RIZAP、従業員が個人用AIに顧客情報を誤アップロードか 氏名や疾患情報など要配慮個人情報を含む
パーソナルジム運営を手掛けるRIZAPは、同社の従業員が個人で利用する外部の生成AIサービスに対し、顧客の個人情報を誤ってアップロードしたとして謝罪しました。このデータは、国が生活習慣病予防のために実施する「特定保健指導」の管理システムから集計されたものです。
漏洩したデータには、特定保健指導の対象者データの一部が含まれており、氏名、生年月日、性別、保険証記号番号、メールアドレスといった個人を特定できる情報に加え、支援形態や高血圧症、糖尿病などの疾患情報といった「要配慮個人情報」も含まれていました。データは2024年1月1日から8月19日までの期間に登録されたものです。
同社は、事態を受け個人情報保護委員会への報告を完了し、対象者への順次連絡を行うとしています。AI運営事業者への照会を行った結果、個人を特定できる情報を含むファイルはモデルのトレーニングには使われないとの回答を得ており、またアップロードから24時間以内にデータを削除したため、学習利用された可能性はないと判断しています。しかし、AIサービスの運営事業者の役職員が該当データを閲覧可能だった可能性については、現在も確認作業を進めています。
RIZAPは再発防止策として、社内での未許諾生成AIサービスの利用を改めて禁止し、情報セキュリティ教育の継続に加え、AIマネジメントシステム（AIMS）の導入も検討すると発表しました。今回の事案は、AI技術の利便性の高まりと、機密性の高い個人情報保護のバランスという、現代の企業が直面する課題を浮き彫りにしています。
背景
近年、生成AIの普及に伴い、企業や個人が大量のデータをAIサービスにアップロードするケースが増加しています。しかし、これらの外部サービス利用は、個人情報保護の観点から大きなリスクを伴います。本件は、機密性の高い医療・健康データを扱う企業における、AI利用ガイドラインの曖昧さから生じた事例です。
重要用語解説
- 特定保健指導: 生活習慣病予防を目的として、国が実施する指導プログラムです。対象者の生活習慣や健康状態を把握し、適切な生活改善を促すための重要な健康管理システムです。
- 要配慮個人情報: 人種、信条、病歴、犯罪歴など、その漏洩や利用が個人に大きな不利益をもたらす可能性のある機微な情報のこと。特に厳重な取り扱いが求められます。
- 生成AI: テキスト、画像、音声など、学習したデータに基づいて新しいコンテンツを生成する人工知能技術の総称です。高い利便性を持つ一方、情報漏洩リスクも指摘されています。
今後の影響
本件は、企業における生成AI利用のガイドライン策定の重要性を再認識させました。今後、医療・健康データを扱う企業は、外部AIサービス利用の徹底的な制限や、AIマネジメントシステム（AIMS）の導入など、より厳格な情報管理体制の構築が求められると予想されます。信頼回復が最大の課題です。