RIZAP、従業員が個人利用の外部生成AIに顧客情報を誤アップロード。シャドーAIの流出と再発防止

ダイエット・健康管理事業のRIZAPが9月3日に発表した顧客情報流出事案は、一見すると「またAIがやらかした」という個別のインシデントに見える。従業員が個人利用している外部の生成AIに、顧客の保険証番号や健康情報を誤ってアップロードしてしまったということだ。含まれた情報は氏名、生年月日、連絡先、疾患情報といった個人の秘密に該当する要配慮個人情報である。 しかし本当の問題は、ここにはない。RIZAPが禁止していたのは「業務用システムの外部流出」ではなく、そもそも従業員が個人判断で業務に使う無許可のAIツール、つまり「シャドーAI」だ。ChatGPTやClaudeなど、SaaS型の生成AIツールは、従業員の側からすれば「使いやすい・便利・無料」である。会社が「ダメ」と言っても、誘惑に抗うのは難しい。企業側も、現場で何が使われているのか、完全には把握できていない。それが露呈した事件なのだ。 中小企業にとって、この事案の教訓は明白だ。従来のセキュリティ対策は「システムの穴」を塞ぐことに注力してきた。だが、データ流出の入口は、すでに「従業員のスマートフォン」かもしれないということだ。禁止令を張るだけでは現実は変わらない。むしろ「どのAIなら使ってよいのか」「どのデータなら外に出してよいのか」を明確にして、従業員の行動を誘導する仕組みの方が効果的だ。シャドーAIの時代では、制限するより「許可と教育」の方が実務的である。