RIZAP、外部生成AIサービスへの顧客情報アップロードを謝罪「当該事業者以外の第三者に閲覧された可能性、および、生成AIの学習に利用された可能性はないことを確認」

RIZAPは3日、公式サイトを更新し、外部生成AIサービスへ誤って顧客情報アップロードする事案が発生したことを報告し、謝罪した。 同社は、「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」と題した文書を発表。「このたび、RIZAP株式会社（以下「当社」）の健康経営・保険者事業部におきまして、社員が個人で使用している外部の生成AIサービスに、お客様の情報を誤ってアップロードする事象が発生いたしました」と報告した。 続けて「当該生成AIサービスを運営する事業者には即時照会を行い、アップロードしたお客様の情報については、当該事業者以外の第三者に閲覧された可能性、および、生成AIの学習に利用された可能性はないことを確認しております」とし、「また、当該生成AIサービスを運営する事業者の役職員等がお客様の情報を閲覧可能な状態にあった可能性については現在も確認を行っており、今後確認ができ次第、対象となる取引先様およびお客様へ個別にご案内いたします」と、対応を伝えた。 そして「対象となるお客様をはじめ、関係者の皆様に多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。当社では本件の発生を重く受け止め、再発防止に向けて全社を挙げて取り組んでまいります」と謝罪した。 発生の概要などは以下の通り。■報告全文▼1. 発生の概要当社の社員が、特定保健指導管理システムに関するデータ集計作業中に、誤って個人で使用している外部の生成AIサービスに対象データをアップロードいたしました。【対象データ】2026年1月1日～2026年8月19日の期間に特定保健指導管理システムに登録された特定保健指導対象者データの一部個人情報保険証記号番号、メールアドレス、氏名、生年月日、性別、住所（一部の方のみ）、電話番号（一部の方のみ）要配慮個人情報特定保健指導の支援形態（積極的支援、動機付け支援、重症化予防のいずれか）、疾患情報（高血圧症、糖尿病、脂質異常症のいずれか又は複数に該当する方のみ）▼2. 現在の対応状況行政機関への報告：個人情報保護委員会への報告を完了しております。対象となるお客様へのご連絡：対象データの提供元である各団体・企業様と個別調整のうえ、当社または各提供元より対象者様へ順次ご連絡を実施しております。二次被害防止措置：事象の発見直後、当該作業者により該当チャット履歴の削除および学習データの利用停止設定を実施いたしました。生成AI事業者におけるデータ取扱状況の確認：入力されたデータについて、当該生成AIサービスを運営する事業者へ照会を行い、以下の回答を得ております。個人を特定できる情報が含まれるファイルについては、アカウント側で会話データの学習利用が許可されている場合であっても、自動システムによりモデルのトレーニングに使用されることはない。アップロード後24時間以内にファイルが削除された場合も、モデルのトレーニングには使用されない。本件においては事象発生直後（アップロードから24時間以内）に該当データを削除済みであるため、上記回答に照らしお客様の情報が生成AIの学習に利用された可能性はなく、従いまして、仮に第三者が当該生成AIサービスを通じて関連する質問をした場合に個人情報及びそれに付随する情報等が出力される可能性はないと判断しております。▼3. 今後の対応および再発防止策当社およびRIZAPでは、本件を深刻に受け止め、以下の観点から再発防止策を徹底してまいります。人的措置（ルールの再徹底と教育）当社では、今回の事象を受け、社内で許諾されていない生成AIサービス（外部への情報提供が許可されていない外部サービス等）の業務利用禁止を改めて全社へ周知徹底しております。また、今後も個人情報保護および生成AIの適切な利用に関する教育を実施し、コンプライアンス意識の向上を図ってまいります。技術的措置（アクセス制限と管理強化）アクセス権限および利用環境の点検・見直しを行うことで、不正なデータ持ち出しや許可のない外部サービス利用による漏えいを防ぐ管理体制を整備いたします。組織的措置（管理体制の強化）情報セキュリティマネジメントシステム(ISMS)に加え、AIマネジメントシステム(AIMS)の導入を検討するなど、グループ全体におけるガバナンスおよび情報管理体制の強化を推進いたします。