概要

2026年8月20日、データ抽出業務の中で、RIZAPの担当者が利用を許可されていない生成AIにデータを入力していたことが分かった。対象は14支部の組合員ら726人。入力された情報は氏名、生年月日、性別、メールアドレス、組合員等記号・番号で、一部は住所や電話番号も含む。さらに特定保健指導の支援形態や、高血圧症・糖尿病・脂質異常症に関する情報も含まれていた。データはサービス上から削除済みで、AIの学習にも使われていないと判断されている。一方、生成AIの提供事業者による閲覧やアクセスがあったかは確認中。組合は2026年9月4日に公表し、同日に対象者へメールで連絡した。

経緯

経緯情報は未登録です。

原因

委託先RIZAPの担当者が、データ抽出業務の際に、社内で利用が許可されていない外部の生成AIサービスへ個人情報を入力した。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

726

サービス停止

なし

金銭的被害

不明

対象システム

外部生成AIサービス、委託先RIZAPのデータ抽出業務

漏洩した情報

• 可能性あり氏名
• 可能性あり生年月日
• 可能性あり性別
• 可能性ありメールアドレス
• 可能性あり組合員等記号・番号
• 可能性あり住所（一部）
• 可能性あり電話番号（一部）
• 可能性あり特定保健指導の支援形態
• 可能性あり高血圧症・糖尿病・脂質異常症に関する情報

14支部の組合員ら726人の個人情報と健康関連情報が、外部の生成AIサービスに送信された。データはサービス上から削除済みで、AIの学習には使われていないと判断されているが、提供事業者による閲覧の有無は確認中。

対応

入力されたデータは生成AIサービス上から削除された。組合はRIZAPに詳しい調査と再発防止を求め、2026年9月4日に対象者へメールで連絡した。

• 生成AIサービス上のデータ削除
• 委託先RIZAPへの詳細調査と再発防止の要請
• 対象者へのメール連絡
• 提供事業者による閲覧・アクセス有無の確認

教訓・対策

• 委託先も含めて、生成AIの利用ルールを定め、許可されていないサービスの利用を技術的にも防ぐ必要がある
• 健康情報など要配慮個人情報を扱う委託業務では、委託先での取扱い状況を監督・監査することが重要
• 外部の生成AIに入力した情報は組織の管理外に置かれるため、漏えいとみなして対応する必要がある

参考資料

1. RIZAP担当者が個人情報を生成AIに入力 地方職員共済組合の726人に漏えいの可能性
   サイバーセキュリティ.com公開日: 2026-09-04報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

地方職員共済組合

関連するインシデント

関連付けられたインシデントはありません。