顧客データ誤送信の発覚後に削除措置を速やかに実施
RIZAPグループは9月3日、子会社の社員が個人で利用していた外部の生成AIサービスへ顧客情報を誤ってアップロードした問題を受け、対応状況と再発防止策を公表した。事案の発見後、担当者は対象となったチャット履歴を削除し、入力内容を学習データとして利用しない設定に変更した。
誤送信が起きたのは、特定保健指導管理システムに関するデータ集計の作業中だった。会社側は今回の問題を深刻に受け止め、情報の外部送信を防ぐための人的、技術的、組織的な対策を進めるとしている。
個人情報保護委員会への報告と対象者への連絡を開始
RIZAPは今回の事案について、個人情報保護委員会への報告をすでに完了した。対象となったデータの提供元である団体や企業とも個別に調整し、RIZAPまたは各提供元を通じて対象者への連絡を順次進めている。
送信された情報は、2026年1月1日から8月19日に登録された特定保健指導対象者の一部データだった。氏名、生年月日、メールアドレスなどに加え、一部では住所や電話番号、さらに高血圧症や糖尿病、脂質異常症に関する情報も含まれていた。
生成AI運営事業者への照会で学習利用なしを確認
RIZAPは外部生成AIサービスを運営する事業者に対し、アップロードされたデータの取り扱いについて照会した。その結果、情報が運営事業者以外の第三者に閲覧された可能性はなく、生成AIのモデルを訓練する目的でも使用されていないことを確認したとしている。
運営事業者からは、個人を特定できる情報が含まれるファイルは、自動システムによってモデルのトレーニングには利用されないとの説明があった。今回のデータについてもアップロードから24時間以内に削除されており、生成AIの学習に使われた可能性はないとRIZAPは判断している。
未許可の生成AI利用禁止と社員教育を全社で徹底
再発防止の人的措置として、RIZAPは会社が認めていない生成AIサービスを業務で利用しないよう、改めてグループ内で周知する。外部への情報提供が認められていないサービスについても、業務上の使用禁止を徹底する方針だ。
今後は個人情報保護に関する教育に加え、生成AIを適切に使用するための研修も実施する。社員のコンプライアンス意識を高め、業務データを許可されていない外部環境へ送信する事態の防止につなげるとしている。
アクセス管理とAIガバナンスの仕組みを強化へ
技術面では、アクセス権限や業務環境を点検し、管理方法を見直す。不適切なデータの持ち出しや、許可されていない外部サービスの利用によって情報が流出することを防ぐ管理体制を整備する。
組織面では、現在の情報セキュリティマネジメントシステムに加え、AIマネジメントシステムの導入も検討する。生成AIを含む新たな技術の利用を想定した統制を強化し、グループ全体の情報管理とガバナンス体制を見直す方針だ。なお、生成AIサービス運営事業者の役職員などが情報を閲覧できる状態だった可能性については、引き続き確認が進められている。
