パナソニック、利用禁止の生成AIに約33万人分の個人情報をアップロード

パナソニックの人事データが利用禁止の生成AIにアップロード

2026年10月23日に、パナソニック オペレーショナルエクセレンスは、グループ人事データの一部が社内で使用禁止の外部生成AIサービスにアップロードされたと発表しました。 人事情報システムに2026年4月の時点で入っていたデータが対象です。パナソニック オペレーショナルエクセレンスは、どの生成AIサービスだったのかを公表していません。

生成AIサービスは、文章やファイルを入力するとAIが回答や要約を出力するインターネット上のサービスのことで、代表的なものにChatGPTがあります。国内企業がこれまでに公表した情報漏えいは、情報漏えいの事例を時系列で一覧、国内企業が公表した件数と原因で時期の順に確認できます。

人事情報システム導入プロジェクトのメンバーがルールに違反

データをアップロードしたのは、子会社のパナソニック デジタルと共同で進めている人事情報システム導入プロジェクトのメンバーです。 外部からの不正な操作によるものではなく、メンバーが社内ルールに違反したことが原因だとしています。

対象者に個別の連絡はなく、対応も不要

パナソニック オペレーショナルエクセレンスの今回のお知らせは、対象者一人ひとりへの通知の代わりとして公表されたものです。 個人情報保護法では、個人データの漏えいなどが発生した会社は、原則として本人に通知する必要があります。

本人への通知が難しい場合は、本人を守るために必要な別の措置をとれば、通知に代えることもできる仕組みです。 パナソニック オペレーショナルエクセレンスは、対象者に対応してもらう事項は無いとしています。

対象者は従業員と家族など4つのグループで約33万人

対象者は、日本国内のパナソニックグループ各社のうち、グループ共通の人事情報システムを導入している会社の従業員と元従業員、それぞれの家族です。 元従業員には、事業譲渡先の会社へ転籍した人も含まれます。発表では人数を4つのグループごとに示していて、合わせると約33万4千人です。

対象者の人数とアップロードされた情報（発表より）

対象者	人数	アップロードされた情報
従業員	約7万5千人	社員番号・住所・電話番号・メールアドレス
元従業員（1978年〜2026年度の退職者）	約17万8千人	社員番号・住所・電話番号・メールアドレス
従業員の家族	約5万5千人	氏名・住所・電話番号・メールアドレス
元従業員の家族（2016年以降に退職した人の家族）	約2万6千人	氏名・住所・電話番号・メールアドレス

約33万4千人という数は、4つのグループの人数から計算したものです。今回の発表は合計の人数に触れていません。

従業員と元従業員のデータに氏名は含まれない

従業員と元従業員のデータには、社員番号・住所・電話番号・メールアドレスが含まれますが、氏名は含まれていません。 元従業員は、1978年から2026年度までに退職した約17万8千人が対象です。

家族のデータは緊急連絡先の氏名と住所を含む

家族のデータは従業員の緊急連絡先として登録されていたもので、家族の氏名・住所・電話番号・メールアドレスが含まれます。 従業員が人事情報システムに自分で登録していた家族だけが対象です。元従業員の家族は、2016年以降に退職した人の家族に限られます。

アップロードされた個人情報の不正利用は確認されていない

パナソニック オペレーショナルエクセレンスは、個人情報がネット上などで公開されたり、不正に使われたりした被害は、現時点で見つかっていないとしています。 社内で調べたうえで生成AIの運営事業者にも確認し、データが今後別の目的に使われないこともわかったとのこと。

再発防止策は、生成AIサービスの利用管理と個人情報の取り扱いルールの見直しです。関係者への教育と啓発にも力を入れるとのこと。退職した人とその家族のために、問い合わせフォームも設けています。

パナソニックは9月29日に個人情報保護委員会へ報告

個人情報保護委員会には、パナソニック オペレーショナルエクセレンスが2026年9月29日に報告しています。 発表した10月23日より3週間以上前です。アップロードしたメンバーは発覚の直後に、生成AIのチャット履歴と業務用パソコンにあった対象データを削除しました。

事業者の回答ではアップロード時のAI学習は無効

メンバーが使った生成AIサービスの運営事業者は、データがアップロードされた時点で、AI学習の機能は無効だったと回答しています。 入力された文章やファイルをAIの性能向上に使う機能が働いていなかったため、他のユーザーのプロンプトへの回答にこのデータが使われることはないとのこと。

運営事業者は、ユーザーが削除したデータもセキュリティと法令順守のために30日間は保持します。保持している間もアクセスは厳しく管理され、監査などの要請が無ければアクセスされないとしています。今回のデータは30日が過ぎた10月25日以降、事業者の中にも残っていません。

生成AIに個人情報を入れないために勤務先で定めること

パナソニックのケースは、社内で禁止されていた生成AIサービスに、プロジェクトのメンバーが個人情報を含むデータをアップロードしたことで発生しました。 会社がルールを定めて社員がそのルールを守って使うことが、生成AIを仕事に使う会社には必要です。

個人情報保護委員会は2023年6月2日、事業者向けと一般のユーザー向けに、生成AIサービスを使う際の注意喚起を公表しました。この注意喚起の内容から、会社と社員がそれぞれできることを紹介します。

会社側：使ってよい生成AIと入れてよい情報を定める

個人情報保護委員会は、事業者が生成AIに個人情報を入力するなら、利用目的の範囲内かを十分に確認するよう求めています。 本人の同意を得ずに個人データを入力し、そのデータが回答の出力以外に使われると、個人情報保護法に違反する可能性があるとのこと。入力する場合は、サービスの事業者がそのデータを機械学習に使わないことなどを確認する必要があります。

そのうえで、社内で使ってよい生成AIサービスと、入力してよい情報と入力してはいけない情報を定め、社員に周知しておきましょう。使ってよいサービスが用意されていれば、社員が禁止されたサービスを選ぶ必要がなくなります。

社員側：使う前に社内ルールと利用規約を読む

社員は、生成AIサービスを仕事で使う前に、勤務先がその利用を認めているかを社内ルールで確認します。 認められているサービスでも、入力した個人情報が機械学習に使われ、正確または不正確な内容で出力されるリスクがあると個人情報保護委員会は指摘しています。

サービスの利用規約やプライバシーポリシーも読み、入力する情報の中身をふまえて使うかどうかを判断しましょう。顧客や同僚の個人情報が入ったファイルは、そのままアップロードしないことが大切です。社内ルールで生成AIの利用を制限した例は、Alibabaが社内のClaude Code利用を禁止した理由と対象範囲でも紹介しています。