従業員が「個人利用のAIサービス」に顧客情報をアップロード RIZAPが謝罪

RIZAPの従業員が、個人で利用している外部のAIサービスに顧客情報をアップロードしてしまった。保険証記号番号、メールアドレス、氏名、生年月日、性別、住所、電話番号、さらに特定保健指導の疾患情報まで含まれていた。企業コンプライアンスの教科書に載るような「ダメな事例」だ。しかし、RIZAPだけを責めるのは間違っている。これは業界全体が直面する構造的な問題である。多くの企業は「生成AIサービスの個人利用禁止」という社内通知を出している。だが、禁止令は機能しない。理由は単純で、世の中のAIツールが「便利すぎる」からだ。社員は朝、メールチェックして、午前の報告書を作成し、昼休みに顧客リストを整理するという日常の流れの中で、生成AIを「作業を速くする道具」として無意識に使ってしまう。禁止の紙は、その便利さの前では無力なのだ。 AIの鬼が指摘したいのは、ここからだ。ITセキュリティの世界では「禁止するか、許可するか」という二者択一で考えられてきた。しかし、AIツールの普及期に求められるのは、その中間にある「便利で、かつ安全」なツール環境を社内に用意すること。具体的には、社内データを外部のAIサービスに流すことなく、オンプレミスや契約済みのクラウドサービスのみで完結する仕組みだ。セキュリティは「制限」ではなく「選択肢」の問題になっているのだ。 実務的な結論は、セキュリティ部門の「禁止」と現場の「使いたい気持ち」の対立を解くには、禁止の強化ではなく、現場が納得する選択肢の提供が急務だということだ。この競争に負ける企業は、今後も情報漏洩が増え続けるだろう。逆に「安全で便利」を実現した企業は、現場の信頼も、セキュリティリスクも両立させることができる。RIZAPの事案は、他社の「他山の石」ではなく、自社の明日の問題として受け止めるべき警告なのだ。