従業員が個人利用AIに顧客情報アップロード、RIZAPが謝罪

生成AIの普及は、業務効率化や新たな価値創造の機会をもたらす一方で、情報セキュリティに関する新たなリスクも生み出しています。特に、従業員が個人的に利用するAIサービスへの機密情報アップロードは、多くの企業が直面する潜在的な脅威となっています。RIZAPの今回の事例は、AI利用における情報漏洩リスクが、企業にとって現実的な課題であることを明確に示しています。

パーソナルジムの運営などを手掛けるRIZAPは、従業員が個人で利用している外部の生成AIサービスに、顧客の氏名や疾患、保険証番号といった個人情報および要配慮個人情報を誤ってアップロードしたことを発表し、謝罪しました。このインシデントは、従業員が「このURLの記事を読んで要約して」といった指示をAIに与える際に、機密情報が含まれる内部資料や顧客データを誤って入力してしまった可能性を示唆しています。問題の発生後、RIZAPはAIサービス事業者に対しデータの削除を要請するとともに、影響を受けた顧客への説明と対応を進めています。

技術的意義としては、AIサービス、特にインターネットからアクセス可能なLLMサービスが、その入力されたデータを学習に利用する可能性があること、または一時的に保持するリスクがあることへの認識不足が根本にあります。プロンプトインジェクションのように、ウェブページに埋め込まれた「見えない指示」がAIを介して機密情報を抜き取る可能性も指摘されており、単なる従業員のリテラシー向上だけでなく、システム的な防御策の必要性が強調されています。また、ChatGPTのような汎用AIは、利用規約上、入力されたデータを学習に使うことがあるため、機密情報を扱う際には、企業向けのセキュアなAIソリューションや、データ学習を無効化する設定の利用が不可欠です。

社会・産業への影響は、顧客の信頼失墜、企業のブランドイメージ毀損、法的責任の発生、そして規制当局による調査など、多岐にわたります。この事例は、AIを導入・利用するすべての企業に対し、厳格なAI利用ガイドラインの策定、従業員教育の徹底、そして技術的なセルフチェック体制の構築を改めて促すものです。特に、個人情報や機密情報を扱う業界では、AIガバナンスの強化が喫緊の課題となります。

今後の展望として、企業はAI利用における情報セキュリティ対策を最優先事項として位置づけ、従業員が安全にAIを活用できる環境を整備することが求められます。具体的には、セキュアな社内AIツールの導入、機密情報がAIに入力されることを防止するデータマスキング技術の活用、AIサービスとの契約内容におけるデータ利用ポリシーの確認などが重要になります。この事例は、AIの利便性を享受するためには、それを支える強固なセキュリティ基盤とガバナンスが不可欠であることを再認識させる警鐘となるでしょう。