ライザップの事案で問題になったのは、3つです。会社が許可していないアカウントに入れたこと。要配慮個人情報が入っていたこと。他社から預かったデータだったこと。
しかし、発表には「生成AIの学習に利用された可能性はない」と書かれています。学習に使われていないなら、それで終わりではないのでしょうか。
終わりません。何が起こって、何が問題で、何がOKで何がNGなのかを、順に並べます。
ライザップで何が起こったか
起きたのは、社員が自分で使っている生成AIに、顧客のデータをアップロードしたことです。会社が契約したものではありません。
ライザップ（RIZAPグループ株式会社）が2026年9月3日に公表しました。子会社であるRIZAP株式会社の健康経営・保険者事業部で起きています。社員が個人で使用している外部の生成AIサービスに、お客様の情報を誤ってアップロードした、という内容です。データの集計作業中でした。
入っていたのは、保険証記号番号、メールアドレス、氏名、生年月日、性別と、一部の方の住所と電話番号です。あわせて、特定保健指導の支援形態と、高血圧症、糖尿病、脂質異常症の疾患情報も入っていました。後者は要配慮個人情報にあたります。
対象は、2026年1月1日から8月19日までに特定保健指導管理システムへ登録されたデータの一部です。件数は公表されていません。
見つけたのは、入力した本人でした。委託元であるIHIグループ健康保険組合の発表に、当該従業員の自己申告により判明しました、と書かれています。健康保険組合がRIZAPから報告を受けたのは、2026年8月24日です。
発見の直後に、チャット履歴の削除と、学習データの利用停止設定が行われています。AIサービスの運営事業者はOpenAI社で、9月1日に、当該データはモデルの学習に利用されていないという回答が出ています。個人情報保護委員会への報告は完了し、対象者への個別メールは9月4日から順次送られます。
何が問題だったのか
学習に使われていないのに報告している、というところに、この事案の要点があります。問題は3つに分かれます。
学習に使われていないことは、漏えいしていないことにはならない
学習に使われたかどうかは、報告するかどうかを決めていません。決めるのは、そのデータを人が読める状態になったかどうかです。
RIZAPグループの発表は、この2つを分けて書いています。当該事業者以外の第三者に閲覧された可能性はない、と書いています。そのうえで、運営事業者の役職員等がお客様の情報を閲覧可能な状態にあった可能性については、現在も確認を行っているとしています。
IHIグループ健康保険組合の発表も同じ形です。OpenAI社から学習に利用されていないという回答を得たと書いたあとで、OpenAI社による閲覧の有無については引き続き確認を継続している、としています。
個人情報保護委員会は、漏えい等の報告が要らなくなる場合を挙げています。第三者が見読可能な状態にすることが困難となるような、暗号化等の技術的措置が講じられている場合です。基準は、人が読めるかどうかにあります。
要配慮個人情報は、1人分でも報告と通知の義務になる
入っていた情報の種類で、報告するかどうかが決まります。病歴が1人分でも入っていれば、対象です。
個人情報保護法は、漏えい等が発生した場合の報告を義務づけています。対象になる事態は4つあり、施行規則に定められています。1つ目が、要配慮個人情報が含まれる事態です。ここに人数の条件はありません。
1,000人を超えたら報告、という基準もあります。それは4つ目の事態です。別の号なので、要配慮個人情報のほうは1人分から対象になります。
今回入っていたのは、高血圧症、糖尿病、脂質異常症の疾患情報です。病歴は要配慮個人情報にあたります。件数が公表されていなくても、報告と本人への通知の義務は動きます。
預かったデータだったので、委託元にも報告義務が回った
報告の義務は、入力した会社の中で終わりません。データを預けた側の会社にも回ります。
個人情報保護委員会は、委託先で個人データが漏えいした場合の扱いを示しています。原則として、委託元と委託先の双方が報告する義務を負います。委託先が委託元へ通知したときだけ、委託先の報告義務が免除されます。
今回、それが実際に起きています。IHIグループ健康保険組合は2026年9月2日に、加入者210名分について自分のサイトで公表しました。
自社の社員が生成AIを使っていなくても、委託先の社員が使えば、自社の名前で公表することになります。
何がOKで、何がNGか
ここまでが、起きたことと、その問題です。会社が契約した生成AIを使っていれば関係ない、とはなりません。上の3つのうち、学習に関わるものは1つもないからです。かといって、業務のデータを入れてはいけない、ともなりません。引く線は、どのアカウントで入れるかと、そのデータをどこから得たかの2つで決まります。
会社が契約したアカウントに、自社が取得した個人情報を入れるのはよい
入れられます。個人情報保護委員会は、生成AIサービスの利用について、個人情報取扱事業者への注意点を2つ挙げています。
1つ目は、入力する個人情報が、特定した利用目的を達成するために必要な範囲内であることの確認です。取得のときに決めた目的の中で使うなら、追加の同意は要りません。
2つ目は、その事業者が入力した個人データを機械学習に利用しないこと等の確認です。委員会は、応答結果の出力以外の目的で取り扱われる場合、個人情報保護法の規定に違反することとなる可能性がある、と書いています。法人向けの契約では、この確認が契約で決まっています。
会社が許可していないアカウントに、業務のデータを入れるのはだめ
入れられません。ライザップが再発防止策の1つ目に挙げているのも、社内で許諾されていない生成AIサービスの業務利用禁止を、全社へ改めて周知徹底することです。
理由は2つあります。1つ目は、会社に記録が残らないことです。何が入力されたかを会社が特定する手段がないので、本人が言い出さなければ気づけません。今回もそうでした。
2つ目は、その事業者が入力データをどう扱うかを、会社が確認していないことです。上に書いた2つ目の条件が、そもそも満たせません。
要配慮個人情報と、他社から預かったデータは、確認してから決める
この2つは、会社のアカウントであっても、そのまま入れてよいとは決まりません。
要配慮個人情報は、取得の時点で本人の同意が要ります。生成AIに入力するときも、その同意の範囲に入っているかを見ることになります。病歴、障害、犯罪の経歴などがこれにあたります。
他社から預かったデータは、委託契約のほうを見ます。外部サービスへの入力を制限する条項が入っていることがあります。今回の事案は、この2つが重なっていました。健康保険組合や企業から預かった、特定保健指導の対象者データだったからです。
よくある疑問
Q：入力してしまったことに気づいたら、まず何をしますか。
A：今回、発見の直後に行われたのは、チャット履歴の削除と、学習データの利用停止設定です。そのうえで運営事業者に照会し、学習に使われたかと、事業者の側で閲覧されたかを確認しています。要配慮個人情報が入っていれば、個人情報保護委員会への報告と、本人への通知が要ります。
Q：AI事業者が学習に使っていないと回答すれば、報告しなくてよいのではありませんか。
A：それだけでは決まりません。学習に使われたかどうかと、そのデータを人が読める状態になったかどうかは、別の判定です。今回、RIZAPグループは学習に利用された可能性はないと確認したうえで、個人情報保護委員会への報告を完了しています。
Q：自社が業務を委託している場合も、同じことが起きますか。
A：起きます。委託先の社員が入力した場合、原則として委託元と委託先の双方が報告する義務を負います。今回、委託元である健康保険組合が、自分のサイトで公表しています。委託契約に、外部サービスへの入力を制限する条項があるかを見ることになります。
見るのは、そのデータが誰に読める状態だったか
生成AIに個人情報を入れたときに見るのは、学習に使われたかではありません。そのデータを人が読める状態になったかどうかです。
そのうえで、入っていた情報に病歴などの要配慮個人情報が含まれていれば、1人分でも報告と通知の義務が出ます。他社から預かったデータであれば、預けた側の会社にも報告義務が回ります。
自社で使っている生成AIについて、業務のデータをどのアカウントで扱っているかを、一度確かめてみてはいかがでしょうか。
