パナソニック、禁止の生成AIに33万人分 消えるのは10月25日以降だ

パナソニック、禁止の生成AIに人事データ　合計約33万4000人分

パナソニック オペレーショナルエクセレンスは10月23日に発表を出した。グループの従業員と元従業員とその家族の個人情報が、社内で利用を禁止している外部の生成AIサービスにアップロードされていた。

起きた場所は人事情報システムの導入プロジェクトだ。同社と子会社のパナソニック デジタルが進めていた。プロジェクトのメンバーが社内ルールに違反し、2026年4月時点でシステムに登録されていたデータの一部を外部の生成AIへ入れた。

外部からの不正な操作によるものではないという。一般への公開や不正利用による被害は、現時点で確認されていない。発表の中に、どの生成AIサービスだったかの名前は出てこなかった。

元従業員だけで約17万8000人　家族は氏名まで入っていた

いちばん多いのは、1978年から2026年度までに退職した元従業員の約17万8000人だ。事業譲渡先へ転籍した人もここに入る。いま働いている従業員は約7万5000人で、国内のグループ共通の人事情報システムを使う会社が対象になった。

家族の情報は、従業員が緊急連絡先として人事情報システムに登録していたものだ。従業員の側には氏名が無い一方で、家族の側には氏名まで入っていた。本人が会社に預けた家族の連絡先が、家族の知らないところで外のサービスへ出た形になる。

学習オフでも削除後30日は残る　消えるのは10月25日以降

学習に使わない設定でも、データは削除した日から30日間は運営事業者の手元に残っていた。発覚の直後、アップロードしたメンバーは生成AIのチャット履歴と業務用PCの対象データを消している。

同社が運営事業者に確かめると、アップロードの時点でAIの学習に使う機能は無効だった。他の利用者への回答にも使われないという説明だ。ただしこのサービスは、利用者が消してもセキュリティーと法令順守のためにデータを持ち続ける仕組みだった。

保持中のデータは厳しくアクセスを管理され、監査などの求めが無い限り開かれない。今回のデータは保持期間が終わる10月25日以降、事業者側に残らないという。「学習に使われない」と「もう消えた」は別の話で、履歴を消した瞬間に手を離れるわけではない。

同社は9月29日に個人情報保護委員会へ報告した。今回の発表は個人情報保護法に基づく本人通知の代わりで、対象者がいま何かをする必要はないとしている。退職者とその家族向けには問い合わせフォームと専用窓口を設けた。

禁止のAIは開けない形にする　社内で確かめたい3つ

今回の始まりは外からの攻撃ではなく、禁止されていたサービスを社内の人が使えてしまったことだ。パナソニックは個人情報の扱いのルールと生成AIサービスの利用管理を見直し、関係者への教育も強めるとしている。自社でも次の3つは今のうちに確かめておきたい。

• 禁止している生成AIが、業務用PCのブラウザから実際に開けてしまわないか
• 許可しているAIでも、削除したデータが事業者側に何日残るかを規約で押さえているか
• 人事や顧客の名簿のように、本人以外の情報まで入ったデータを誰が持ち出せるか

AIへの貼り付けを禁じる仕組みについては、LayerXがAIエージェントに試させた件も以前取り上げた。ルールの文書だけで止められる時期は過ぎていて、社内のAI利用の線引きは画面の上で守られる形まで落とし込む段階に来ている。