パナソニック オペレーショナルエクセレンス株式会社は2026年10月23日、パナソニック デジタル株式会社と進めていた人事情報システム導入プロジェクトにおいて、プロジェクトメンバーが従業員、元従業員およびその家族の個人情報を含むデータを、社内で利用を禁止している外部の生成AIサービスへアップロードしていたと発表しました。
今回の事案は、外部からの不正アクセスやサイバー攻撃によるものではなく、プロジェクトメンバーによる社内ルール違反に伴うデータのアップロードです。
従業員・元従業員など約33万人分が対象
対象となったのは、2026年4月時点の人事情報システムに登録されていたデータの一部です。
対象者は、パナソニックグループの共通人事情報システムを利用する日本国内のグループ会社に在籍する従業員約7万5千人と、1978年度から2026年度までの元従業員約17万8千人です。
これらの従業員・元従業員については、社員番号、住所、電話番号、メールアドレスが含まれていました。氏名は含まれていません。
また、従業員の家族約5万5千人と、元従業員の家族約2万6千人も対象となっています。家族については、従業員に代わる緊急連絡先として登録された氏名、住所、電話番号、メールアドレスが含まれていました。
公表された人数を単純に合計すると、対象は約33万4千人となります。
社内で利用禁止の外部生成AIサービスへアップロード
パナソニックによると、今回使用された生成AIサービスは、同社が業務での利用を禁止していた外部サービスでした。
人事情報システム導入プロジェクトのメンバーが、個人情報を含むデータをその生成AIサービスへアップロードしていたことが判明しました。
事案の発覚後、当該メンバーは生成AIサービス上のチャット履歴と、業務に使用していたパソコン内の対象データを削除しています。
生成AIの学習には利用されていなかった
パナソニックは生成AIサービスの運営事業者にも確認を行っています。
その結果、データをアップロードした際には、入力データをAIの学習に利用する機能が無効になっていたことが確認されました。このため、他の利用者が関連する質問をした場合でも、今回アップロードされたデータが生成AIの回答に利用されることはないとしています。
また、利用者がデータを削除した場合でも、サービス事業者側ではセキュリティや法令順守を目的として削除日から30日間データが保持されます。ただし、この期間中も厳格にアクセス管理され、監査などを除いてアクセスされることはないと説明されています。
今回のデータについては、保持期間が終了する2026年10月25日以降、生成AIサービス事業者側でも保持されない予定です。
現時点で一般公開や不正利用は確認されず
パナソニックは、社内調査と生成AIサービス事業者への確認結果から、対象となる個人情報が一般に公開された事実や、不正利用による具体的な被害は現時点で確認されていないとしています。
また、アップロードされた情報が今後二次利用されることもないことを確認したとしています。
本件については2026年9月29日に個人情報保護委員会へ報告されています。
生成AIへの個人情報入力に注意
今回の事案はフィッシングや外部からの不正アクセスではありませんが、生成AIサービスの業務利用における情報管理上のリスクを示す事例です。
生成AIサービスでは、入力した文章やアップロードしたファイルがサービス提供事業者のシステムへ送信されます。利用するサービスや契約内容、設定によって、入力データの保存期間や学習への利用条件などは異なります。
特に、氏名、住所、電話番号、メールアドレスなどの個人情報や、社外秘情報を生成AIへ入力する場合は、所属組織の利用ルールや契約している生成AIサービスのデータ取り扱い条件を確認することが重要です。
パナソニックは今後、個人情報の取り扱いルールと生成AIサービスの利用管理を見直すとともに、関係者への教育や啓発を強化し、再発防止を進めるとしています。