健康サービスの会社で、社員が個人で使う生成AIに特定保健指導の顧客情報をアップロードした。疾患情報も含まれていた

何が起きたか

この事故で流出した、または流出したおそれがある情報は、保険証記号番号、メールアドレス、氏名、生年月日、性別、一部の住所・電話番号、支援形態、疾患情報（高血圧症・糖尿病・脂質異常症）。委託元の1つは全体で19,996名分と公表したです。その後の対応と影響は、チャット履歴を削除し、学習利用を止める設定をした。サービス事業者にデータ削除を依頼した。個人情報保護委員会に報告した。委託元の健保組合の1つは新規の受付を止めたです。

原因になったのは「社員が個人で使う外部の生成AIサービスに顧客データをアップロードした」です。生成AIで作ったもの、または生成AIの使い方が事故に関わっています。

なぜ起きたか

公表文によると、社員は特定保健指導のデータを集計する作業の中で、個人で使っている生成AIサービスにデータを読み込ませた。会社は、許可されていない生成AIの業務利用の禁止を全社に改めて周知した。

原因の種類は「生成AIへの入力」です。業務の情報を生成AIに入力し、外部のサービスに残った事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は2件あります。

事故が起きてから公表されるまで

1. 2026年8月20日データ抽出の作業中に生成AIサービスへの入力が起きる（委託元の健保組合の説明）
2. 8月21日委託元の健保組合の1つが個人情報保護委員会に報告
3. 8月28日別の委託元の健保組合が公表
4. 9月2日委託元の健保組合が対象210名分を公表
5. 9月3日会社が公表

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

業務で使ってよい生成AIを決めて法人契約の環境を用意し、個人アカウントのAIサービスに業務データを送れない設定にしていれば、入力を防げた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. 社員が業務で使ってよい生成AIサービスと、入れてよい情報の範囲を文書で確認する
2. 個人アカウントの生成AIサービスへのファイル送信を制限できるか確認する
3. 要配慮個人情報を扱う作業の手順に、生成AIを使わない工程を明記する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• 当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ2026.09.03
• IHIグループ健康保険組合：特定保健指導業務の委託先における生成AI利用に関する事案発生について2026.09.02
• 全国土木建築国民健康保険組合：特定保健指導委託業者における個人情報の不適切な取扱いに関するご報告とお詫び日付記載なし
• 地方職員共済組合：お知らせ2026.09.04