RIZAP社員が個人利用の生成AIに特定保健指導の対象者データ（要配慮個人情報を含む）をアップロード
概要
健康保険組合や自治体から特定保健指導を受託していたRIZAPで、社員がデータ集計作業中に、会社が業務利用を許可していない個人利用の外部生成AIサービスへ対象者データをアップロードした。データには氏名や保険証記号番号のほか、疾患情報などの要配慮個人情報が含まれていた。委託元の自治体の発表では対象は計19,996件で、複数の健保組合・共済組合・自治体がそれぞれ自分たちの対象者数を公表した。サービス名（ChatGPT）は委託元の皆野町の発表によるもので、RIZAPの発表は「外部の生成AIサービス」と記載している。
原因（一次発表による）
社員が、社内で許可されていない個人利用の外部生成AIサービスに対象データを誤ってアップロードした（RIZAP発表）。
影響
対象は2026年1月1日〜8月19日に特定保健指導管理システムへ登録されたデータの一部（RIZAP）。全体の件数は19,996名分（皆野町・開成町・全国土木建築国民健康保険組合の発表）。委託元ごとの対象は、全国土木建築国民健康保険組合1,167名、地方職員共済組合726名（14支部）、IHIグループ健康保険組合210名、皆野町54件（特定保健指導3件、セミナー51件）、開成町2件など。RIZAPは、AI事業者以外の第三者による閲覧や学習への利用の可能性はないとし、AI事業者の役職員が閲覧できる状態にあった可能性は確認中としていた（2026年9月3日時点）。その後の最終報告では、AI事業者から「ユーザーコンテンツへアクセスできる権限保持者は、ごく少数の担当者等に厳格に制限され、監視・記録のもと管理されている」旨の回答を得て、漏えいや二次被害に至る可能性は極めて低いと判断し、個人情報保護委員会への確報（最終報告）で確認を終えた（地方職員共済組合、2026年10月2日）。
当事者の対応
発見直後に作業者がチャット履歴を削除し学習利用停止を設定、AI事業者に照会、個人情報保護委員会へ報告（8月21日・全国土木建築国民健康保険組合の発表）、提供元と調整して対象者へ順次連絡。最終報告で示された再発防止策は、許可されていない生成AIの業務利用禁止の再周知（8月25日完了）、アクセス権限・利用環境の点検と見直し（9月中）、AIマネジメントシステムの力量評価に足る教育（11月中）、特定保健指導の部署でのAIマネジメントシステム（ISO/IEC 42001）の認証取得（2026年度中）（地方職員共済組合が公表したRIZAPの最終報告）。
同じことを防ぐには
業務で使ってよい生成AIを組織として指定し、個人アカウントへのアップロードを技術的にも防ぐ（DLP・アクセス制御）。個人データを預ける委託先についても、契約と監督項目に生成AIの利用ルールを含める。
出典
- 一次発表 RIZAP株式会社「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」
- 一次発表 埼玉県皆野町「保健事業の委託業者による個人情報を含む情報の漏えいの可能性について（報道発表資料）」
- 一次発表 神奈川県開成町「委託先における個人情報漏えいの可能性のある事案の発生について」
- 一次発表 IHIグループ健康保険組合「特定保健指導業務の委託先における生成AI利用に関する事案発生について」
- 一次発表 全国土木建築国民健康保険組合「特定保健指導委託業者における個人情報の不適切な取扱いに関するご報告とお詫び」
- 一次発表 地方職員共済組合「委託先における個人情報漏えいの可能性のある事案の発生について」
- 一次発表 地方職員共済組合「委託先における個人情報漏えいの可能性のある事案について（続報）」
- 報道 ITmedia NEWS「RIZAP社員、私用AIに顧客の個人情報入力 氏名や疾患、保険証番号など……同社が謝罪」