IT & Information security Journal
RIZAP株式会社は9月3日、同社の従業員が個人で使用する外部の生成AIサービスに、特定保健指導対象者の情報を誤ってアップロードしたと公表しました 1。氏名や保険証記号番号のほか、疾患情報などの要配慮個人情報も含まれていたとしています。
本件では、RIZAPに加えて委託元である各健康保険組合・共済組合も、事案の概要や対象人数などを公表しています。たとえば、IHIグループ健康保険組合 2は、漏えいの可能性のある対象者を210人、地方職員共済組合 3 は726人としています。また、全国土木建築国民健康保険組合は、委託先であるRIZAP全体で1万9,996人分のデータが対象になったと公表しており、各組合が公表している人数はその内数にあたります 4。一方で、組合ごとに説明している事項やその粒度には差異が見られます。
従業員が私用の生成AIを利用することによる、いわゆる「シャドーAI」経由の情報漏えいは、委託・受託関係にある多くの企業にとって他人事ではありません。本件の行為の法的な性質や、委託元・委託先のそれぞれが負う責任、実効性ある再発防止策について、弁護士法人三宅法律事務所 渡邉 雅之弁護士に聞きました。
この記事のポイント
従業員による私用の生成AIを利用した事故であっても、そのことでただちに企業が免責となるわけではない。むしろ、データが企業のコントロールできない環境に出たことを意味し、ガバナンスの観点では企業環境で起こった事故よりも重い事情といえる
個人契約・無料版の生成AIへのデータの入力は、そのデータを学習しない設定にしていたとしても「第三者提供」と評価される可能性が残る。一方、DPA（データ処理契約）などを結び、企業版の生成AIを利用する場合であれば「委託」と整理できる
技術的な方法だけでは防ぎきれないシャドーAIの対策として、一定期間内の自己申告で処分を軽減・免除する「社内リニエンシー制度」のような、自己申告を促す仕組みづくりが有効な手立てになり得る
2026年7月に成立・公布された改正個人情報保護法では、委託先が受託目的を超えて個人データを扱うことの禁止が明文化された（成立から2年以内に施行予定）。そのため、委託契約でAI利用についてどのような条項を定めるかが、今後より重要になる
本件は、従業員の自己申告で発覚し、私用のアカウントで生成AIに情報を入力していたとされています。この発覚の経緯や行為の位置付けは、企業の責任という観点ではどう影響するでしょうか。
まず、事実関係を整理しましょう。9月16日の時点では、全国土木建築国民健康保険組合（以下、全国土木建築国保）が詳細な内容を公表しています。特定保健指導業務を委託しているRIZAP株式会社（以下、RIZAP）において、個人情報を含む1万9,996人分のデータが、RIZAPが業務利用を許可していない外部の生成AIサービスに入力・参照されたことが、8月20日に判明したという内容です。RIZAPが生成AIサービスを運営する事業者に照会を行った結果として、アップロードした情報が当該事業者以外の第三者に閲覧された可能性、および生成AIの学習に利用された可能性はないことも伝えています。ただし、生成AIサービスを運営する事業者の役職員等が情報を閲覧可能な状態にあったかどうかについては、RIZAPの公表時点では確認中とされています。
本件が従業員本人の自己申告によって判明し、その後、RIZAPが24時間以内にチャット履歴やファイルの削除、学習停止措置、サービス提供事業者への照会まで進めた点は、被害拡大防止の観点から評価すべき点といえます。
他方で、企業にとって重い問いは、自己申告がなければ発見できなかったのではないかという点です。従業員による注意や良心のみに頼っていたとなると、技術的な安全管理措置が問われることになるでしょう。
従業員が私用のアカウントで生成AIに情報を入力していたという点は、企業の免責事由になり得るのでしょうか。
私用の生成AIアカウントだったというだけで企業が免責されることはないでしょう。理由としてはまず、本件が業務上のデータ集計の途中で発生したという点があります。
個人情報保護法の観点では、安全管理措置と従業者の監督が問題となります 5。民事上の観点でも、委託契約の履行の過程で起きたことから、債務不履行責任、あるいは使用者責任が問題となり得ます 6。
私用アカウントにデータが入力されたということは、データの保存、学習への利用、ログ、削除、アクセス権限のいずれについても、企業が一切コントロールできない環境にデータが出てしまったことを意味します。その意味で、ガバナンスの観点からは、企業が管理するアカウントで起こった場合よりも、むしろ重い事情といえるでしょう。
業務利用が許可されていない外部の生成AIサービスに個人データを入力・参照させる行為は、個人情報保護法上の「第三者提供」に該当するのでしょうか。
外部の生成AIサービスに個人情報を入力したことを、違法な第三者提供とただちに断定するのは難しいでしょう。個人情報保護委員会は、クラウドサービスの利用がサービス提供事業者への個人データの提供にあたるかについて、サービス提供事業者が個人データを取り扱うことになっているかどうかの実態によって判断するとしています。いわゆる「クラウド例外」と呼ばれる考え方で、「個人情報保護法ガイドラインに関するQ&A」7-53などで示されています 7。そのため、個人データの取扱いの実態として、契約条件や学習への利用の有無、保存環境、サービス提供事業者側の閲覧可能性、データの所在地などを確認し、第三者提供・外国第三者提供にあたるかを検討することになります。
では、本件のような個人契約・無料版の生成AIについてはどうでしょうか。こうしたサービスでも、基本的に入力データを学習しない設定はできるようになっています。学習しないのであればサービス提供事業者は個人データに触れないとして、クラウド例外を使えると考える余地もありそうです。実際に、生成AIでも個人データに触れることがなければクラウド例外が適用できるという意見が、一部の民間団体から出ています。ただ、これは比較的少数説だと考えています。学習への利用の有無は、先にあげた確認項目の1つにすぎません。入力データを学習しない設定にしていたとしても、第三者提供にあたらないと言い切るのは難しく、第三者提供と評価されるおそれは残るでしょう。
なお、いわゆる企業版の生成AI環境やAPI接続で、DPA（Data Processing Agreement／データ処理契約）などを結んでいる状況については、実務上は、個人データの取扱いの委託と整理されています 8。委託に該当するということは、提供先にあたるサービス提供事業者は第三者に該当せず、本人の同意も必要としないということです。
いずれにせよ、本件は委託業務の途中で発生し、企業が想定したデータ処理のルートを外れて統制外のサービスにデータが入力されたという事故です。委託契約上は、問題になり得るでしょう。
シャドーAIへの対策について、企業はどこまでの安全管理措置を講じていれば「十分」と評価されるのでしょうか。
生成AIの使用規程やマニュアルを作成し、社内では許可済みの生成AI環境のみを利用するとしたうえで、従業員が個人契約の生成AIを使っていることを発見することは、基本的に今の技術では難しいといわれています。ただし、個人情報が漏えいした場合に「個人がやったことなので企業としての安全管理措置は問題ない」とは、なかなか判断されないでしょう。企業自身の安全管理措置が問われることは避けられないと思われます。
とはいえ、安全管理措置義務の観点では、情状が考慮される可能性はあります。企業内でAI利用に関する禁止ルールを定めている、AIの利用環境を整備している、未承認のAIへのアクセスを制御している、個人情報を含むExcelなどをAIにアップロードできないようにしている、ログ監視を適切に行っているなど、技術的な対策が実施できていれば、安全管理措置を厳重に講じていたと評価されやすいと思われます。
各組合（委託元）とRIZAP（委託先）は、それぞれどのような当局報告義務や本人通知義務を負いますか。
まず、個人データの漏えい等が発生した場合、漏えい等が発生し、またはそのおそれがある個人データに係る本人の数が1,000人を超えるときには、個人情報保護委員会への報告と本人への通知が必要です。この数は事業者ごとに数えるため、約2万人分の個人データについて漏えいのおそれがあるRIZAPは、この類型に該当し得ます。一方、各組合は自らが委託したデータの人数で判断されるため、この類型に当然に該当するわけではありません。
ただし、本件で問題となったのは疾患の情報、つまり要配慮個人情報です。要配慮個人情報を含む個人データの漏えいのおそれは、1件であっても当局報告と本人通知の義務の対象となります 9。本件の各組合とRIZAPは、個人データの取扱いの委託関係にあり、法律上は委託元・委託先の両方に当局報告義務と本人通知義務が課されます。
個人データの漏えい時に当局報告と本人通知が必要となる4つのパターン
ただし例外として、委託先は委託元に対して個人情報保護委員会規則で定められている事項を通知すれば、個人情報保護委員会への報告義務が免除され、本人への通知義務も負わないこととされています。本件では、委託先にあたるRIZAP自身も個人情報保護委員会への報告を行った旨を公表していますが、これは問題の大きさから、委託元へ通知することで報告免除となる道を選ばず、自ら報告したと推察します。なお、RIZAP自身が報告を行ったとされる点については、公表資料の記載をご確認ください。
本件の当局報告や本人通知の主な担い手は、各組合です。そのため、リリース等による公表を組合が先に行い、RIZAPが後だったという順番だけを見て、RIZAPの法律上の対応が遅かったのではないかと捉えることは適切ではありません。
本件の公表のタイミングや内容については、どう評価されますか。
RIZAPが本件について公表した理由としては、個人情報保護法とは別の観点も考えられます。RIZAP自体は上場会社ではありませんが、親会社であるRIZAPグループ株式会社は上場会社です。推察ですが、グループとしての説明責任を果たすべく、公表に踏み切ったのではないでしょうか。
生成AIの活用は加速度的に進んでおり、本件のような場面に遭遇する企業は少なくないでしょう。そうしたなか、事案について公表することを選択したRIZAPの対応自体は評価できると感じます。
一方、本件の公表の中身は、評価が分かれるかもしれません。本件の全体像を一番把握している当事者はRIZAPだと思われますが、各委託元の公表を突き合わせないと全体像が見えない、情報が小出しの状態になっています。読み手は空白を推測しますので、現状の内容では、情報が公表されても不安が大きくなる可能性があると感じます。
もう1点、委託元への第一報のタイミングについてです。IHIグループ健康保険組合が報告を受けたのは判明から4日後の8月24日とされています。これは法令上、ただちに問題になるわけではありませんが、委託元の個人情報保護委員会への速報期限が、報告対象事態を知った時から概ね3〜5日以内とされていることを踏まえると、RIZAPから委託元への第一報をもう少し早めにすべきだったのではないかとも考えられます。ここは契約で詰めておくべき論点といえるかもしれません。
本件のような、AIに関連する事故の公表時に望ましい項目としては、全体の影響人数やデータの種類、送信先のサービスのほか、学習利用の有無、サービス提供事業者の役職員が閲覧できた可能性、削除およびアンラーニングの状況などです。また、確認済みか確認中かの区別、および本人・委託元・行政への対応状況、再発防止策なども必要です。
特に、学習されていないことと、入力データが社外に送られていないということは、まったく別です。この点を分けて記載することが、従来の個人データの漏えいと異なる、AI関連事故の公表実務の新しい標準といえるでしょう。
先ほど、安全管理措置として考慮され得る対策について伺いました。委託先であるRIZAPが再発を防ぐという観点では、どのような対策を講じるべきでしょうか。
まずはやはり、社内で公式に使えるAI環境を用意することでしょう。仮に様々な利用ルールを設けたとしても、現場のニーズに応える環境が用意されていないと、シャドーAIはなくならないと思われます。
利用ルールを用意することも重要です。たとえば、企業アカウントと私用アカウントを線引きして入力可能なデータを具体的に示す、要配慮個人情報や委託データの入力は原則禁止もしくは個別承認とすることが考えられます。さらにいえば、「入力データをモデル学習に利用しない」とするDPAを結んだ企業版のAI環境だとしても、個人情報を入力することには大きなリスクがあります。そのため、「OK」「要注意」「NG」といった使い方の区分を設け、具体例まで示すことも重要でしょう。
技術的な観点では、現状、自己申告以外でシャドーAIの利用を見つけることはかなり難しいといえます。ただし、自社が扱う情報について、たとえばDLP（Data Loss Prevention）ソリューションを用いてCSVやExcelといった個人情報のアップロードを抑制する、アクセスや端末のログを監視してメールをはじめとする社外環境に情報が出たことを確認するといった対策は考えられます。
RIZAPもリリースのなかで、利用環境の見直しや、AIMS（AIマネジメントシステム）の導入検討を公表しています。方向性は妥当と思われ、それをどこまで実装できるかが注目されます。
ルール整備や技術的な方法に加えて、企業がとり得るシャドーAI対策はあるでしょうか。
申告しやすさも重要だと思います。個人的な意見ですが、社内リニエンシーといえるような自己申告制度の導入は解決策となり得るかもしれません。リニエンシー制度とは、独占禁止法に基づく制度であり、カルテルや談合などの違反行為に関与した事業者が当局に対して自主申告した場合に、課徴金が減額・免除されるというものです 10。
これをシャドーAI対策に置き換えると、従業員が私用AIを業務に利用していたことを一定期間内に自己申告して調査に協力した場合、懲戒処分を軽減・免除するようなイメージです。これを実施する場合は、被害抑制の観点を踏まえて「利用から24時間以内の自己申告」などと期限を定めるとよいでしょう。もっとも、これは懲戒処分を軽減・免除する制度であって、企業自身の当局報告義務や委託元への通知義務がなくなるわけではありません。また、故意の持出しや隠蔽、虚偽の申告は対象から外すべきですし、懲戒の種類・程度は就業規則に定めておく必要があり、運用が恣意的になれば懲戒権の濫用として争われるおそれもあります 11。
シャドーAIは、ログやDLPソリューションでは確認できない領域が、必ず残ります。それを埋められるのは本人の申告だけです。しかし、もしも申告しても重い処分が下されるのであれば、従業員は口をつぐんでしまうでしょう。そうなると、企業としては各種の事後対応を実施できなくなります。本件発覚のきっかけも、自己申告です。具体的にどのような経緯だったのかまでは明らかにされていませんが、その偶然を仕組みに変えるべきでしょう。また、これらを事例として社内に還元すれば、制度そのものが教育になります。
本件を踏まえて、委託元にあたる企業は、委託先を監督するうえでどのような点に留意すべきでしょうか。
今までは委託先に対して、その情報の取扱いに関する規程の有無や、ISMS認証の取得状況などを確認していたと思います。今後の委託先の選定では、実際にどのAIを使用しているのか、私用アカウントの業務利用を禁止しているか、DLPソリューションやアクセス制御が実装されているか、有事にログを見せてもらえるか、企業版のAIサービスの契約やAPI経由で社内システムに組み込んだAIなど、企業が管理するAI環境を用意しているかまで確認する必要があります。
契約面では、AI利用が再委託にあたるかという点も議論になると思われます。AIサービスへの委託データの入力等を事前承認の対象にすることもあり得ます。
そのほか、本件のような事故が発生した場合の、委託元への通知期限として「委託先が発生を認知してから24時間以内」など時間単位で決めておくことも有用です。あわせて、データの保存・削除や国外移転、ログの取扱い、および委託元の監査権を定めておくとよいでしょう。
また、本件において日立健康保険組合は、その再発防止策の実効性を確認するまで、RIZAPによる特定保健指導について新規の受付を停止しています 12。委託先からの報告を受けるだけで終わらせず、委託元が監督の一環として具体的な措置を講じた例として、参考になると感じました。
さらに、2026年7月10日に成立し、同月17日に公布された改正個人情報保護法（令和8年法律第56号）では、新たに30条の3として、委託先がその受託の目的を超えて個人データを取り扱うことの禁止が明文化されます。委託先のAI利用が受託の範囲内かどうかは、今後一層注目される重要な論点です。委託契約の中にどのような条項を定めるかも重要になってくるでしょう。
UNITISは、IT・セキュリティ担当者へ、実務家・専門家による解説や他社事例等を伝えるメディアです。セキュリティ・法律の専門家による実務解説や分析、第一線の実務家による事例・ノウハウをお届けします。
この記事をシェアする
最新情報をフォローする