｢約2万人流出｣を明かしたのは委託元だった…ライザップの"シャドーAI"による情報漏洩で露呈した不透明な対応

9月3日、RIZAPグループは子会社のRIZAP（以下、ライザップ）の健康経営・保険者事業部の社員が、個人で使用していた外部の生成AIサービスに顧客情報をアップロードしたと発表した。

対象には氏名、生年月日、メールアドレス、保険証の記号番号だけでなく、高血圧症、糖尿病、脂質異常症などの疾患情報も含まれていた。会社が業務利用を認めていない生成AIを社員が勝手に使った、典型的なシャドーAIの事例である。

サイバーセキュリティに関する新着記事の情報などをメールマガジンでお届けします。登録はこちらから

ただ、ライザップの発表には肝心な数字がない。対象人数も、何団体から預かった情報だったのかも、団体名も示されていない。生成AIについても「外部の生成AIサービス」とするだけで、サービス名は伏せたままだ。

この「シャドーAI」問題が公表されてから1週間ほどが過ぎた。しかし9月8日現在、事故の全体像はまだライザップ自身から明らかにされていない。

「約2万人」は委託元の発表でわかった

事故の規模を明らかにしたのは、ライザップではなく委託元だった。全国土木建築国民健康保険組合は、生成AIに入力・参照されたデータが計1万9996人分で、うち同組合分が1167人だったと公表した。さらに、8月20日に問題が判明し、翌21日には個人情報保護委員会への報告を終えていたことも明らかにしている。