パナソニックHD、利用禁止の外部生成AIに従業員ら約33万4,000人分をアップロード

事案の概要データ

図解：この事故の構造

何が起きたのか

パナソニック ホールディングスは2026年10月23日、グループ従業員や家族ら約33万4,000人分の個人情報が外部の生成AIサービスに送られていたと公表しました。

人事情報システムの導入事業に携わる担当者が、社内で利用を禁止している外部の生成AIサービスに、個人情報を含むデータをアップロードしていたものです。外部からの不正アクセスではありません。

対象は現役従業員、従業員の家族、退職者とその家族の4区分で、住所、電話番号、メールアドレス、社員番号などが含まれます。

担当者は発覚直後にチャット履歴と業務用PC内の対象データを削除しました。同社は、アップロード時点でデータをAIの学習に利用する機能は無効になっていたため、当該データが他の利用者への回答に使われることはないと説明しています。個人情報保護委員会への報告は2026年9月29日に済ませています。

これは「事故」であって「攻撃」ではない

本サイトに掲載している事案の大半は、外部からの攻撃です。本件は違います。社内の人が、社内のルールに反して、業務を進めるためにやったことです。

おそらく悪意はありません。人事システムの導入という仕事を、早く正確に進めたかったのだと思われます。データを貼り付けて「この形式に整理して」と頼めば、生成AIは数秒で返してくれます。手作業なら何時間もかかります。

この誘惑は、どんな職場にもあります。そして2026年現在、多くの人が日常的に生成AIを使っています。

問題は、業務データを外部のサービスに送ることが「どういう意味を持つか」が共有されていないことです。ブラウザで開いて、入力欄に貼り付けるだけ。操作としてはメールを送るより簡単です。しかし実態は、社外の事業者のサーバーに会社のデータを送信しています。

「学習に使われない」でも漏えいは漏えい

同社は、アップロード時点でデータをAIの学習に利用する機能は無効になっていたと説明しています。つまり、入力したデータが他の利用者への回答に出てくることはありません。

これは重要な事実です。生成AIの情報漏えいというと「入力した内容が他人の回答に出てしまう」というイメージが先行しがちですが、設定次第でそれは防げます。

ただし、それでも漏えいは漏えいです。データは事業者のサーバーに送信され、一定期間保存されます。報道によれば、削除後も30日間残るとされています。

自社が管理していない場所に、33万人分の個人情報が置かれた。この事実は、学習に使われたかどうかとは別の問題です。

個人情報保護法の観点でも、本人の同意なく第三者（AI事業者）にデータを提供したことになりえます。同社が個人情報保護委員会へ報告したのは、そのためです。

中小企業こそ、今日決めておくべきこと

この事案から、中小企業が明日からできることは明確です。

1. 使ってよいAIサービスを決める。 禁止するだけでは守られません。パナソニックでも禁止されていましたが、使われました。「これは使ってよい」と決めて、その環境を用意するほうが実効性があります。法人向けのプランでは、入力データを学習に使わない設定が標準になっているものが多くあります。

2. 入れてよいデータの線を引く。 「顧客の氏名・住所・連絡先は入れない」「社員の個人情報は入れない」「取引先から預かったデータは入れない」。この3つを決めるだけで、重大事故のほとんどは防げます。一般的な相談や文章の推敲なら、個人情報は要りません。

3. 困ったときの相談先を作る。 「このデータ、AIに入れていいですか」と気軽に聞ける人を決めておきます。聞けないから、黙ってやることになります。

4. 禁止の理由を説明する。 「ダメだから」ではなく「外部の会社のサーバーに保存されるから」と理由を伝えると、応用が利きます。理由を知らないルールは、忙しいときに破られます。

報告は9月29日、公表は10月23日

個人情報保護委員会への報告は2026年9月29日、公表は10月23日です。約3週間半の開きがあります。

個人情報保護法では、漏えい等が発生した場合、委員会への報告と本人への通知が求められます。報告には速報と確報があり、速報は「3〜5日以内」が目安とされています。

一方、一般への公表は法律上の義務ではありません。対象者への通知が優先され、公表のタイミングは企業の判断になります。

本件では、まず委員会へ報告し、調査と対象者への対応を進めたうえで公表したと考えられます。順序としては妥当です。

中小企業で事故が起きたときも、この順序を覚えておいてください。個人情報保護委員会への報告（速報は速やかに）、本人への通知、そして必要に応じて公表です。

対象となった方へ

パナソニックグループの現役従業員・元従業員とそのご家族が対象です。退職者や家族向けの問い合わせ窓口が設けられています。

現時点で、情報が一般に公開された事実や、不正利用による具体的な被害は確認されていないとされています。

ただし、住所・電話番号・メールアドレスが含まれるため、パナソニックを名乗る連絡には注意してください。特に退職者の方へ「未払いの手当があります」といった連絡が来た場合は、直接会社の公式窓口へ確認してください。

時系列で見る経過

• 2026年9月社内プロジェクトの担当者が、利用を禁止している外部の生成AIサービスに個人情報を含むデータをアップロード
• 2026年9月発覚。担当者がチャット履歴と業務用PC内の対象データを削除
• 2026年9月29日個人情報保護委員会へ報告
• 2026年10月23日従業員・元従業員とその家族ら約33万4,000人分が対象であることを公表

中小企業が学ぶべきポイント

1. 禁止するだけでは守られない。「使ってよいAI」を決めて環境を用意するほうが実効性がある。
2. 入れてよいデータの線を引く。顧客情報・社員情報・預かりデータは入れない、の3つで十分。
3. 「このデータ入れていいですか」と聞ける相手を決めておく。聞けないから黙ってやる。
4. 禁止の理由を説明する。理由を知らないルールは、忙しいときに破られる。
5. 「学習に使われない」設定でも、事業者のサーバーには送信され一定期間保存される。
6. 法人向けプランなら入力データを学習に使わない設定が標準のものが多い。
7. 事故時の順序は、個人情報保護委員会への報告 → 本人への通知 → 必要に応じて公表。

出典・参考

• パナソニックHD子会社、使用禁止の生成AIに従業員約33万人分の個人情報をアップロード - ITmedia NEWS
• パナHDの担当者、利用禁止の外部生成AIに従業員ら33万人の情報をアップロード（産経新聞） - Yahoo!ニュース
• パナソニック、利用禁止の生成AIに従業員・家族の個人情報 4区分で約33万4千人分 - innovaTopia