パナソニック、禁止の生成AIに人事データを投入 約33万人分

何が起きたのか

パナソニック オペレーショナルエクセレンスは2026年10月23日、従業員らの個人情報を含むデータが外部の生成AIサービスに上げられたと公表しました。

子会社のパナソニック デジタルと進める人事情報システムの導入プロジェクトで、メンバーが2026年4月時点のシステムのデータの一部を、同社が利用を禁止しているサービスへアップロードしました。同社は、外部からの攻撃ではなく、ルール違反によるものとしています。同社が個人情報保護委員会へ報告したのは9月29日です。

外部の生成AIサービスにデータを上げると、そのデータは利用者の手元を離れ、サービス提供会社のサーバーに送られます。この件は、外部の攻撃者に盗まれたのではなく、社内の人が自分で送った点が、一般的な不正アクセスとは異なります。

漏れた情報

合わせて約33万4,000人分です。

• 従業員 約7万5,000人、元従業員 約17万8,000人（1978年から2026年度の退職者）：社員番号、住所、電話番号、メールアドレス。氏名は含みません
• 従業員の家族 約5万5,000人、元従業員の家族 約2万6,000人（2016年以降の退職者の家族）：緊急連絡先として登録された家族の氏名、住所、電話番号、メールアドレス

会社の対応

メンバーは発覚の直後に、チャットの履歴と業務用PCのデータを消しました。

同社が運営事業者へ照会したところ、AIの学習に使う機能は無効で、他の利用者への回答に使われることはないとの回答でした。消したデータも、保持期間の30日を過ぎる10月25日以降は事業者に残らないとしています。公開や不正利用は確認されていません。

この発表は、本人への通知に代わるものです。同社は、個人情報の取り扱いのルールと生成AIの利用管理を見直し、教育を強めるとしています。

中小企業が学べること

禁止するだけでは、作業を急ぐ社員の利用を止めきれないことがあります。使ってよいサービスを用意し、入れてはいけない情報を具体的に示すと判断しやすくなります。

人事や顧客のデータは、丸ごと取り出せる人を絞ります。システムの導入や移行の作業で本番のデータを使うときは、住所や連絡先を抜いたテストデータを用意し、作業する人の手元に実際の個人情報を置かないようにします。この件でも、対象になったのは導入プロジェクトで扱っていたデータでした。

誤って入れてしまった人が、すぐに報告できる窓口を決めておきます。報告した人を責めない決まりにすると、報告が早くなります。