パナソニックで約33万4000人分の情報が外部AIに

パナソニック オペレーショナルエクセレンスは2026年10月23日、グループのプロジェクトメンバーが、社員や退職者、その家族の個人情報を外部の生成AIサービスにアップロードしていたと発表した。対象は合計約33万4000人分。パナソニックグループでは、そのAIサービスの業務利用を禁じていた。

会社によると、原因は外部からの不正アクセスではなく、プロジェクトメンバーのメールの判断ミスだった。アップロードされたのは、人事システムに登録されていた情報の一部。会社は、情報がAIの学習に使われないことをサービス事業者に確認したとしている。

対象者の内訳は、国内グループ会社の在籍社員約7万5000人、退職者約17万8000人、社員や退職者の家族約8万1000人。社員と退職者のデータには社員番号、氏名、電話番号、メールアドレスが含まれていたが、住所は含まれていなかった。家族については、氏名、電話番号、メールアドレスが対象だった。

何が起き、情報はどう扱われたのか

家族の対象は、在籍社員の家族約5万5000人と、2016年以降に退職した社員の家族約2万6000人。退職者には、1978年度から2026年度までに退職した人が含まれ、関連会社へ転籍した人も対象になっていた。対象データは2026年4月時点で人事システムに登録されていた情報の一部だ。

会社は、アップロードされたデータと、作業に使ったPC上の対象データを削除したと説明している。ただし、サービス事業者はセキュリティや法令上の対応のため、削除後もデータを30日間保管する。保管中に事業者の担当者がアクセスできるのは、必要な場合に限られるという。会社の説明では、2026年10月23日時点では、データはまだ事業者側に保管されていた。

会社は事業者に、情報をAIの学習に使う機能がなかったことと、利用者の質問への回答に対象データを使わないことを確認したとしている。また、情報が一般に公開された事実や不正利用による被害は確認していないという。アップロードされたデータは、保管期間の終了後に事業者側から削除されるとしている。

「禁止」だけでは防げない背景

会社は、個人情報保護委員会に2026年9月29日に報告した。対象者への個別通知に代えて公表で知らせる方法を取るとしており、本人が特別な手続きをする必要はないと説明している。退職者と家族向けには、問い合わせフォームと電話窓口を設けた。

会社が利用を禁じたサービスに、仕事の情報を社員が入力してしまうことは「シャドーAI」と呼ばれる問題の一つだ。会社が認めたツールだけを使うよう求めても、社員が個人の判断で別のサービスを使えば、ルールだけでは把握しきれない場合がある。今回も、会社の禁止を知りながら情報をアップロードした経緯が、発表の中心にある。

ITmediaが紹介したVisionalグループのセキュリティ担当者は、ルールでツールを一律に制限するだけでなく、安全な使い方を確認し、必要に応じて注意できるよう監視する考え方を示している。生成AIを仕事で使う企業にとって、利用を認める範囲や監視の方法を決めることも、情報管理の課題になっている。

会社は再発防止へ

パナソニックは、個人情報の取り扱いルールと生成AIサービスの利用管理を見直し、関係者への教育や注意喚起を進めるとしている。今回、情報が一般公開された事実や不正利用の被害は確認されていない一方、事業者側の保管期間が残っていたことも明らかになった。会社の発表からは、情報が保管中に誰かに閲覧されたかどうかまでは分からない。

今後の焦点は、禁止対象のサービスを使わせないだけでなく、社員がどのサービスに何を入力したかを、会社がどう把握し、誤操作をどう防ぐかだ。パナソニックは利用管理の強化を掲げているが、具体的な変更内容や導入時期は発表していない。