パナソニック、禁止された生成AIに約33万人分の個人情報をアップロード

パナソニック オペレーショナルエクセレンスは10月23日、人事情報システムの導入プロジェクトにおいて、従業員や元従業員、その家族など約33万4000人分の個人情報を含むデータが、社内で利用を禁止している外部の生成AIサービスにアップロードされたと発表した。外部からの不正アクセスではなく、プロジェクトメンバーによる社内ルール違反が原因としている。

• 

  パナソニック オペレーショナルエクセレンスが禁止された生成AIに約33万人分の個人情報をアップロードされたことを発表

人事システム導入プロジェクトで発生、家族の氏名や連絡先も対象

問題が発生したのは、子会社のパナソニック デジタルと進めていた人事情報システム導入プロジェクト。プロジェクトメンバーが、2026年4月時点で人事情報システムに登録されていた個人情報を含むデータの一部を、利用が禁止されている外部の生成AIサービスにアップロードしたという。

対象となったのは、日本地域のパナソニックグループ共通人事情報システムを利用する会社の従業員や元従業員、その家族など、合計約33万4000人。

内訳は、従業員が約7万5000人、元従業員が約17万8000人、従業員の家族が約5万5000人、元従業員の家族が約2万6000人となっている。

従業員と元従業員については、社員番号、住所、電話番号、メールアドレスが対象で、氏名は含まれていない。一方、家族については、緊急連絡先として登録された氏名、住所、電話番号、メールアドレスが含まれていた。

アップロードしたデータは削除、AIの学習利用は無効

同社は9月29日に個人情報保護委員会へ報告した。事案の発覚直後、当該プロジェクトメンバーは生成AIサービスのチャット履歴と、業務に使用したPC内の対象データを削除した。

また、生成AIサービスの運営事業者に確認したところ、データをアップロードした際、AIの学習に利用する機能は無効になっていたという。このため、他の利用者からの質問に対する回答に、アップロードされたデータが使用されることはないとしている。

ただし、利用者がデータを削除した場合でも、サービス事業者はセキュリティや法令順守を目的として、削除日から30日間データを保持する仕組みとなっていた。保持期間中のデータは厳格にアクセス管理され、監査などの要請以外ではアクセスされないという。

同社は、今回のデータについて、保持期間が経過した10月25日以降はサービス事業者内でも保持されないことを確認したとしている。

個人情報の不正利用や二次被害は確認されず

同社の調査と生成AIサービス事業者への確認では、対象者の個人情報が一般に公開された事実や、不正利用による具体的な被害は確認されていない。また、今後二次利用されることもないとしている。

今回の事案は、外部からのサイバー攻撃によるものではなく、プロジェクトメンバーが社内の利用ルールに違反して外部の生成AIサービスにデータをアップロードしたことで発生した。

同社は再発防止に向け、個人情報の取り扱いルールや生成AIサービスの利用管理を見直すとともに、関係者への教育・啓発を強化する方針。