パナソニック オペレーショナルエクセレンスが2026年10月23日、人事情報システムの導入プロジェクトで、従業員・元従業員・そのご家族の個人情報を含むデータが、利用を禁止していた外部の生成AIサービスにアップロードされたと公式サイト（パナソニック ホールディングス）で公表しました。社内で生成AIを使っている人や、利用ルールを管理している情シス担当者にとって、他人事ではない事案です。
個人情報のアップロード、結論は「攻撃ではなくルール違反」
結論から言うと、原因は外部からの不正な操作ではなく、プロジェクトメンバーによるルール違反でした。公式の発表によると、アップロードされたデータは削除対応が済み、今後二次利用されないことも確認されています。
| 項目 | 内容 |
|---|---|
| 発表日 | 2026年10月23日 |
| 発表した会社 | パナソニック オペレーショナルエクセレンス株式会社 |
| 起きた場所 | 子会社パナソニック デジタルと進める人事情報システム導入プロジェクト |
| 起きたこと | 利用を禁止している外部の生成AIサービスに、個人情報を含むデータをアップロード |
| 原因 | 外部からの不正な操作ではなく、プロジェクトメンバーのルール違反 |
| 対象者への対応 | 公表は本人通知の代替措置。対象者に対応いただく事項はない |
対象になった個人情報の範囲
対象データは、2026年4月時点の人事情報システムに登録されていたデータの一部です。対象は、パナソニックグループ（日本地域の、グループ共通人事情報システム利用会社）の在籍従業員、元従業員（事業譲渡先へ転籍した方を含む）、そのご家族です。
| 対象者 | 人数 | 含まれる個人情報 |
|---|---|---|
| 従業員 | 約7万5千人 | 社員番号、住所、電話番号、メールアドレス（氏名は含まれていない） |
| 元従業員（1978年〜2026年度退職者） | 約17万8千人 | 社員番号、住所、電話番号、メールアドレス（氏名は含まれていない） |
| 従業員のご家族 | 約5万5千人 | 緊急連絡先のご家族の氏名、住所、電話番号、メールアドレス |
| 元従業員のご家族（2016年以降退職の方のみ） | 約2万6千人 | 緊急連絡先のご家族の氏名、住所、電話番号、メールアドレス |
ご家族分は、人事情報システムに従業員自身が登録されていた方のみが対象で、従業員に代わる緊急連絡先として登録されたご家族の個人情報です。内訳の合計は約33万4千人です。
個人情報が外部に出たあとの対応状況
公式の発表では、対応は次のとおりです。
- 個人情報保護委員会へ、2026年9月29日に報告した
- 発覚直後に、当該メンバーが生成AIのチャット履歴と、業務PC内の対象データを削除した
- 生成AIサービス事業者への照会では、アップロード時にデータをAI学習に利用する機能が無効だったため、他の利用者の質問への回答に使われることはないとの結果だった
- 利用者が削除しても、事業者はセキュリティと法令順守のため、削除日から30日間は保持する。ただし事業者内で厳格にアクセス管理され、監査等の要請以外ではアクセスされない
- 発覚直後に削除したデータは、30日が過ぎた10月25日以降は事業者内でも保持されない
調査と事業者への確認の結果、現時点では、個人情報が一般に公開された事実や、不正利用による具体的な被害は確認されていません。新たな事実が判明すれば、速やかに知らせるとしています。
個人情報の問い合わせ窓口と再発防止
対象となる退職者・ご家族向けには、問い合わせフォームが用意されています。利用が難しい場合は、専用窓口のフリーダイヤル 0120-877-872（月〜金、土日祝・休日を除く 9:00〜19:00）です。
再発防止として、個人情報の取り扱いルールと生成AIサービスの利用管理を見直し、関係者への教育・啓発を強化するとしています。なお、利用された生成AIサービスの名称は公表されていません。
情シス担当者が自社で見直したい個人情報の扱い
ここからは、この事案をふまえた一般論です。自社の生成AI利用ルールで、次の点を確認しておくことをおすすめします。
| 確認する点 | 見るべきこと |
|---|---|
| 利用していい生成AIの範囲 | 会社が許可したサービスが一覧になっているか。個人契約のサービスはどう扱うか |
| 入力していい個人情報の範囲 | 従業員・顧客の氏名、住所、連絡先などを入れてよいか。入れてよい場合の条件は何か |
| 設定の確認 | 許可したサービスでも、学習への利用を止める設定がされているか |
| 検知の仕組み | 禁止サービスへの送信やアップロードに、気づける仕組みがあるか |
| 発覚したときの動き | 削除の手順、事業者への照会、監督機関への報告を誰がどの順で行うか |
| 教育 | 「禁止されている」と知っているだけでなく、なぜ禁止かが伝わっているか |
特に、システム導入やデータ移行のプロジェクトは、実データを扱う場面が多く、作業の効率化のために生成AIを使いたくなりやすい場面です。実データの代わりにダミーデータを使う、作業用の端末では許可されたサービスしか使えないようにするなど、ルールを守りやすい環境を用意しておくと、個人情報の取り扱いで迷う場面が減ります。
現場で起きそうなこと
「ちょっと表を整形してもらうだけ」「エラーの原因を聞くだけ」という気軽な気持ちで、個人情報を含むファイルを生成AIに貼ってしまう。悪意がなくても起こりうる話です（今回の動機は公式には書かれていません。あくまで一般論です）。禁止するだけでなく、許可されたサービスを使いやすくしておくことが、ルールを守ってもらう近道になります。
ほかのITの話題は、技術ネタの記事一覧からどうぞ。
2026年10月24日時点の情報です。
ITもごはんも、腹八分目が長続きのコツ！
コメント