موظف في RIZAP يرفع السجلات الصحية لـ726 شخصًا إلى دردشة ذكاء اصطناعي شخصية

في 20 أغسطس 2026، كان أحد موظفي RIZAP Inc.، المجموعة اليابانية لللياقة البدنية والتوجيه الصحي، يستخرج سجلات من نظام إدارة التوجيه الصحي الذي تشغله لشركات التأمين، عندما أُدخلت البيانات إلى خدمة ذكاء اصطناعي توليدي عبر حساب شخصي لم توافق عليه الشركة قط. وشملت السجلات 726 عضواً في جمعية التعاون المتبادل لموظفي الحكومات المحلية (地方職員共済組合) عبر أربعة عشر فرعاً إقليمياً، وتضمنت أسماءً وتواريخ ميلاد ورموز وأرقام بطاقات التأمين وفئات الأمراض: ارتفاع ضغط الدم والسكري وعسر شحميات الدم — وهي بيانات شخصية حساسة بموجب قانون حماية المعلومات الشخصية الياباني. نشرت الجمعية إشعارها في 4 سبتمبر 2026. وتندرج القضية ضمن الحوادث الموثقة في أرشيف حوادث Orca AI، الذي يسجل كل مدخل بمصادره الخاصة ودرجة خطورته ودرجة ثقته وإشارة كونه محل خلاف.

لم يكن هذا اختراقًا بالمعنى المعتاد. لا مهاجم، ولا بيانات اعتماد مخترقة، ولا ثغرة أمنية مستغلة. اختار شخصٌ يمارس عمل تجميع روتيني الأداةَ الخطأ، فخرجت بيانات أعضاء إحدى شركات التأمين الصحي — بما في ذلك الفئة التي يعاملها القانون الياباني على أنها تقتضي أشدّ درجات التعامل صرامة — من المبنى عبر تبويب متصفح لم يكن أحد في الشركة يعلم بوجوده. يصنّف الأرشيف هذا السجل في أعلى مستوى ثقة لديه، ويقيّم خطورته بالعالية، ويسجّل ضررًا فعليًا، ولا يضع عليه علامة النزاع، وكلا الطرفين اللذين نشرا إشعارًا متفقان على الآلية. ويفصل ما يلي بين ما تثبته تلك الإشعارات وما يعتمد على تأكيدات المورّد نفسه.

ما الذي أفصح عنه RIZAP فعليًا، ومتى

يحمل اعتذار RIZAP وإشعارها تاريخ 3 سبتمبر 2026. ويضعان الحادثة في قسم إدارة الصحة وأعمال شركات التأمين التابع للشركة، ويقولان إن الموظف كان يعمل على تجميع البيانات الخاصة بنظام إدارة الإرشاد الصحي المحدد عندما وقعت عملية الرفع. وكان الموظف يستخدم خدمة ذكاء اصطناعي توليدي للاستخدام الشخصي — وهو تعبير الشركة نفسه — وليس حسابًا مؤسسيًا. ولا يقدم الإشعار تاريخًا لوقوع الحادثة من تلقاء نفسه؛ فتوقيت 20 أغسطس، وكون الموظف قد أبلغ بنفسه عن عملية الرفع، مستمدان من الإشعارين اللذين أصدرتهما شركتا التأمين لاحقًا.

يصف النطاق الذي تحدده RIZAP مجموعةً فرعية من السجلات المسجلة في ذلك النظام بين 1 يناير و19 أغسطس 2026: أشخاص مسجلون في برنامج التوجيه الصحي المحدد الذي تقدمه شركات التأمين اليابانية للأعضاء الذين يُقيَّمون على أنهم معرضون لخطر أمراض نمط الحياة. وتُدرج الإشعار المعلومات الشخصية العادية (رمز بطاقة التأمين ورقمها، وعنوان البريد الإلكتروني، والاسم، وتاريخ الميلاد، والجنس، وللبعض عنوان ورقم هاتف)، وبشكل منفصل، فئتين من المعلومات الشخصية الحساسة: شكل دعم التوجيه الصحي الذي كان الشخص يتلقاه، والمعلومات المرضية لأي شخص مسجل بأنه مصاب بارتفاع ضغط الدم أو السكري أو عسر شحميات الدم. ويذكر أن أرقام بطاقات الائتمان وتفاصيل الحسابات المصرفية وبيانات اعتماد تسجيل الدخول لم تكن ضمن البيانات.

تقول RIZAP إنها أنجزت تقريرًا مقدمًا إلى لجنة حماية المعلومات الشخصية، وهي الجهة التنظيمية التي تتلقى إشعارات ببعض حوادث البيانات الشخصية بموجب القانون. ولا يذكر إشعار RIZAP ولا إشعار الجمعية ما فعلته اللجنة به، كما لا ترد أي نتيجة توصلت إليها اللجنة في أي من الوثيقتين.

التاريخ الذي تؤرشف فيه الجهة هذا الأمر هو 4 سبتمبر 2026، وهو تاريخ النشر الخاص بالجمعية نفسها وليس تاريخ RIZAP. ويفصل بين التاريخين يوم واحد لأن الشركة أبلغت أولاً، ثم أعلنت شركة التأمين التي كان أعضاؤها ضمن البيانات عن الأمر علنًا في اليوم التالي، حين طلبت أيضًا من المتعاقد إرسال بريد إلكتروني إلى الأشخاص المتأثرين. وقد أفاد ITmedia NEWS عن إشعار الشركة في 4 سبتمبر الساعة 11:33 بالتوقيت المحلي.

من أين يأتي الرقم 726

لم تنشر RIZAP عددًا. يصف إشعارها البيانات والاستجابة لكنه لا يقدّم عدد الأشخاص المتأثرين، ويذكر تقرير ITmedia الصادر في 4 سبتمبر صراحةً أن الشركة لم تفشِ عددًا. أما رقم 726 فيخص جمعية التعاون المتبادل لموظفي الحكومات المحلية، التي تدير التأمين الصحي للموظفين المدنيين المحليين، وكانت إحدى شركات التأمين التي تعاقدت مع RIZAP لتقديم برنامج التوجيه.

يقدّم إشعار الجمعية الصادر في 4 سبتمبر تفاصيل أكثر من إشعار المقاول: 726 شخصًا موزّعين على أربعة عشر فرعًا — إيواته، وأكيتا، وياماغاتا، وفوكوشيما، وتوتشيغي، وكاناغاوا، وفوكوي، ومي، وأوساكا، وتوتوري، وياماغوتشي، وكاغاوا، وإهيمه، وكاغوشيما. ويسجّل الحادث بتاريخ 20 أغسطس، ويذكر أن أحد موظفي المقاول أدخل البيانات في خدمة لم يكن المقاول قد أذن بها وأشار إليها، ويؤكد أن البيانات حُذفت من شاشة خدمة الذكاء الاصطناعي، وأن طلب حذف أُرسل إلى مزوّد الخدمة، ويقول إن RIZAP أرسلت بريدًا إلكترونيًا إلى الأشخاص المتأثرين في الساعة 10:00 من 4 سبتمبر.

ثمة اختلافان صغيران بين الروايتين جديران بالملاحظة بدلاً من التغاضي عنهما. تُسمّي RIZAP المعرّف رمز بطاقة التأمين ورقمها؛ بينما تُسمّيه الجمعية رمز العضو ورقمه. وتسرد RIZAP ثلاث فئات من دعم الإرشاد الصحي؛ في حين يسرد إشعار الجمعية فئتين: الدعم النشط والدعم التحفيزي. ولا يغيّر أيٌّ من الاختلافين شكل الحادثة، لكنهما تذكير بأن الوثيقتين كتبتهما منظمتان مختلفتان لجمهورين مختلفين، وبأن التفاصيل على مستوى الأعضاء تأتي من شركة التأمين، لا من الشركة التي فقدت السيطرة عليها.

كان الحادث أوسع نطاقًا من 726

لأن RIZAP لم تُفصح قط عن إجمالي، فإن حجم الانكشاف لا يمكن تجميعه إلا من الإشعارات الصادرة عن شركات التأمين نفسها، وهذا بالضبط ما كانت تفعله منصات الأمن اليابانية. فقد جمعت Security Measures Lab (セキュリティ対策Lab)، وهي موقع أخبار أمني ياباني، الإشعارات التي تمكنت من التحقق منها وأعادت نشر الرقم الذي وضعته إحدى شركات التأمين على مجموعة البيانات بأكملها: إذ أعلنت الجمعية الوطنية للتأمين الصحي للبناء والهندسة المدنية (全国土木建築国民健康保険組合) أن بيانات 19,996 شخصًا أُدخلت في خدمة الذكاء الاصطناعي غير المعتمدة وجرى الرجوع إليها فيها، وكان 1,167 منهم من أعضائها.

يحتاج ذلك الرقم إلى التحفّظ الذي يورده {{1}}الموقع نفسه{{/1}}: فهو يَعُدّ الأشخاص الذين أُدخلت بياناتهم في الخدمة، لا الأشخاص الذين تأكّد وصول معلوماتهم إلى أيّ جهة. والأرقام المنشورة الأخرى تندرج ضمنه ولا يجوز إضافتها إليه. ذكرت جمعية التأمين الصحي لمجموعة {{2}}IHI Group{{/2}} 210 أشخاص في إشعار مؤرخ 2 سبتمبر. ولم تنشر جمعية التأمين الصحي التابعة لـ{{3}}Hitachi{{/3}} أي عدد، لكنها علّقت الإحالات الجديدة إلى برنامج التوجيه الصحي التابع لـ{{4}}RIZAP{{/4}} حتى تتمكن من التحقق من أن تدابير الوقاية تعمل فعليًا. كما نشرت {{5}}Nippon Shokubai{{/5}} و{{6}}Kansai Television Broadcasting{{/6}} وجمعية التعاضد لموظفي البلديات في غونما، وجمعية التأمين الصحي لمنتجات البترول، و{{7}}Unitika{{/7}} و{{8}}Works Human Intelligence{{/8}} إشعارات، معظمها دون أرقام.

مُثبت، ومنسوب، وما زال غير مؤكد

أثبتته وثيقتان أوليتان مستقلتان. جرت عملية الرفع في 20 أغسطس 2026 أثناء عمل تجميع البيانات؛ وكانت الخدمة من الخدمات التي لم يكن المتعاقد قد صرّح بها؛ وشملت البيانات أسماءً وتواريخ ميلاد ومعرّفات خاصة بشركات التأمين ومعلومات صحية تشمل فئات الأمراض؛ والأعضاء المتأثرون في خطة الحكومة المحلية رقم 726 عبر أربعة عشر فرعًا؛ وأبلغت RIZAP الحادث إلى لجنة حماية المعلومات الشخصية؛ وأُرسلت رسائل بريد إلكتروني إلى الأعضاء المتأثرين في 4 سبتمبر.

منسوب إلى RIZAP، ويستند إلى إجابات مورّدها للذكاء الاصطناعي. أنه لم يكن بإمكان أي طرف ثالث خارج مزوّد الذكاء الاصطناعي رؤية البيانات، وأن البيانات لم تُستخدم لتدريب نموذج. يوضح إشعار RIZAP الأساس: أخبر المزوّد الشركة أن الملفات التي تحتوي على معلومات قابلة للتعرّف عليها لا تُستخدم أبدًا للتدريب حتى حيث يسمح حساب بذلك، وأن الملفات المحذوفة خلال 24 ساعة لا تُستخدم للتدريب أيضًا؛ وتقول RIZAP إنها حذفت البيانات داخل تلك النافذة. الادعاء تأكيد منقول، وليس حقيقة مدققة، ولم يفحصه أي طرف مستقل.

غير مؤكد عند النشر، باعتراف الشركة نفسها. ما إذا كان موظفو مزود الذكاء الاصطناعي أنفسهم قد تمكنوا من رؤية البيانات المرفوعة. يقول إشعار RIZAP المؤرخ 3 سبتمبر إن هذا كان لا يزال قيد التحقق؛ ويقول إشعار الجمعية المؤرخ 4 سبتمبر إن المتعاقد ينتظر إجابة المزود. وفقًا للوثائق، يظل هذا السؤال مفتوحًا — ولهذا ينبغي للقارئ أن يتعامل مع "حُذفت البيانات" و"لم يرها أحد" بوصفهما ادعاءين مختلفين.

سُمّي من جهة إحدى شركات التأمين، لا من جهة المتعاقد. يحدّد إشعار جمعية التأمين الصحي لمجموعة IHI مقدّم خدمة الذكاء الاصطناعي بأنه OpenAI. ولم تُسمِّ RIZAP الخدمة، ولا شيء في أيٍّ من الإشعارين الرئيسيين يؤكد إفصاح IHI أو ينفيه.

لم يُزعم ذلك في أي مكان. لا يوجد مهاجم، ولا ابتزاز، ولا سوء استخدام لاحق، ولا دليل على أن بيانات أي عضو قد استُخدمت ضده. ويحذّر كلا الإشعارين الأعضاء من التصيّد الاحتيالي، ويذكر كلاهما أن RIZAP لن تطلب أبدًا أموالًا أو بيانات البطاقة أو أرقام الحسابات أو كلمات المرور — وهذا إجراء احترازي، وليس تقريرًا عن هجوم.

ماذا تغيّر بعد ذلك؟

تسرد RIZAP ثلاث طبقات من الاستجابة. على صعيد الأشخاص: تعميم متجدد على مستوى الشركة بأن خدمات الذكاء الاصطناعي التوليدي التي لم تعتمدها الشركة لا يجوز استخدامها في العمل، إلى جانب استمرار التدريب على حماية البيانات الشخصية والاستخدام المناسب للذكاء الاصطناعي. على صعيد الأنظمة: مراجعة أذونات الوصول وبيئات العمل لمنع إخراج البيانات أو استخدام خدمات غير معتمدة. على صعيد الحوكمة: النظر في نظام لإدارة الذكاء الاصطناعي إلى جانب نظامها الحالي لإدارة أمن المعلومات.

تسير التزامات الجمعية في الاتجاه المعاكس، أي عند المتعهد. وتقول إنها ستعزز إشرافها على RIZAP وستتحقق من أن تدابير الوقاية مطبقة فعليًا، وتقول إنها طلبت من المتعهد تحقيقًا أشمل في الوقائع ومدى التأثير. وقد ذهبت جمعية التأمين الصحي لدى Hitachi أبعد من كليهما، إذ أوقفت الإحالات الجديدة حتى تقتنع بأن التدابير سارية.

ما لم يتغيّر هو الصورة التنظيمية. فالإخطار المقدّم إلى لجنة حماية المعلومات الشخصية التزامٌ بتقديم طلب، وليس حكماً قضائياً، ولا يسجّل أيٌّ من الإشعارين أيّ تعليمات أو إرشادات أو عقوبات صادرة عنها.

لماذا يعتبر الأرشيف هذا معلمًا بارزًا

تتضمن معظم حوادث الذكاء الاصطناعي المسجلة علنًا قيام نظام ما بفعل شيء خاطئ. أما هذا الحادث فيتعلق بشخص يقوم بأمر عادي باستخدام نظام كان يعمل تمامًا كما صُمم — وهو ما يمثل المشكلة الأصعب، لأن الفشل يظل غير مرئي للمؤسسة حتى بعد خروج البيانات. وتندرج هذه الحادثة ضمن الفئة التي يسميها الممارسون اليابانيون الذكاء الاصطناعي الظل: استخدام الموظفين لخدمة ذكاء اصطناعي استهلاكية في العمل لأنها أسرع من المسار المعتمد، وعادةً دون سوء نية، وغالبًا بنية أداء العمل على نحو جيد.

يضع المصدر المذكور لهذا السجل، وهو موقع ياباني لشرح الأمن، هذا الحادث إلى جانب حدثين آخرين مرتبطين بالذكاء الاصطناعي من الأسبوع نفسه — احتيال في الدفع عبر استنساخ الصوت، واختراق بواسطة وكيل ذكاء اصطناعي — ويؤكد أن الثلاثة جميعًا استهدفوا نقاط ضعف كانت موجودة أصلًا بدلًا من أن ينشئوا نقاط ضعف جديدة. ذلك التأطير هو تحليل الموقع وليس نتيجةً موثّقة، لكن المقارنة في محلها: لم يستلزم أيٌّ من الثلاثة قدرة جديدة، بل مسارًا أسرع إلى قدرة قديمة.

ما يجعل هذا السجل جديرًا بالقراءة بحد ذاته هو دقة تحديد الضرر. فقد وُضعت معرّفات التأمين الخاصة بـ726 شخصًا وبيانات الاتصال بهم وثلاث فئات مرضية محددة بالاسم في حساب ذكاء اصطناعي استهلاكي لم يوافق عليه متعاقد شركة التأمين الخاصة بهم قط، والسبب الوحيد الذي جعل أي شخص يكتشف ذلك هو أن الموظف الذي فعل ذلك أفصح عنه. يسجّل الأرشيف ضررًا حقيقيًا هنا. وما يثبته الإشعاران هو التعرض للبيانات الحساسة وفقدان السيطرة عليها — وليس أن أي شخص قد استخدمها.

ما الذي يؤكد السجل، وما الذي لا يؤكده؟

لا تستند درجة الثقة في السجل إلى المجمِّع الذي يستشهد به الأرشيف وحده. فقد نشرت ثلاثة أطراف مستقلة خلال أسبوعين من وقوع الحادث: RIZAP نفسها في 3 سبتمبر، وجمعية التعاون التبادلي لموظفي الحكومات المحلية في 4 سبتمبر، وITmedia NEWS، التي نقلت إشعار الشركة في 4 سبتمبر وأضافت التفصيل القائل إنه لم يُفصح عن أي عدد. كما نشرت جمعية التأمين الصحي لمجموعة IHI وجمعية التأمين الصحي لهيتاشي وست شركات تأمين أخرى على الأقل إشعاراتها الخاصة، وجمعتها Security Measures Lab. وتنشر مدونة يابانية لأرشيف الحوادث، b-son.net، بيان الجمعية كاملاً إلى جانب ملخصها الخاص.

ما لا يثبته أيٌّ من ذلك هو الإجمالي. لم تنشر RIZAP رقمًا إجماليًا، وأرقام شركات التأمين متداخلة، ورقم 19,996 هو تصريح شركة تأمين واحدة عن مجموعة البيانات لا إحصاءً للحالات المؤكدة. وعلى كل من يقتبس رقمًا واحدًا لهذه الحادثة أن يبيّن الوثيقة التي جاء منها — وهو الانضباط الذي يطبّقه الأرشيف نفسه على كل مدخل يحتفظ به.