RIZAPが顧客の個人情報を私用生成AIにアップロード｜210名分の経緯・シャドーAIのリスクと企業が今すぐやるべき対策【2026年9月】

RIZAP株式会社の社員が、業務で扱う顧客の個人情報および疾患情報を含む要配慮個人情報を、個人で使用していた外部の生成AIサービスに誤ってアップロードしていたことが、2026年9月3日に公表されました。RIZAPは生成AIサービス提供事業者への照会により「モデルの学習には使用されていない」と説明していますが、事業者側の役職員が当該データを閲覧できる状態にあったかどうかは、現時点（2026年9月5日）でも確認中です。

本記事は、事案の経緯と漏えいした情報の範囲、「学習に使われていない」という説明の射程、個人情報保護法上の評価、そして企業が今すぐ取るべき対策と初動手順までを、公式発表と一次情報に基づいて整理したものです。情報システム部門・セキュリティ担当者・人事総務・健保組合や委託元の担当者、そして「うちの社員も同じことをしているのでは」と不安を感じている経営層に向けた内容です。

なお内容は、RIZAP株式会社・RIZAPグループ・IHIグループ健康保険組合の公表内容、個人情報保護委員会の公開資料、OpenAIの公開ヘルプドキュメントを一次情報として構成しています。公表されていない事項は「未公表」「確認中」と明示し、推測で補っていません。

事案の全体像｜何が起きたのか

出典: RIZAPグループ 公式お知らせ

RIZAPの社員が業務データを私用の生成AIにアップロードし、そこには疾患情報などの要配慮個人情報が含まれていた。しかも発覚のきっかけは監視システムの検知ではなく、本人の自己申告だった——これが事案の骨格です。

出典: RIZAP法人 公式お知らせ／RIZAPグループ 公式お知らせ／IHIグループ健康保険組合

「210名」の数字の出所には注意が必要

報道の多くが「210名」と伝えていますが、この数字はRIZAPの公式リリースには記載されていません。RIZAPのお知らせ本文は対象件数を明記しておらず、ITmediaも「件数は未公開」と報じています。210名は、業務委託元であるIHIグループ健康保険組合が自組合の加入者について公表した数字です。

つまり現時点で確定しているのは「IHI健保の加入者210名が対象」という事実までであり、他の健保組合や法人顧客の加入者が対象に含まれるかどうかは公表されていません。RIZAPは特定保健指導プログラムを2023年7月の提供開始以降、累計5万人・500団体超に提供したとしており（RIZAP法人サイト）、続報で対象範囲が変わる可能性は否定できません。

なぜRIZAPが健康保険組合のデータを扱っていたのか

特定保健指導は、メタボリックシンドローム該当者等に対して国の制度として実施される保健事業で、実施主体は健康保険組合などの保険者です。RIZAPは「RIZAP 特定保健指導プログラム」として、健保組合等から業務委託を受けてこの指導を実施しています。

したがって本件は、保険者（委託元）→ RIZAP（委託先）という委託関係の中で、委託先の従業員によって発生した漏えい事案という構造を持ちます。この構造により、委託元である健保組合側の監督責任という論点も同時に発生します。

漏えいした情報の中身｜「個人情報」と「要配慮個人情報」の切り分け

出典: 厚生労働省 特定健康診査・特定保健指導について

RIZAPの公表によれば、アップロードされたデータには通常の個人情報に加えて、個人情報保護法上の「要配慮個人情報」が含まれていました。この区別が、本件の深刻度を決めています。

要配慮個人情報とは、人種・信条・社会的身分・病歴・犯罪歴など、不当な差別や偏見その他の不利益が生じないよう特に配慮を要する情報として個人情報保護法が定めた類型です。病歴や健康診断の結果、保健指導の内容はここに含まれます。

一般の個人情報と決定的に違うのは、取得に原則として本人同意が必要で、漏えい時には人数にかかわらず報告義務が生じる点です。氏名とメールアドレスだけの漏えいと、氏名に「糖尿病」が紐づいた状態の漏えいでは、法的な扱いも当事者が受ける不利益も別物になります。

本件は、氏名・生年月日・保険証記号番号という個人を一意に特定できる情報と、疾患名がセットになった状態でアップロードされています。匿名化やマスキングを経ていない生データだったという点が、事案の重さを規定しています。

時系列｜発覚から公表までの経緯

公表されている範囲で時系列を並べると、社内発覚から公表まで約2週間、事業者からの回答取得を待って公表に踏み切った流れが読み取れます。

注目すべきは、発覚のきっかけが監視システムの検知ではなく、当該従業員本人の自己申告だった点です（IHI健保公表）。裏を返せば、RIZAP側には私用の生成AIサービスへの業務データ送信を技術的に検知・遮断する仕組みが、少なくとも当該端末・当該経路では機能していなかったことになります。この点は自社の体制を点検する際の重要な示唆になります。

「AIの学習には使われていない」は何を意味し、何を意味しないのか

「学習に使われていない」は損害の一部を否定するだけで、漏えいそのものを否定するものではありません。 ここを混同すると、事案の本質を読み違えます。

RIZAPが公表している事業者からの回答

RIZAPは公式リリースで、生成AIサービス提供事業者に照会した結果として、次の回答を得たと説明しています。

• 個人を特定できる情報が含まれるファイルについては、モデルのトレーニングに使用されることはない
• アップロード後24時間以内に削除された場合も、モデルのトレーニングには使用されない
• 本件はアップロードから24時間以内に削除済みであるため、学習に利用された可能性はない
• 当該事業者以外の第三者に閲覧された可能性はない

この説明の読み方（3つの留意点）

留意点1：これは「RIZAPが事業者から得た回答」であり、公開ポリシーの一般則ではありません。

「個人特定情報を含むファイルは学習に使わない」「24時間以内の削除なら学習に使わない」という説明は、RIZAPが照会して得た回答として公表されているものです。OpenAIの公開ヘルプドキュメントに、同一の文言が一般ポリシーとして明記されているわけではありません。自社のケースに「24時間以内に消せばセーフ」というルールとして流用してはいけません。

参考までに、OpenAIが公開している一般的な保持ポリシーは「該当チャット・アカウント・GPTを削除した場合、アップロードされたファイルは原則30日以内にシステムから削除される」というものです（Chat and File Retention Policies in ChatGPT）。24時間という数字とは別の話であり、混同は禁物です。

留意点2：事業者側の役職員が閲覧できる状態だったかは「確認中」です。

ITmediaの報道およびIHI健保の公表によれば、生成AIサービス提供事業者の役職員等が当該情報を閲覧できる状態にあったかどうかは、2026年9月5日時点でも確認が継続しています。つまり「一切漏れていない」と断定できる段階にはありません。

一般に、主要な生成AIサービスは不正利用検知や安全性確保のために、限定的な人的レビューの仕組みを持っています。この点についてはOpenAI Private Safety Processingの仕組みで、ゼロデータ保持を維持したまま悪用検知を行う設計を解説しています。

留意点3：そもそも「学習に使われたか」は法的評価の一部でしかありません。

学習に使われなくても、契約も本人同意もない外部事業者のサーバーに、自社が管理する個人データを送信した事実は残ります。この点は学習利用の有無とは切り離して評価されます。

「学習利用」と「漏えい」は別の問題

法的にどう評価されるのか｜報告義務と個情委の生成AI注意喚起

要配慮個人情報が含まれる漏えいは、1人分でも個人情報保護委員会への報告義務が生じます。 本件はこの類型に該当し、RIZAPが報告を完了し対象者へ個別連絡している対応は、法定義務に沿ったものです。

漏えい等報告・本人通知が必要になる4類型

個人情報保護委員会の資料によれば、報告・通知が必要になるのは以下の場合です。

1. 要配慮個人情報が含まれる漏えい等（1人分でも対象）
2. 不正利用により財産的被害が生じるおそれがある漏えい等（1人でも対象）
3. 不正の目的をもって行われたおそれがある漏えい等（1人でも対象）
4. 1,000人を超える漏えい等

報告期限は、速報が発覚からおおむね3〜5日以内、確報が30日以内（不正目的の場合は60日以内）です。本人への通知も原則として必要になります。

出典: 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」

つまり、「1名分だけだから報告不要」という判断は、病歴や健康情報が絡む場面では成立しません。健保受託・産業保健・人材・医療系BPOなど、業務上どうしても要配慮個人情報に触れる事業者にとって、この閾値の低さは決定的です。

入力行為そのものが法違反になりうる

本件で最も見落とされやすいのは、「学習に使われなければ問題ない」わけではないという点です。

個人情報保護委員会は2023年6月2日に「生成AIサービスの利用に関する注意喚起等について」を公表し、個人情報取扱事業者に対して次の趣旨の注意を示しています。

• 生成AIサービスに個人情報を含むプロンプトを入力する場合、特定した利用目的の達成に必要な範囲内であることを十分に確認する必要がある
• 本人の同意なく個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的（＝学習等）で取り扱われる場合、個人情報保護法違反となる可能性がある
• 生成AIサービス提供事業者側にも、本人の同意なく要配慮個人情報を取得しないよう注意喚起

出典: 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）

ここから読み取るべき実務上の含意は明快です。利用目的の範囲を超えた入力は、その後に削除できたかどうかとは独立して問題になりうる、ということです。「消したから大丈夫」「学習されていないから大丈夫」という社内説明は、法的評価としては不十分です。

委託元にも監督責任が生じる

個人情報保護法上、個人データの取扱いを委託する場合、委託元には委託先に対する必要かつ適切な監督義務があります。本件は健保組合（委託元）→ RIZAP（委託先）という構造ですから、「委託先の従業員の私用AI利用まで統制できていたか」という論点が委託元側にも生じます。

業務委託を出している企業・団体にとっては、他人事ではありません。委託契約に生成AIの利用条件が書かれていない状態で個人データを渡している場合、同種の事故が起きたときに委託元の監督体制も問われます。

これは典型的な「シャドーAI」事故である

シャドーAIとは、情報システム部門が把握・承認していないAIサービスを従業員が業務に使っている状態を指します。 本件は、悪意ある内部不正でも外部からのサイバー攻撃でもなく、業務を早く終わらせようとした社員が、手元で使える便利な道具に手を伸ばした結果として起きています。

なぜ「真面目な社員」ほど起こすのか

構造は毎回よく似ています。

• 手作業では時間のかかる集計・抽出・整形の作業がある
• 会社が公式に配備している生成AI環境がない、または権限申請が面倒・機能が制限されている
• 一方で、私用スマホやブラウザからは高性能な生成AIに数秒でアクセスできる
• 「ちょっと整形してもらうだけ」という認識で、ファイルをそのまま添付する
• 匿名化していないことに気づかないまま、要配慮個人情報が外部に出る

本件も、特定保健指導管理システムからのデータ集計（抽出）作業中に発生しています。生成AIが最も得意とし、かつ人間が最も面倒に感じる作業領域で起きた点は象徴的です。

数字で見るシャドーAIの広がり

出典: IPA（情報処理推進機構）公式サイト

主要な調査結果を並べると、これが特殊事例ではないことがわかります。

シャドーAIの発生メカニズムと検知・統制の具体策は、シャドーAIとは？73%の企業が未対策・情報漏洩リスクと今すぐできる対策で体系的に整理しています。

過去の類似事例との比較

出典: Samsung Newsroom 公式サイト

共有機能に起因する情報露出については、Claudeの共有チャットがGoogle検索に表示された問題で経緯と確認手順を解説しています。「サービス側の仕様を正しく理解していないまま業務データを入れる」という点で、本件と根は同じです。

RIZAPが公表した再発防止策と、AIMS（ISO/IEC 42001）という選択肢

RIZAPは再発防止策として、人的・技術的・組織的の3階層で対応を示しています。

このうち注目したいのは3つ目です。AIMS＝ISO/IEC 42001は、2023年12月に発行されたAIマネジメントシステムの国際規格で、責任あるAIの開発・提供・利用に関する要求事項を定めています。ISMSと同様のリスクベースアプローチとPDCAで、AI利用のガバナンスを組織の仕組みとして回すことを求める規格です。国内ではISMS-ACがAIMS適合性評価制度を運用しています。

参考: ISMS-AC「AIマネジメントシステム（AIMS）適合性評価制度の概要」

ただし現実的な評価も必要です。国内の認証取得はまだ普及初期段階とされ、認証取得には相応の期間とコストがかかります。「AIMSを取れば事故が防げる」わけではなく、規格が求めるのはAI利用の棚卸し・リスク評価・是正のサイクルを組織に定着させることです。

したがって多くの企業にとっての現実解は、認証取得を最終目標に置きつつ、まずは規格が要求している考え方（利用の可視化→リスク評価→統制→教育→監査）を自社の既存ISMS運用に組み込むことになります。規制対応の全体像を把握したい場合は、EU AI規制法（EU AI Act）完全施行ガイドも参考になります。

企業が今すぐやるべき対策｜優先順位つき

優先順位を間違えないことが重要です。「禁止の通達を出す」だけでは、今回と同じ事故は防げません。 禁止だけでは、業務上の不便が解消されないため、従業員は私用端末という見えない経路に逃げるだけだからです。

有効な順に並べると次のようになります。

特に効く2つのポイント

「使える環境を先に配る」ことが最大の対策です。

今回の事案は、社員が「私用の」生成AIを使ったことが起点でした。承認された法人環境が業務で実用に足る水準で提供されていれば、私用アカウントを使う動機は大きく下がります。禁止通達より先に配備を進めるべき理由がここにあります。

申告しやすさが被害を最小化します。

本件は当該従業員の自己申告により発覚し、その結果として発覚直後にチャット履歴の削除と学習利用停止の設定が行われ、事業者への照会につながっています。申告が遅れれば削除も照会も間に合いません。 「申告した者を厳しく処分する」運用は、結果として隠蔽を生み、被害を拡大させます。

生成AI利用に伴うリスクの全体像と対策の考え方は生成AIのセキュリティリスクとは？情報漏洩・プロンプトインジェクション・企業と個人の対策、AIエージェント導入時の統制項目はAIエージェントのセキュリティ対策｜リスクの全体像と実務チェックリストで詳述しています。

個人プランと法人プランでデータの扱いはこう違う

同じサービス名でも、契約形態によってデータの取り扱いは大きく変わります。 「ChatGPTだから危険」ではなく、「個人アカウントだから危険」というのが正確な理解です。

主要3サービスの公開情報を整理すると、次のような構造になります（2026年9月時点。実際の条件は契約時に最新の規約・DPAで必ず確認してください）。

参考: OpenAI「How your data is used to improve model performance」

表から読み取るべき実務上の結論

• 業務データを扱うなら、個人向けプランは選択肢に入れない。 オプトアウト設定は個人の操作に依存し、組織として担保できません。
• 「学習に使われない」と「データが保存されない」は別物です。 法人プランでも一定期間ログが保持されるのが一般的で、ゼロデータ保持は別途の設定・契約が必要な場合があります。法人契約におけるデータ保持仕様の落とし穴はClaude Fable 5 企業導入の落とし穴：30日データ保持・ZDR無効化で具体例を扱っています。
• 料金差より事故コストの方が大きい。 法人プランの費用感はChatGPT料金一覧｜個人プランと法人3層の整理にまとめています。要配慮個人情報の漏えい1件が発生した場合の対応工数と信用毀損を考えれば、判断は明らかです。
• サービスそのものの基礎を押さえたい場合はChatGPTとは？料金プラン・できること・モデル・使い方も合わせてご覧ください。

もう入力してしまったら｜初動の手順

出典: 内閣官房 国家サイバー統括室

すでに機微情報を生成AIに入力してしまった場合、最初の数日の動きが被害の大きさを決めます。 本件でRIZAPが取った対応も、この流れに沿っています。

発覚から48時間以内にやること

1. 入力を止め、当該チャットを保全してからスクリーンショット等で記録する：削除前に「何を入力したか」の証拠を残します。後の件数特定と報告に必須です。
2. 該当チャット・ファイルを削除し、学習利用のオプトアウト設定を行う：個人アカウントの場合、設定画面（Data Controls等）から学習利用を停止します。
3. 上長・情報システム部門・個人情報保護管理者へ即時報告する：ここで隠すと後戻りができません。申告経路が不明な場合は総務・法務へ。
4. 何が・何件・どの区分の情報かを特定する：氏名や連絡先だけか、病歴・健康情報など要配慮個人情報が含まれるかを切り分けます。要配慮個人情報が1件でも含まれれば報告義務が発生します。
5. サービス提供事業者へ削除完了と学習利用有無を照会する：法人契約であればサポート窓口、個人契約でも問い合わせ窓口から照会します。回答は書面で保全します。

3〜30日でやること

1. 個人情報保護委員会へ速報を提出する（発覚からおおむね3〜5日以内）：全容が判明していなくても、判明している範囲で速報を出すのが原則です。
2. 本人への通知を実施する：対象者へ個別に、漏えいした項目・現時点の判断・問い合わせ窓口を通知します。
3. 委託関係がある場合、委託元へ報告する：委託先で発生した場合、委託元の保険者・事業会社への報告が契約上の義務になっているのが通常です。
4. 確報を提出する（30日以内）：原因・件数・再発防止策を確定させて報告します。
5. 再発防止策を実施し、社内へ周知する：通達だけで終わらせず、技術的な遮断と承認済み環境の整備までを含めます。

委託元・委託先それぞれの点検リスト

本件は委託構造の中で起きています。どちらの立場かによって、見るべき項目が変わります。

業務を委託している側（健保組合・事業会社・自治体など）

• 委託契約に生成AIの利用条件が明記されているか（承認済みサービスの限定、個人アカウント利用の禁止）
• 委託先が再委託をしている場合、再委託先まで同じ条件が及んでいるか
• 個人データの提供時に、匿名化・仮名化・項目の最小化を行っているか（そもそも氏名と疾患名を同一ファイルで渡す必要があるか）
• 委託先に対する定期監査の項目にAI利用が含まれているか
• インシデント発生時の報告期限（例：認知後24時間以内）が契約に定められているか
• 委託先の従業員教育の実施状況を確認できているか

業務を受託している側（BPO・受託事業者・コンサル）

• 承認済みAIサービスのリストが明文化され、全従業員に共有されているか
• 業務端末から未承認のAIサービスへのアクセスを技術的に遮断できているか
• 私用端末での業務データ取り扱いが禁止され、実効性が担保されているか
• 顧客データの抽出・集計作業の手順書があり、外部ツールの使用可否が明記されているか
• ログが取得され、定期的にレビューされているか
• 事故時に従業員が申告しやすい窓口と運用があるか
• 委託元への報告フローと期限が整理されているか

医療・健康情報を扱う事業者は特に優先度が高い

健保受託、産業保健、人材・派遣、医療系BPO、調剤・薬局、介護、保険代理店など、業務上どうしても要配慮個人情報に触れる事業者は、報告義務の閾値が「1人」である以上、他業種より対策の優先度が上がります。医療領域でのAI活用と個人情報の取り扱いは医療AIの活用事例｜病院の導入メリット・課題、保険領域の事情は保険・損保のAI活用事例でそれぞれ整理しています。

今すぐ点検すべき企業／優先度を下げてよい企業

すべての企業が同じ緊急度ではありません。 リスクの大きさは「扱う情報の種類」と「承認済みAI環境の有無」でほぼ決まります。

今すぐ点検すべき企業

• 要配慮個人情報を業務で扱っている（健康情報・病歴・保健指導・障害・信条など）
• 他社・他団体から個人データの取扱いを受託している（BPO、健保受託、コールセンター、人材）
• 会社として承認した生成AI環境を配備していないが、社員の生成AI利用を黙認している
• 私用端末・私用ブラウザからの業務アクセスを制限していない
• 未承認のクラウドサービスへの通信を検知する仕組み（SWG／CASB／DLP）がない
• 生成AI利用に関する社内規程が「禁止」の一行だけで、代替手段を示していない

このいずれかに当てはまる場合、今回と同じ事故が起きる条件は揃っています。

相対的に優先度を下げてよい企業

• すでに法人向けAI環境を配備し、個人アカウントの業務利用を技術的に遮断している
• 業務で扱う情報が公開情報・統計情報が中心で、個人データを保有していない
• 閉域網・仮想デスクトップ環境で業務が完結し、外部サービスへの通信経路が限定されている
• ISMS運用の中でAI利用の棚卸しと年次リスクアセスメントが既に回っている

ただし後者に該当する場合でも、「営業部門だけがSaaS経由で外部AIを使っていた」といった例外経路は残りがちです。部門横断での棚卸しは一度実施する価値があります。

現時点で確認中・未公表の論点

本件は進行中の事案です。2026年9月5日時点で、次の点は確定していません。断定的な情報として拡散しないよう注意が必要です。

• 生成AIサービス提供事業者の役職員が当該データを閲覧できる状態にあったか（確認中）
• 対象者が210名（IHI健保加入者分）にとどまるのか、他の委託元にも及ぶのか（RIZAP公式リリースは件数非公表）
• 個人情報保護委員会への報告日、および行政指導・勧告の有無（未公表）
• 損害賠償請求や二次被害の発生有無（未確認）
• 使用された生成AIサービスの具体名（RIZAPは「外部の生成AIサービス」と匿名表記。OpenAI社という記載はIHI健保の公表文に基づく）

よくある質問（FAQ）

Q. 対象者かどうかを確認したい場合はどうすればよいですか。

RIZAPは2026年9月4日以降、対象者へ個別にメールで連絡すると公表しています。心当たりがある場合は、公式に案内されている「RIZAP特定保健指導サポート事務局」（メール: rizaphoujin-tokuho@rizapgroup.com／電話: 0120-791-276、平日9:00〜18:00）が問い合わせ窓口です。

Q. 対象者に実害が出る可能性はありますか。

RIZAPは「事業者以外の第三者に閲覧された可能性はない」と確認したとしています。一方で、事業者役職員の閲覧可否は確認中です。現時点で二次被害の発生は公表されていませんが、保険証記号番号やメールアドレスが含まれるため、当該情報を使った不審な連絡には警戒しておくのが妥当です。

Q. 社員が機微情報を生成AIに入力してしまいました。まず何をすべきですか。

削除前にスクリーンショット等で入力内容を記録し、チャット履歴の削除と学習利用のオプトアウト設定を行ったうえで、直ちに情報システム部門と個人情報保護管理者へ報告してください。要配慮個人情報が1件でも含まれる場合、発覚からおおむね3〜5日以内に個人情報保護委員会へ速報を提出する義務が生じます。

Q. 「AIの学習に使われていない」なら報告しなくてよいのでは？

いいえ。報告義務は学習利用の有無ではなく、漏えい等の事実と情報の類型で判断されます。要配慮個人情報が含まれていれば、1人分でも報告・本人通知の対象です。

Q. 有料プランを使っていれば安全ですか。

個人向けの有料プランと法人向けプランは別物です。一般に法人向けプラン・APIは既定でモデル学習に使用されませんが、個人向けプランは設定に依存します。組織として担保するなら、個人アカウントの業務利用そのものを禁止し、法人契約に移行するのが確実です。

Q. 生成AIの業務利用を全面禁止すれば解決しますか。

現実には逆効果になりやすい選択です。承認された環境がなければ、従業員は私用端末という見えない経路を使います。禁止と同時に、業務で使える承認済みの法人環境を配備することが対策として機能します。

Q. 匿名化すれば生成AIに入力してよいですか。

氏名や連絡先を除いても、生年月日・性別・居住地・疾患名などの組み合わせで個人が特定できる場合があります。特に少人数の集団を扱うデータでは再識別リスクが高くなります。入力前に「この項目は本当に必要か」を削っていく最小化のアプローチが基本です。

Q. AIMS（ISO/IEC 42001）は取得すべきですか。

取得自体が目的化すると費用対効果が合いません。まずは規格が求める考え方（AI利用の棚卸し・リスク評価・統制・教育・監査）を既存のISMS運用に組み込み、取引先から要求される段階で認証取得を検討するのが現実的です。

まとめ

本件から企業が持ち帰るべき要点は4つです。

1. 事故の起点は悪意ではなく業務効率化だった。 データ集計作業中に、社員が私用の生成AIへファイルをアップロードした。承認済みの環境がなければ、どの企業でも起こりうる。
2. 「学習に使われていない」は免罪符にならない。 自社の管理外にデータが出た事実は残り、要配慮個人情報が含まれれば1人分でも報告義務が生じる。個人情報保護委員会は2023年時点で、入力行為そのものが法違反となりうる旨を注意喚起している。
3. 検知の仕組みがなければ、発覚は本人の自己申告頼みになる。 本件も自己申告で判明した。申告しやすい運用と、技術的な検知・遮断の両方が必要になる。
4. 委託構造がある場合、委託元にも監督責任が及ぶ。 契約書に生成AIの利用条件が書かれていなければ、今すぐ見直す対象になる。

最優先で着手すべきは、承認済みの法人AI環境の配備と、要配慮個人情報の取扱ルールの明文化です。この2つがない状態で禁止通達だけを出しても、同じ事故は形を変えて再発します。

自社のシャドーAI対策の現状を把握するところから始めるならシャドーAIとは？73%の企業が未対策・情報漏洩リスクと今すぐできる対策を、生成AI利用に伴うリスク全般を体系的に押さえるなら生成AIのセキュリティリスクとは？情報漏洩・プロンプトインジェクション・企業と個人の対策をご覧ください。

主な出典

• RIZAP法人「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」
• RIZAPグループ「子会社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」
• IHIグループ健康保険組合 NEWS & TOPICS
• 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
• OpenAI Help Center「How your data is used to improve model performance」
• OpenAI Help Center「Chat and File Retention Policies in ChatGPT」
• ISMS-AC「AIマネジメントシステム（AIMS）適合性評価制度の概要」
• ITmedia NEWS「RIZAP社員、私用AIに顧客の個人情報入力」