RIZAP、生成AIにIHI健保の加入者情報を誤アップロード　210名が対象、疾患情報も含む

RIZAP株式会社は2026年9月3日、健康経営・保険者事業部の社員が、個人で使用していた外部の生成AIサービスへ顧客情報を誤ってアップロードしたと公表しました。IHIグループ健康保険組合も9月2日、特定保健指導業務の委託先であるRIZAPから本件の報告を受けたとして、対象者が同健保の加入者210名であることを明らかにしています。

RIZAP側は対象を、2026年1月1日から8月19日までに「特定保健指導管理システム」へ登録された特定保健指導対象者データの一部と説明しています。一方、IHIグループ健康保険組合は、漏えいのおそれがある対象者について、2024・2025・2026年度にRIZAPの特定保健指導を利用した210名と公表しています。

アップロードされた情報には、保険証記号番号、メールアドレス、氏名、生年月日、性別、一部対象者の住所・電話番号に加え、特定保健指導の支援形態、高血圧症、糖尿病、脂質異常症といった要配慮個人情報が含まれていました。

RIZAPは生成AIサービス事業者へ照会し、当該事業者以外の第三者に閲覧された可能性と、生成AIモデルの学習に利用された可能性はないことを確認したとしています。IHIグループ健康保険組合の公表では、この生成AIサービス事業者はOpenAIとされています。

一方、当該生成AIサービスを運営する事業者の役職員等が情報を閲覧可能な状態にあった可能性については、9月3日時点で確認中です。

そのため、本件について「情報漏えいなしが確定した」とまでは言えません。RIZAPは個人情報保護委員会への報告を完了し、対象者への連絡を順次進めています。

今回の事案は、個人利用の生成AIを業務で使う「シャドーAI」が、顧客情報や要配慮個人情報の取り扱いと直結するリスクを示した国内事例です。

RIZAPの生成AI誤アップロード事案のサマリー

• 【確認済み】RIZAPは2026年9月3日、外部生成AIサービスへの顧客情報誤アップロードを公表しました。
• 【確認済み】健康経営・保険者事業部の社員が、個人で利用していた外部生成AIサービスへデータを誤アップロードしました。
• 【確認済み】RIZAP側は対象を2026年1月1日～8月19日に特定保健指導管理システムへ登録された対象者データの一部と説明しています。
• 【確認済み】IHIグループ健康保険組合は、2024・2025・2026年度にRIZAPの特定保健指導を利用した210名が漏えいのおそれの対象と公表しています。
• 【確認済み】IHI健保は、特定保健指導業務をRIZAPへ委託していました。
• 【確認済み】個人情報には保険証記号番号、メールアドレス、氏名、生年月日、性別、一部の住所・電話番号が含まれます。
• 【確認済み】要配慮個人情報として、特定保健指導の支援形態、高血圧症、糖尿病、脂質異常症に関する情報が含まれていました。
• 【確認済み】RIZAPは事象発見直後、該当チャット履歴を削除し、学習データの利用停止設定を行いました。
• 【確認済み】生成AI事業者以外の第三者に閲覧された可能性はないと確認したとしています。
• 【確認済み】生成AIモデルの学習に利用された可能性はないと判断しています。
• 【確認中】生成AIサービス事業者の役職員等が情報を閲覧可能な状態にあった可能性については確認中です。
• 【確認済み】個人情報保護委員会への報告は完了しています。
• 【確認済み】対象者への連絡は、データ提供元の各団体・企業と調整のうえ順次実施しています。
• 【確認済み】IHI健保側の公表では対象者は210名です。
• 【確認済み】IHI健保側の公表では、利用された生成AIサービス事業者はOpenAIです。
• 【確認済み】再発防止として、未許可生成AIの業務利用禁止の再周知、教育、アクセス権限・利用環境の見直しを進めます。
• 【確認済み】ISMSに加え、AIマネジメントシステム（AIMS）の導入も検討します。

項目	内容
公表日	2026年9月3日
組織	RIZAP株式会社
部門	健康経営・保険者事業部
事象	個人利用の外部生成AIサービスへの顧客情報誤アップロード
対象期間	2026年1月1日～8月19日
対象データ	IHIグループ健康保険組合がRIZAPへ委託した特定保健指導対象者データを含む
個人情報	保険証記号番号、メールアドレス、氏名、生年月日、性別、住所（一部）、電話番号（一部）
要配慮個人情報	特定保健指導の支援形態、疾患情報
疾患情報	高血圧症、糖尿病、脂質異常症のいずれかまたは複数
対象件数	IHIグループ健康保険組合の公表では210名
生成AIサービス事業者	IHIグループ健康保険組合の公表ではOpenAI
モデル学習	利用された可能性はないと判断
第三者閲覧	生成AI事業者以外の第三者閲覧可能性はないと確認
事業者役職員等の閲覧	確認中
個人情報保護委員会への報告	完了
対象者への連絡	順次実施
再発防止	生成AI利用ルール再周知、教育、アクセス制御、AIMS導入検討

データ集計作業中に個人利用の生成AIへアップロード

RIZAPによると、社員は「特定保健指導管理システム」に関するデータ集計作業中、個人で利用していた外部生成AIサービスへ対象データを誤ってアップロードしました。

対象データは、2026年1月1日から8月19日までの期間に同システムへ登録された特定保健指導対象者データの一部です。

今回の事案で重要なのは、生成AIへ入力された情報が単なる社内資料ではなく、顧客の個人情報と健康情報を含んでいた点です。

IHIグループ健康保険組合が210名を対象と公表

IHIグループ健康保険組合は9月2日、「特定保健指導業務の委託先における生成AI利用に関する事案発生について」と題する告知を公開しました。

同健保によると、8月24日に特定保健指導業務の委託先であるRIZAPから、個人情報が漏えいしたおそれのある事案が発生したとの報告を受けました。

RIZAPの特定保健指導運営事務局で、従業員がデータ抽出業務を行う際、特定保健指導対象者の個人情報を生成AIに参照させたことが、当該従業員の自己申告で判明したとしています。

IHI健保が公表した対象者は、2024・2025・2026年度にRIZAPの特定保健指導を利用した210名です。

RIZAP側の9月3日付公表では提供元となる団体・企業名や件数は明らかにされていませんでしたが、IHI健保の公表によって、少なくとも同健保の加入者情報が今回の誤アップロード対象に含まれていたことが確認できます。

IHI健保は、対象者へRIZAPから9月4日以降、順次個別メールで連絡するとしています。

保険証記号番号や氏名、住所・電話番号を含む

アップロードされた個人情報には、

• 保険証記号番号
• メールアドレス
• 氏名
• 生年月日
• 性別
• 住所（一部対象者）
• 電話番号（一部対象者）

が含まれていました。

対象件数はRIZAPの公式発表では明らかにされていません。

そのため、現時点で「何人分が生成AIへアップロードされた」と件数を断定することはできません。

高血圧症や糖尿病などの要配慮個人情報も

さらに、対象データには要配慮個人情報も含まれていました。

RIZAPが公表したのは、

• 特定保健指導の支援形態
• 高血圧症
• 糖尿病
• 脂質異常症

に関する情報です。

特定保健指導の支援形態については、「積極的支援」「動機付け支援」「重症化予防」のいずれかが含まれていました。

疾患情報については、高血圧症、糖尿病、脂質異常症のいずれか、または複数に該当する対象者が含まれていたとしています。

健康・疾患情報は、一般的な氏名やメールアドレスとは異なり、個人情報保護法上の要配慮個人情報に該当します。

生成AIの学習には使われていないと判断

RIZAPは事象発生後、生成AIサービスを運営する事業者へデータの取り扱いについて照会しました。IHIグループ健康保険組合の発表では、この事業者はOpenAIとされています。

事業者からは、

• 個人を特定できる情報を含むファイルは、会話データの学習利用を許可していても自動システムによるモデルのトレーニングには使用されない
• アップロード後24時間以内に削除されたファイルもモデルのトレーニングには使用されない

との回答を得たとしています。

RIZAPは、今回のデータをアップロードから24時間以内に削除したことなどから、顧客情報が生成AIの学習に利用された可能性はないと判断しています。IHI健保も、9月1日にOpenAIから「当該データはモデルの学習に利用されていない」との回答を得たと公表しています。

また、第三者が当該生成AIサービスを通じて関連する質問をした場合に、今回の個人情報等が出力される可能性もないと判断しています。

「第三者閲覧なし」と「事業者側で閲覧可能だったか」は別

今回の公表内容では、情報へのアクセス可能性を分けて読む必要があります。

RIZAPは、生成AIサービスを運営する事業者以外の第三者に閲覧された可能性はないことを確認したとしています。

一方、当該生成AIサービス事業者の役職員等が、誤アップロードされた情報を閲覧可能な状態にあった可能性については確認中です。IHI健保も、OpenAIによる閲覧の有無について引き続き確認しているとしています。

つまり、

「外部の一般第三者に見られた可能性はない」

という判断と、

「生成AIサービス事業者の内部でアクセス可能だったか」

という確認は別です。

後者の確認が終わっていないため、「情報漏えいはなかった」と断定するのは適切ではありません。

発覚直後にチャット履歴削除と学習利用停止

RIZAPは事象発見直後、該当作業者がチャット履歴を削除し、学習データの利用停止設定を実施したとしています。

この点は、生成AI利用における初動対応として重要です。

一方、生成AIサービスのデータ保持や運営事業者側でのアクセス条件は、サービスや契約プラン、設定によって異なります。

今回のRIZAPの判断は、利用した生成AIサービス事業者へ照会した回答を基にしたものです。

そのため、一般論として「生成AIへ誤入力しても24時間以内に削除すれば安全」と捉えるべきではありません。

個人情報保護委員会への報告を完了

RIZAPは、個人情報保護委員会への報告を完了しています。

対象者への連絡については、対象データの提供元である各団体・企業と個別に調整したうえで、RIZAPまたは各提供元から順次実施しています。

生成AIサービス事業者の役職員等による閲覧可能性について確認が完了した後、対象となる取引先や顧客へ改めて案内する方針です。

再発防止で「未許可生成AIの業務利用禁止」を再周知

RIZAPは再発防止策を人的、技術的、組織的の3方向で示しています。

人的措置としては、社内で許諾されていない生成AIサービスについて、業務利用禁止を改めて全社へ周知します。

さらに、個人情報保護と生成AIの適切な利用に関する教育を継続するとしています。

技術的措置としては、アクセス権限や利用環境を点検・見直しし、許可のない外部サービスへのデータ持ち出しを防ぐ管理体制を整備します。

ISMSに加えAIMS導入も検討

組織的措置として、RIZAPはISMSに加えてAIマネジメントシステム（AIMS）の導入を検討するとしています。

今回の事案は、生成AIの利用ルールを単なる情報セキュリティ規程の一部として扱うだけでなく、AI利用そのものを管理対象として独立して整理する必要性を示しています。

AI利用では、

• どのAIサービスを許可するか
• どの情報を入力してよいか
• 個人アカウント利用を許可するか
• 学習利用設定をどう管理するか
• ログをどこまで残すか
• データ保持条件をどう確認するか
• 誤入力時に誰へ報告するか

といった項目を明確にする必要があります。

「シャドーAI」の国内事例として重要

今回の事案は、企業が許可していない生成AIを従業員が業務で使う「シャドーAI」のリスクを示す国内事例です。

セキュリティ対策Labでは、AIセキュリティについて、企業の管理対象は「AIへ何を入力するか」だけではなく、利用するサービス、アカウント、データ処理条件、外部連携まで含めて考える必要があると整理しています。

AIセキュリティとは？生成AI・AIシステムのリスクと企業のセキュリティ対策を解説

今回のRIZAP事案では、利用者が個人で使っていた外部生成AIサービスが業務データ処理に使われました。

会社側が契約・管理している生成AIであれば、管理者設定、学習利用の制御、ログ、データ保持などを統制できる場合があります。

一方、個人利用の外部生成AIでは、組織側からサービス設定や利用状況を把握しにくくなります。

RIZAPグループでは別のセキュリティ事案も公表

RIZAPグループでは2026年、今回とは別に、APORITOオンラインストアへの不正アクセスや、グループ会社REXTのランサムウェア被害なども公表されています。

セキュリティ対策Labでは、これらの事案についても取り上げています。

RIZAPグループで不正アクセスが相次いで発覚、APORITOはカード情報流出の恐れ、REXTはランサムウェア被害

ランサムウェア グループ RansomHouse(ランサムハウス)がREXT Holdingsへのサイバー攻撃を主張　8月のランサムウェア被害との関連は公式未確認

※今回の原因はサイバー攻撃ではなく、社員による外部生成AIサービスへの誤アップロードです。

情報システム・セキュリティ部門への示唆

今回の事案で確認すべきなのは、「生成AIを禁止しているか」だけではありません。

実際には、従業員がどのAIサービスを利用できる状態にあるか、個人アカウントでの利用を技術的に検知・制御できるかまで確認する必要があります。

企業では、

• 許可する生成AIサービスを明確にする
• 個人アカウントでの業務利用を禁止する
• 個人情報・要配慮個人情報・機密情報の入力ルールを明文化する
• CASBやSSE、Webフィルタリング等で未許可AIへのアクセスを可視化する
• DLPで機密情報の外部送信を制御する
• 生成AIサービスの学習利用、保持期間、管理者アクセス条件を確認する
• 誤入力時の削除・報告・影響確認手順を定める
• AI利用ログを監査できる仕組みを整備する

といった対応が必要になります。

特に要配慮個人情報を扱う部門では、「AIへ入力しない」という教育だけに依存するのではなく、技術的な利用制御も必要です。

今回RIZAPが示したAIMS導入検討は、生成AI利用をIT部門だけの課題ではなく、組織全体のガバナンスとして扱う方向性を示しています。

出典

• 特定保健指導業務の委託先における生成AI利用に関する事案発生について – IHIグループ健康保険組合
• 当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ – RIZAP株式会社
• AIセキュリティとは？生成AI・AIシステムのリスクと企業のセキュリティ対策を解説 – セキュリティ対策Lab
• RIZAPグループで不正アクセスが相次いで発覚、APORITOはカード情報流出の恐れ、REXTはランサムウェア被害 – セキュリティ対策Lab