RIZAPは、健康管理・保険事務を担当する部署の社員が、特定保健指導管理システムのデータを集計する作業の中で、個人利用していた外部の生成AIサービスに顧客の個人情報をアップロードしていたことを明らかにした。対象となったのは氏名、生年月日、性別、保険証の記号番号、メールアドレスのほか、一部顧客については住所・電話番号も含まれ、さらに高血圧や糖尿病といった疾患に関する情報も含まれていたという。
同社はAIサービスの運営事業者に確認し、アップロードされた情報が第三者に閲覧されていないこと、AIモデルの学習に利用されていないことを確認したとしている。一方で、AIサービス運営事業者側のスタッフが情報にアクセスできた可能性があるかどうかについては、引き続き確認を進めているという。RIZAPはこの件を個人情報保護委員会にも報告した。
再発防止策として、社内で承認されていない生成AIサービスの利用を禁止する既存ルールの周知を改めて徹底するとしている。健康情報を含む機微な個人データを扱う部署で、業務効率化を目的に社員が独自に外部の生成AIサービスを使ってしまう、いわゆる「シャドーAI」のリスクが顕在化した事例といえる。
出典: ITmedia AI+
