私用AIに顧客情報、RIZAPが謝罪
COPLUS AI NEWS朝版
禁じても、目の前の仕事が優先される
ニュース2本・約4分で読めます
AIを社内でどう扱うかという議論が追いつかないうちに、現場では日々の作業が進んでいきます。RIZAPで起きたのは、悪意のある持ち出しではなく、集計作業を早く終わらせようとした結果でした。一方でOpenAIは新しい旗艦モデルの提供を始め、AIができることは先へ進み続けています。使える力が増えるほど、使い方を決めておく必要も増しています。
この事案は「シャドーAI」の典型例です
会社が許可していないAIを、社員が業務で使ってしまうことを、シャドーAI（野良AI）と呼びます。RIZAPの件は、そうした利用で顧客情報が社外のAIに渡ったと会社自身が公表した、国内では数少ない事案です。
① RIZAP社員が私用AIに顧客情報を入力 疾患や保険証記号番号も
出典: ITmedia AI＋／2026年9月4日（RIZAPの9月3日発表を報道）
RIZAPは9月3日、従業員が業務で許可していない外部の生成AIサービスへ顧客の個人情報をアップロードしていたと発表しました。同社の説明によれば、特定保健指導の管理システムのデータを集計する作業中に起きたもので、対象は2026年1月1日から8月19日までに同システムへ登録された利用者です。含まれていたのは氏名、生年月日、性別、保険証の記号番号、メールアドレスのほか、一部の住所と電話番号、さらに指導区分や疾患に関する情報でした。アップロードされたファイルは24時間以内に削除され、AIサービスの提供元には第三者による閲覧がなかったこと、個人を特定できる情報を含むファイルは学習に使われないことを確認したとしています。同社は個人情報保護委員会への報告を終え、対象者へ個別に連絡する方針です。再発防止として、許可していないAIツールの利用禁止の徹底と従業員教育の強化に加え、AIマネジメントシステムの導入も検討するとしています。件数と利用されたサービス名は公表されていません。
💡 コプラスの視点：注目したいのは、この従業員が規則を破ろうとしたわけではなく、目の前の集計を早く終わらせたかっただけだという点です。禁止の通達だけでは、締切のある作業の前では弱くなります。会社として使える環境を先に用意し、そのうえで私用アカウントを禁じる。この順番でないと、同じことは繰り返されます。まずは、どの部署がどのAIを何に使っているかを一度洗い出すところからです。
② OpenAI、「GPT-6 Astra」を一部組織向けに公開
出典: ITmedia NEWS／2026年9月4日（OpenAIの9月3日発表を報道）
OpenAIは9月3日、新しい旗艦モデル「GPT-6 Astra」の提供を一部の組織向けに始めました。同社はこれを最も知的で最も整合したモデルと位置づけており、数日のうちにChatGPTのPlus・Pro・Business・Enterpriseへ広げるほか、APIとAmazon Bedrock経由でも利用できるとしています。法人向けでは既定で無効になっており、管理者が有効化する必要があります。同社の自己申告による測定値では、数学のFrontierMath Tier 4で97.6〜98%、サイバーセキュリティのExploitBenchで100%（前世代GPT-5.6 Solは78.5%）とされ、コンピュータ操作の所要時間もSol比で約47%短縮したと説明しています。サイバー能力については、同社の準備フレームワークで初めてCriticalに分類されました。これを受けて公開当初は攻撃コードの実証作成に制限をかけ、防御側の組織への支援として10億ドルを投じると表明しています。なお、これらの数値はいずれも独立した第三者による検証を経たものではありません。
💡 コプラスの視点：新しいモデルが出るたびに乗り換えを考える必要はありませんが、法人契約では既定で無効という設計は覚えておく価値があります。誰がいつ新機能を有効にするかを決めていない会社では、管理者が気づかないうちに使える機能が変わっていきます。モデルの世代交代が速い今は、性能を追うより、有効化の判断を誰が持つかを先に決めておくほうが効きます。
本日のまとめ
現場では便利さが規則より先に立ち、開発側ではできることが増え続けています。この2つの速度差を埋めるのは、禁止の通達ではなく、使ってよい環境と決め方の用意です。どのAIを誰が有効にし、どの情報までなら渡してよいのか。そこが決まっている会社ほど、新しいモデルが出たときに慌てずに済みます。
