IHIグループ健保、RIZAP委託業務が210名分の個人情報を生成AIに参照 OpenAI「モデル学習には未利用」、第三者漏えいは未確認|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月04日更新日時: 2026年09月04日

IHIグループ健保、RIZAP委託業務で210名分の個人情報を生成AIに参照　OpenAI「モデル学習には未利用」、第三者漏えいは未確認

IHIグループ健康保険組合は2026年9月2日、特定保健指導業務を委託しているRIZAP株式会社で、従業員が対象者の個人情報を生成AIに参照させた事案が発生したと公表しました。

健康保険組合は8月24日にRIZAPから報告を受けました。

RIZAPの特定保健指導運営事務局で、従業員がデータ抽出業務を行う際、2024年度、2025年度、2026年度にRIZAPの特定保健指導を利用した210名分の個人情報を生成AIへ参照させたことが、当該従業員の自己申告で判明したとしています。

事案発覚後、RIZAPは生成AIサービス上のデータ削除、OpenAIへの保管データ削除、学習機能の停止を依頼しました。

9月1日、OpenAIから「当該データはモデルの学習に利用されていない」との回答を得ています。

一方、IHIグループ健康保険組合は、現時点で第三者への情報漏えい等の事実は確認されていないとする一方、OpenAIによる閲覧の有無については確認を継続しています。

今回の公表で注意したいのは、「モデルの学習に利用されていない」という回答が、「データがOpenAIへ送信されていない」「OpenAI側に保存されていなかった」「OpenAIの担当者が閲覧できない状態だった」という意味ではない点です。

また、公表文からはRIZAP従業員が利用したOpenAI製品や契約プラン、データ設定は確認できません。そのため、「有料プランを利用していた」「最初から学習OFFだった」と断定することはできません。

RIZAPの生成AI利用事案のサマリー

IHIグループ健康保険組合は2026年9月2日、RIZAP委託業務での生成AI利用事案を公表しました。
IHIグループ健康保険組合は8月24日にRIZAPから報告を受けました。
RIZAPの特定保健指導運営事務局の従業員が、データ抽出業務の際に個人情報を生成AIへ参照させました。
事案は当該従業員の自己申告により判明しました。
対象は2024年度、2025年度、2026年度にRIZAPの特定保健指導を利用した210名です。
入力・参照させた具体的な個人情報項目は公表されていません。
RIZAPはサービス上のデータ削除を実施しました。
OpenAIへ保管データの削除と学習機能の停止を依頼しました。
9月1日、OpenAIは「当該データはモデルの学習に利用されていない」と回答しました。
第三者への情報漏えい等の事実は現時点で確認されていません。
OpenAIによる閲覧の有無は確認継続中です。
対象者にはRIZAPから9月4日以降、個別メールで通知予定です。
IHIグループ健康保険組合はRIZAPへ原因究明と再発防止策の徹底を指示しています。
健康保険組合側も委託先の情報管理体制と業務手順を見直すとしています。
利用したOpenAI製品、ChatGPTのプラン、API利用の有無は公表されていません。
「モデル学習に未利用」だけでは、データ非保存や人による閲覧不可までは確認できません。

項目	内容
公表日	2026年9月2日
委託元	IHIグループ健康保険組合
委託先	RIZAP株式会社
対象業務	特定保健指導
事案	従業員が個人情報を生成AIに参照させた
判明経緯	当該従業員の自己申告
対象者	210名
対象年度	2024年度、2025年度、2026年度
個人情報項目	詳細は公表されていません
OpenAIの回答	当該データはモデル学習に利用されていない
第三者への漏えい	現時点で確認されていません
OpenAIによる閲覧	確認継続中
データ削除	RIZAPがサービス上で削除、OpenAIへ保管データ削除を依頼
対象者への通知	9月4日から順次メール予定
個人情報保護委員会への報告	公表文では確認できませんでした

RIZAP従業員が210名分の個人情報を生成AIへ参照

IHIグループ健康保険組合によると、問題が起きたのはRIZAPの特定保健指導運営事務局です。

従業員がデータ抽出業務を行う際、特定保健指導対象者の個人情報を生成AIに参照させました。

対象は2024年度から2026年度までにRIZAPの特定保健指導を利用した210名です。

どのような方法で生成AIへ参照させたのかは公表されていません。

例えば、プロンプトへ直接貼り付けたのか、CSVやExcel等のファイルをアップロードしたのか、APIを経由したのかといった具体的な利用形態は確認できません。

利用したOpenAI製品名や契約プランについても公表されていません。

入力された個人情報の具体的な項目は非公表

IHIグループ健康保険組合の公表では、「特定保健指導対象者の個人情報」とされています。

一方、氏名、生年月日、健診結果、体重、BMI、腹囲、血圧、血液検査値、保健指導内容、メールアドレス、健康保険の資格情報など、具体的に何が生成AIへ参照されたのかは明らかにされていません。

有料プランだったから学習されなかったのか

公表内容だけでは判断できません。

「有料プラン＝学習に使われない」という理解も正確ではありません。

OpenAIでは2026年9月時点で、製品によってデータの扱いが異なります。

利用形態	モデル学習への利用
ChatGPT Business	デフォルトで利用しない
ChatGPT Enterprise	デフォルトで利用しない
ChatGPT Edu	デフォルトで利用しない
OpenAI API	デフォルトで利用しない
ChatGPT Freeの個人ワークスペース	原則利用対象、設定でOFF可能
ChatGPT Plusの個人ワークスペース	原則利用対象、設定でOFF可能
ChatGPT Proの個人ワークスペース	原則利用対象、設定でOFF可能
Temporary Chat	モデル学習に利用しない

ChatGPT PlusやProは有料プランですが、個人ワークスペースでは「Improve the model for everyone」が有効であれば、会話がモデル改善に利用される場合があります。

利用者はData Controlsから同設定をOFFにできます。

一方、ChatGPT Business、EnterpriseやAPIでは、組織の入力・出力はデフォルトでモデル学習に利用されません。

したがって、今回OpenAIが「学習に利用されていない」と回答した理由としては、BusinessやEnterpriseを利用していた、APIを利用していた、個人向けChatGPTで学習利用をOFFにしていた、Temporary Chatを利用していた、といった複数の可能性があります。

しかし、RIZAPやIHIグループ健康保険組合は具体的な利用形態を公表していません。

学習OFFでもデータが保存される場合がある

「学習OFF」と「保存しない」は同じ機能ではありません。

OpenAIの個人向けChatGPTでは、「Improve the model for everyone」をOFFにしても、通常のチャットは履歴に残ります。

モデル学習には使用されませんが、利用者がチャットを削除するまでサービス上で保持される場合があります。

削除したチャットは、原則としてOpenAIのシステムから30日以内に永久削除される予定とされています。ただし、法的義務やセキュリティ上の理由などによる例外があります。

Temporary Chatは学習には利用されず、履歴にも表示されませんが、安全目的で最大30日間保持される場合があります。

APIについても、通常は入力・出力をモデル学習に利用しない一方、利用するAPIや設定によってデータ保持が発生します。

一定の条件を満たすAPI利用者向けにはZero Data Retentionが提供されており、対象構成ではリクエスト処理後にプロンプトやレスポンスを保持しない運用も可能です。

RIZAPはデータ削除と学習停止を依頼

事案判明後、RIZAPは当該生成AIサービス上のデータを削除しOpenAIに対し、保管データの削除と学習機能の停止を依頼しています。

9月1日にOpenAIから学習利用はなかったとの回答を得ています。

特定保健指導では要配慮個人情報を扱う可能性

個人情報保護委員会は、健康保険組合が取り扱う健康診断の結果や、健康診断後に行われた改善指導等の情報について、要配慮個人情報に該当するとしています。

また、医療・介護分野のガイダンスでも、健康診断の結果と保健指導の内容は要配慮個人情報の例として挙げられています。

要配慮個人情報を含む個人データについて漏えい等が発生した、または発生したおそれがある場合、一定の条件の下で個人情報保護委員会への報告や本人通知が必要になります。

今回、IHIグループ健康保険組合は対象210名へRIZAPから個別連絡するとしています。

一方、今回生成AIへ参照されたデータに健診結果や保健指導内容が実際に含まれていたかは公表されていません。

また、個人情報保護委員会への報告状況についても9月2日のリリースでは確認できませんでした。

9月4日から対象者へ個別連絡

IHIグループ健康保険組合によると、今回の対象となる210名にはRIZAPから個別メールで連絡します。

メールは9月4日から順次送信する予定です。

IHIグループ健康保険組合は、RIZAPに対して原因究明と再発防止策の徹底を指示するとともに、委託先への情報管理体制や業務手順を見直すとしています。

現時点では、生成AIを利用した従業員の権限、生成AI利用に関する社内規程、RIZAPが承認した生成AIサービスだったか、個人アカウントか業務アカウントか、利用プラン、ファイルアップロードかプロンプト入力か、210名分を一度に処理したのか、DLP等で検知できなかった理由などは公表されていません。

委託元には「委託先のAI利用」を確認する必要

今回の事案では、個人情報を生成AIへ参照させたのは委託先であるRIZAPの従業員でした。

これは委託元のAIガバナンスに新たな課題を示しています。

自社従業員のChatGPT利用を制限していても、個人データを渡した業務委託先が生成AIへ入力すれば、自社の管理外でデータが外部サービスへ送信される可能性があります。

今後の委託契約では、生成AI利用の可否、利用可能なAIサービス、個人アカウント利用の禁止、Business／Enterprise等の組織管理された環境の利用、モデル学習への利用禁止、保存期間、データ所在地、ファイルアップロード制御、サブプロセッサー、インシデント報告、AI利用ログの保存などを明文化する必要があります。

「委託先が適切に情報管理すること」という抽象的な条項だけでは、生成AI利用の扱いが曖昧になる可能性があります。

セキュリティ対策Labでは、生成AI利用時の情報漏えいリスクを以下の記事で整理しています。

AIや生成AIの情報漏洩事例を解説

また、生成AI利用ポリシーの策定については以下の資料も公開しています。

生成AI利用ポリシー策定ガイドテンプレート付き〜ChatGPT・Claude・Copilot導入企業向け〜

情報システム・個人情報保護部門への示唆

今回の事案で最も重要なのは、「生成AIへ送信したか」だけではなく、どの契約・設定・データフローで利用したのかを把握できることです。

企業でChatGPTなどを利用する場合は、個人用Free／Plus／Proを業務利用してよいか、Business／Enterpriseなど管理されたワークスペースを必須とするか、API利用時のデータ保持設定、「Improve the model for everyone」の設定、個人情報・要配慮個人情報の入力禁止、DLP／CASBによるアップロード制御、利用ログの監査、シャドーAIの検知などを明確にする必要があります。

特に覚えておきたいのは、