｢約2万人流出｣を明かしたのは委託元だった…ライザップの"シャドーAI"による情報漏洩で露呈した不透明な対応

（画像：RIZAPグループのホームページより）

IHIグループ健康保険組合はライザップより一日早い9月2日に公表した。対象は210人。委託先をライザップと明記し、ライザップから8月24日に報告を受けたこと、OpenAIへ確認を行い、9月1日にモデル学習には利用されていないとの回答があったことまで説明している。

（画像：IHIグループ健康保険組合ホームページ）

ほかにも日立健康保険組合、群馬県市町村職員共済組合、地方職員共済組合などが対象者の存在を公表した。再調査では、関西テレビ放送健康保険組合も9月3日に、自組合の加入者情報が対象となっていたことを発表していた。同健保はライザップに対し、影響範囲や再発防止策について引き続き説明を求めている。

中でも日立健康保険組合の対応は重い。「実効性のある再発防止策」が確認できるまで、ライザップによる特定保健指導の新規受付を停止するとした。単なる謝罪では済ませず、委託関係そのものにブレーキをかけたのである。

なぜ公表まで約2週間かかったのか

もう1つ、説明が必要だと感じる点がある。問題が判明したのは8月20日である。全国土木建築国民健康保険組合によれば、翌21日には個人情報保護委員会への報告も終わっていた。一方、ライザップが一般向けに発表したのは9月3日だった。およそ2週間である。もちろん、発覚した日にすべてを公表すればよいという話ではない。

対象者を特定し、委託元へ連絡し、生成AI事業者へデータの保存や利用状況を照会するには時間が必要だったはずだ。約2万人ものデータが関係するなら、確認作業が簡単でないことも理解できる。それでも疑問は残る。調査中であることを明記した第一報を、もっと早く出すことはできなかったのか。

少なくとも9月3日の発表時には委託元側が把握していた1万9996人という数字を、なぜライザップ自身は示さなかったのか。公開されている資料から、その理由を知ることはできない。