パナソニック子会社、禁止の生成AIに従業員ら33万人分の情報

パナソニック ホールディングスの子会社のパナソニック オペレーショナルエクセレンス(大阪府門真市)は2026年10月23日、社内で使用を禁止している外部の生成AIのサービスに、個人情報を含むデータが上げられていたと発表しました。対象は、グループの従業員や元従業員、その家族ら約33万4000人分です。

上げたのは、人事情報システムの導入の作業に携わるメンバーです。会社は、外からの不正な操作ではなく、社内のルールに反した操作だと説明しています。

発表は、パナソニック ホールディングスのサイトのお知らせに載っていると報じられています。当社の環境からはこのページを開けなかったため、この記事は、ITmedia NEWS、CNET Japan、産経新聞、日本経済新聞の報道をもとにしています。

報道で分かったこと

問題が起きたのは、パナソニック オペレーショナルエクセレンスが、子会社のパナソニック デジタルと進めていた人事情報システムの導入の作業です。上げられたのは、2026年4月時点でこのシステムに登録されていたデータの一部です。

氏名が入っていたのは、緊急連絡先として登録された家族の情報です。従業員と元従業員の情報には氏名はありませんが、社員番号と住所、電話番号がそろっています。

事業者の側には10月25日まで残る

会社は、生成AIのサービスの運営事業者にも確かめました。報道によると、事業者の説明は次のとおりです。

• データを上げたとき、AIの学習に使う機能は無効になっていた。ほかの利用者への回答には使われない。
• 利用者が消しても、安全と法令を守るため、事業者が消した日から30日間データを持つ仕組みになっている。
• 持っているあいだのデータは厳しくアクセスを管理し、監査などの求めがなければ見ない。今回のデータは、保持の期間が終わる10月25日以降は残らない。

会社は、上げたデータがこの先、二次利用されないことも確かめたとしています。サービスの名前と運営事業者の名前は、報道には出ていません。

上げてから公表まで

産経新聞によると、社内のシステムが違反を検知して発覚しました。上げたメンバーは、発覚した直後に、生成AIのサービスのチャットの履歴と、業務用のPCに保存していた対象のデータを消しました。

会社は9月29日に個人情報保護委員会へ報告し、10月23日に発表しました。CNET Japanによると、今回の発表は、個人情報保護法にもとづく本人への通知の代わり(代替措置)として出したものです。対象の人が今すぐ対応する必要はないとし、退職者とその家族向けに、問い合わせのフォームと専用の窓口を設けています。

現時点で、情報が一般に公開された事実や、不正な利用による具体的な被害は確認されていないとしています。会社は、影響の有無を続けて調べ、個人情報の扱いのルールと生成AIのサービスの利用の管理を見直し、関係者への教育を強めるとしています。

上げた日と見つけた日、なぜ禁止のサービスを使ったのかは、報道に書かれていません。

影響する人・会社、しない人・会社

• 影響する人: 国内のパナソニックグループで、共通の人事情報システムを使う会社の従業員です。
• 影響する人: 1978年から2026年度までに退職した元従業員です。事業の譲渡先へ移った人も含みます。
• 影響する人: 従業員が緊急連絡先として登録した家族と、2016年以降に退職した人が登録した家族です。家族の情報には氏名が含まれます。
• 影響する会社: 生成AIの使い方を規程で決めていても、許可していないサービスへの持ち出しを見張っていない会社です。同じことが起きても、気づけない恐れがあります(当社の見立て)。
• 影響しない(報道の範囲では): 2015年以前に退職した人の家族は、対象に挙がっていません。報道では、対象は従業員・元従業員とその家族で、顧客の情報には触れていません。

会社・情シスが今日やること

1. 対象の人は、会社の案内を確かめます。 会社は、今すぐ対応する必要はないとしています。退職者と家族は、専用の窓口で確かめられます。パナソニックを名乗る不審な電話やメールには、すぐに応じないようにします(当社の見立て)。
2. 規程と画面の両方で示します。 自社の規程で、使ってよい生成AIのサービスと、入れてはいけない情報(個人情報、人事の情報、顧客の情報など)を決めているかを確かめます。社員が使う画面の近くにも、同じことを示します(当社の見立て)。会社として決めておくことは、AIチャットの題名やリンクが広告の追跡業者へ 会社で決める使い方にもまとめています。
3. 持ち出しを見つける仕組みを確かめます。 今回は、社内のシステムが違反を検知して発覚しました。自社でも、許可していない生成AIへの通信やファイルの送り出しを、プロキシや、クラウドの利用を見張る仕組み、情報の持ち出しを防ぐ仕組みで見つけられるかを確かめます(当社の見立て)。
4. 許可したサービスの設定を確かめます。 会社で使う生成AIのサービスで、学習に使わない設定になっているか、消したあとに事業者がどれだけの期間データを持つか、管理者が履歴を確かめられるかを、契約と管理画面で確かめます(当社の見立て)。法人向けのプランの違いは生成AIの法人プラン比較 ChatGPT・Claude・Gemini・Copilotにまとめています。
5. システムの導入の作業の決まりを見直します。 今回は、人事情報システムの導入の作業の中で起きました。導入や移し替えの作業で本番の個人情報を扱うときの決まり(使ってよい道具、加工したデータを使うか、委託先も含めるか)を、作業を始める前に決めます(当社の見立て)。
6. 起きたときの手順を決めておきます。 生成AIへの持ち出しが見つかったときに、だれが削除を確かめ、事業者に何を問い合わせ、個人情報保護委員会への報告と本人への連絡をどう決めるかを、個人情報保護委員会の資料をもとに手順にしておきます(当社の見立て)。