環境で入力させるのかという運用管理の問題を改めて浮き彫りにした

IHIグループ健保は個人情報の「厳重なセキュリティ対策」を掲げる

IHIグループ健康保険組合は、自らの個人情報保護方針で、漏えい、破壊、紛失、改ざん、誤用などを防止するための厳重なセキュリティ対策や、個人情報データベースへのアクセス制限、役職員への教育などを掲げている 

今回は、その個人情報を取り扱う委託先で事案が起きた

委託したから責任がなくなるわけではない

個人情報保護委員会も、委託先で事故が起きた場合には健保側に原因調査や改善要求などの対応が必要としている

今後はRIZAP側の再発防止策だけでなく、IHIグループ健保が委託先の生成AI利用を事前にどのように管理・監督していたのかも確認すべき点となる 

「第三者漏えいなし」で終わらせていいのか

現時点で第三者への漏えいが確認されていないことは、対象者にとって重要な情報だ

一方で、今回アップロードされたデータには、RIZAPの発表上、氏名や連絡先だけではなく疾患情報などの要配慮個人情報も含まれている

そして問題が明らかになったきっかけは、システムによる自動検知ではなく従業員本人の自己申告だったとIHIグループ健保は説明している 

仮に本人が申告しなければ、会社側がいつ把握できたのか

個人利用の生成AIへのデータ投入を技術的に検知する仕組みはあったのか

今回以外に同様の利用がなかったことを、どのように確認したのか

こうした点は、再発防止策の実効性を判断するうえで重要になる

9月4日から210人へ個別メール

IHIグループ健康保険組合によると、対象となる210人にはRIZAPから個別にメールを送り、9月4日から順次配信する予定としている 

RIZAP側も、対象データを提供した企業や健康保険組合などと調整し、RIZAPまたは各提供元から対象者へ順次連絡するとしている 

対象者には、どの個人情報が実際に含まれていたのか、いつ生成AIへアップロードされ、いつ削除されたのか、サービス事業者内部で閲覧可能だった期間があったのかなど、個別に分かる情報を具体的に示すことが求められる

Q&A｜IHIグループ健保とRIZAPの生成AI事案

情報提供募集

各種ご相談、情報提供、現地写真・動画、関係者からの証言などをお持ちの方は、メール（info@108takapi.jp）、各種SNSのDM、または公式LINEまでお寄せください。週刊TAKAPI編集部が内容を確認のうえ、取材・報道の参考とさせていただきます。