Un empleado de RIZAP Inc., grupo japonés de fitness y orientación de salud, subió el 20 de agosto de 2026 registros de salud de 726 personas a un servicio de inteligencia artificial generativa usando una cuenta personal no autorizada por la empresa. Los datos provenían del sistema de gestión de orientación de salud que RIZAP opera para compañías aseguradoras.
El incidente se conoció a través del portal especializado DataBreaches.net. Según se informó, el empleado extrajo los registros del sistema interno de gestión de orientación de salud y los cargó en una plataforma de IA generativa de uso personal, sin ningún tipo de aprobación corporativa ni control previo. La naturaleza de la información comprometida —historial de salud de afiliados a aseguradoras— eleva la gravedad del caso por tratarse de datos sensibles en la clasificación de prácticamente todos los marcos regulatorios vigentes.
Datos confirmados al 29 de octubre de 2026
- Fecha del incidente: 20 de agosto de 2026
- Empresa involucrada: RIZAP Inc. (Japón)
- Cantidad de personas afectadas: 726
- Tipo de dato comprometido: registros de salud de miembros de aseguradoras
- Canal de exposición: servicio de IA generativa en cuenta personal no aprobada por la empresa
- Sistema de origen: plataforma de gestión de orientación de salud operada por RIZAP para aseguradoras
Qué se sabe y qué falta confirmar
Está confirmado que el empleado actuó con una cuenta personal externa al entorno corporativo, lo que apunta a un caso típico de shadow AI: uso no autorizado de herramientas de inteligencia artificial generativa dentro del flujo de trabajo, sin supervisión ni políticas de uso aprobadas. Lo que no se ha informado públicamente es si los datos fueron retenidos, procesados o incorporados a modelos por parte del proveedor del servicio de IA, ni si RIZAP notificó formalmente a los afectados o a la autoridad regulatoria japonesa competente, la Comisión de Protección de Información Personal (PPC, por sus siglas en inglés). Tampoco se conocen aún medidas disciplinarias contra el empleado ni el nombre del servicio de IA utilizado.
El caso tiene resonancia directa para América Latina, donde el tratamiento de datos sensibles de salud está sometido a protección reforzada en varias jurisdicciones. En Argentina, la Ley 25.326 clasifica los datos de salud como datos sensibles y su tratamiento sin consentimiento expreso está prohibido; la Agencia de Acceso a la Información Pública (AAIP) tiene facultades para investigar y sancionar este tipo de incidentes. En Brasil, la Lei Geral de Proteção de Dados (LGPD) establece en su artículo 11 requisitos estrictos para el tratamiento de datos de salud, con potencial de multas de hasta el 2% de la facturación del grupo económico en el país. En México, la LFPDPPP obliga a implementar medidas de seguridad administrativas, técnicas y físicas para datos sensibles como los de salud. Ninguno de esos marcos permite que un empleado transfiera datos de ese tipo a un servicio externo sin autorización, independientemente de si el propósito era laboral.
El próximo hito a seguir es si la PPC japonesa recibe notificación formal del incidente, lo que activaría plazos de reporte y podría derivar en lineamientos aplicables a empresas que operan sistemas de salud tercerizados para aseguradoras en toda la región.
