【動画解説・動画資料】生成AI時代の誤送信事故～RIZAP公表事例から学ぶShadow AI・個人情報保護・会社のガバナンス
2026/09/08
【動画解説・動画資料】生成AI時代の誤送信事故～RIZAP公表事例から学ぶShadow AI・個人情報保護・会社のガバナンス
【動画解説】生成AI時代の誤送信事故～RIZAP公表事例から学ぶShadow AI・個人情報保護・会社のガバナンス（外部YouTube）
【動画資料】生成AI時代の誤送信事故～RIZAP公表事例から学ぶShadow AI・個人情報保護・会社のガバナンス（PDFファイル）
【お問い合わせ】
本件に関するご相談は、弁護士法人三宅法律事務所 弁護士 渡邉雅之（TEL 03-5288-1021／m-watanabe@miyake.gr.jp）までお願いいたします。
※本動画及び資料は、RIZAP株式会社、IHIグループ健康保険組合、個人情報保護委員会その他の関係者が公表している資料等に基づき、生成AIの業務利用に伴う個人情報保護、情報セキュリティ、委託先管理及びAIガバナンス上の論点を整理したものです。特定の企業又は生成AIサービスの法的責任を論じることを目的とするものではなく、公開情報から企業一般に共通する実務上のリスクと対応策を検討しています。
【主な参照資料】
・RIZAP株式会社「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」（2026年9月3日）
RIZAP株式会社公表資料
・IHIグループ健康保険組合「特定保健指導業務の委託先における生成AI利用に関する事案発生について」（2026年9月2日）
IHIグループ健康保険組合公表資料
・個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」
個人情報保護委員会公表資料
・個人情報保護委員会「漏えい等報告・本人への通知の義務化について」
個人情報保護委員会公表資料
・個人情報保護委員会「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A」Q7-53（クラウドサービスの利用と第三者提供・委託）
個人情報保護委員会Q7-53
【説明】
今回は、「生成AI時代の誤送信事故～RIZAP公表事例から学ぶShadow AI・個人情報保護・会社のガバナンス」をご案内いたします。
RIZAP株式会社は2026年9月3日、特定保健指導に関するデータ集計作業中に、社員が個人で利用していた外部の生成AIサービスへ顧客情報を誤ってアップロードした事案を公表しました。対象データには、氏名、生年月日、メールアドレス等の個人情報に加え、高血圧症、糖尿病、脂質異常症等の疾患情報などの要配慮個人情報も含まれていました。
また、委託元の一つであるIHIグループ健康保険組合の公表によれば、同組合関係では210名が対象とされ、当該従業員の自己申告によって事案が判明したとされています。その後、チャット履歴の削除や学習利用停止等の対応が行われ、同組合は、生成AI事業者から当該データがモデルの学習に利用されていない旨の回答を得たことも公表しています。
もっとも、生成AIへの情報の誤投入を考える際には、「モデル学習に利用されたか」だけを確認すれば足りるわけではありません。そもそも外部の生成AIサービスへ当該情報を入力することが許されていたのか、個人情報保護法上の利用目的、第三者提供・委託、安全管理措置との関係はどうなるのか、委託データの場合に委託元との契約や再委託ルールとの関係をどう考えるのか、といった点を検討する必要があります。
本動画解説・動画資料では、本件を「生成AI特有の特殊な事故」としてではなく、従来から存在する情報の持出し・誤送信事故が、生成AIという新たな情報送信先を通じて発生した事案として整理します。特に、会社が承認・把握していない生成AIを従業員が業務に利用する、いわゆる「Shadow AI」のリスクを取り上げます。
その上で、会社公認の生成AI、法人契約のEnterprise／Business版、自社限定API、社内RAG、閉域・専用環境等について、「どのサービスであるか」という名称だけではなく、会社が契約、アカウント、入力データ、権限、ログ、保存期間、削除、外部連携等をどこまで管理できるかという観点から、業務利用の可否を検討します。
また、禁止規程や従業員教育だけではShadow AIを完全に防ぐことは困難です。未承認AIへのアクセス制御、DLPによるファイル・個人情報のアップロード制御、端末・ブラウザ管理、ログ監視、SIEM等による異常利用の検知といった技術的措置についても整理します。他方で、こうした探知ツールにも限界があるため、現場が実際に利用できる公認AIを用意し、教育や自己申告制度と組み合わせることが重要となります。
さらに、生成AIへの誤投入が発生した場合の初動として、送信停止、ログ・証跡の保全、AI事業者への削除等の照会、影響範囲の確認、個人情報保護委員会への報告及び本人通知の要否判断、委託元への報告などを、通常の個人データ漏えい等事案への対応と関連付けて整理しています。
RIZAPの公表事例は、「生成AIを使うこと自体が危険である」ということを示すものではありません。むしろ、生成AIを業務で利用することを前提として、会社が責任を持って管理できる正規の利用ルートを整備し、ルール・技術統制・委託先管理・教育・インシデント対応を組み合わせたAIガバナンスを構築する必要性を示す、実務上重要な教材事例といえます。
