パナソニックグループで、従業員や元従業員、その家族の個人情報が、社内で利用を禁止している外部の生成AIサービスにアップロードされていたことが分かりました。パナソニック オペレーショナルエクセレンスが10月23日、パナソニック ホールディングスのWebサイトで公表しました。
対象は4つの区分を合わせて約33万人分です。外部からの不正アクセスではなく、社内のプロジェクトメンバーがルールに反してデータを生成AIに入力したことによるものです。この記事では、公式発表をもとに、何が起きたのか、対象となる情報、会社の対応を整理します。
何が起きたか
パナソニック オペレーショナルエクセレンスは、子会社のパナソニック デジタルと、人事情報システムを導入するプロジェクトを進めていました。そのプロジェクトのメンバーが、従業員・元従業員・家族の個人情報を含むデータを、社内で利用が禁止されている外部の生成AIサービスにアップロードしました。
アップロードされたのは、2026年4月時点で人事情報システムに登録されていたデータの一部です。生成AIサービスの名称や、アップロードが行われた日付、発覚の経緯は公表されていません。同社は9月29日に個人情報保護委員会へ報告しています。
対象となる人と情報
| 区分 | 人数 | 対象となる情報 |
|---|---|---|
| 従業員 | 約7万5千人 | 社員番号、住所、電話番号、メールアドレス（氏名は含まない） |
| 元従業員 | 約17万8千人 | 従業員と同じ。1978年から2026年度までの退職者で、事業譲渡先に転籍した人も含む |
| 従業員の家族 | 約5万5千人 | 緊急連絡先として登録された家族の氏名、住所、電話番号、メールアドレス |
| 元従業員の家族 | 約2万6千人 | 従業員の家族と同じ。2016年以降に退職した人の家族のみ |
4区分の合計は約33万4千人です（合計人数は公式発表には記載がなく、筆者が足し合わせたものです）。従業員と元従業員については氏名が含まれていないと明記されています。一方、家族は氏名も対象です。
注目すべきは、1978年以降の退職者まで含まれている点です。最大で約半世紀前に退職した人の住所や電話番号が、今回のデータに入っていたことになります。
会社の対応と、データの行方
同社によると、事案が分かった直後に、アップロードしたメンバーが生成AIのチャット履歴と、業務用PCにあった対象データを削除しました。
生成AIサービスの事業者にも確認し、次の回答を得たとしています。
- 学習に利用する機能は無効になっていたため、データが他の利用者への回答に使われることはない
- 削除後も、セキュリティと法令順守のため30日間は保持されるが、アクセスは厳格に管理され、監査などの要請がない限り参照されない
- 保持期間が過ぎれば、事業者内にもデータは残らない
現時点で、情報の公開や不正利用による具体的な被害は確認されておらず、今後の二次利用もないことを確認したとしています。
対象者がやるべきこと
同社は、今回の公表を個人情報保護法に基づく本人通知の代わりと位置づけています。対象者がとるべき対応は特にないとしています。
とはいえ、パナソニックグループの元従業員やその家族を名乗る人に向けて、今回の件に便乗した連絡が届く可能性はあります。「情報流出のお詫び」「補償手続き」などをうたう不審なメールや電話には注意し、確認は公式の窓口で行うのが安全です（この点は筆者の考えです）。
問い合わせ先（退職者とその家族向け）
- お問い合わせフォーム：https://forms.cloud.microsoft/r/dJ5bwvAZJu
- 電話（フォームを使えない場合）：0120-877-872（月〜金 9:00〜19:00、土日祝・会社休日を除く）
再発防止策
同社は、個人情報の取り扱いルールと生成AIサービスの利用管理を見直すとともに、関係者への教育と啓発を強化するとしています。
公表内容から読み取れること（考察）
ここからは、公式発表をもとにした筆者の考察で、推測を含みます。
この1か月ほど国内で相次いでいる情報流出の多くは、外部からの不正アクセスによるものでした。今回はそれとは性質が異なり、社員が業務を効率化しようとして、社外のサービスにデータを持ち出してしまった事例です。いわゆる「シャドーAI」（会社が認めていないAIツールの業務利用）が、実際に大規模な個人情報の外部送信につながった例といえます。
人事システムの導入プロジェクトでは、データの移行や項目の照合といった作業が多く発生します。その作業に生成AIを使おうとした可能性は考えられますが、目的は公表されていません。いずれにしても、禁止ルールを設けるだけでは防げなかったことになります。
学習機能が無効で30日後に削除されるという説明は、利用者の不安をある程度和らげるものです。一方で、30日間は社外の事業者のもとにデータが残ります。そもそも1978年からの退職者の連絡先まで人事システムに保管されていた点からは、企業がデータをどこまで持ち続けるべきかという課題も見えてきます。
関連記事
まとめ
パナソニックグループの人事システム導入プロジェクトで、従業員・元従業員・家族の約33万人分の個人情報が、利用禁止の外部生成AIにアップロードされました。従業員・元従業員は社員番号・住所・電話番号・メールアドレス、家族は氏名を含む連絡先が対象です。
データは削除済みで、学習には使われず、30日後には事業者側からも消えるとされています。現時点で被害は確認されておらず、対象者に必要な対応もないとしていますが、便乗した不審な連絡には注意してください。
出典
出典：パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026年10月23日）
元記事URL：https://holdings.panasonic/jp/information/topics/20261023.html
コメント