パナソニック子会社、利用禁止の外部生成AIに約33万人分の個人情報をアップロード

画像：AIエージェントナビ編集部

業務で生成AIを使う場面が増えるなか、会社が利用を禁止しているサービスに社員がデータを入れてしまう「シャドーAI（会社の管理外でのAI利用）」が、大規模な個人情報の事案になりました。パナソニック オペレーショナルエクセレンス株式会社は2026年10月23日、子会社のパナソニック デジタル株式会社と進める人事情報システムの導入プロジェクトで、メンバーが約33万4千人分の個人情報を、利用を禁止している外部の生成AIサービスにアップロードしたと公表しました。

本記事では、対象となった情報の範囲、データが事業者にいつまで残るのか、同社の対応を解説します。

何が起きたのか

同社によると、プロジェクトメンバーが、従業員・元従業員とその家族の個人情報を含むデータを、同社が利用を禁止している外部の生成AIサービスにアップロードしました。外部からの不正な操作ではなく、メンバーのルール違反によるものと説明しています。

利用された生成AIサービスの名前と、発覚した日は公表されていません。同社は2026年9月29日に個人情報保護委員会へ報告しています。

対象は約33万4千人分、退職者と家族も含む

対象は、2026年4月時点で人事情報システムに登録されていたデータの一部です。日本地域のパナソニックグループのうち、グループ共通の人事情報システムを使う会社の人が対象になりました。

• 従業員：約7万5千人
• 元従業員：約17万8千人（1978年〜2026年度の退職者）
• 従業員の家族：約5万5千人
• 元従業員の家族：約2万6千人（2016年以降に退職した人の家族のみ）

入っていた情報は社員番号や住所など

従業員と元従業員の分は、社員番号・住所・電話番号・メールアドレスで、氏名は含まれていません。家族の分は、緊急連絡先として登録されていた氏名・住所・電話番号・メールアドレスです。家族のデータは、従業員本人が人事情報システムに登録していた場合に限られます。

削除しても事業者に30日間残る

発覚直後、メンバーは生成AIのチャット履歴と、業務で使ったPC内の対象データを削除しました。同社は生成AIサービスの運営事業者に照会し、次の回答を得たとしています。

学習には使われない設定だった

アップロードした時点で、データをAIの学習に使う機能は無効になっていました。そのため、他の利用者が関連する質問をしても、このデータが回答に使われることはないと説明しています。

事業者側の保管は10月25日まで

一方で、利用者がデータを削除しても、事業者はセキュリティと法令順守のため、削除日から30日間データを保持します。その間は事業者内で厳しくアクセスが管理され、監査などの要請がない限りアクセスされないとしています。保持期間が過ぎた10月25日以降は、事業者内にも残りません。

同社は、一般に公開された事実や、不正利用による具体的な被害は現時点で確認されていないとしています。今後二次利用されないことも確認したと説明しています。

同社の対応と対象者がすること

お知らせは本人への通知の代わり

今回のお知らせは、個人情報保護法に基づく本人への通知の代わりとして公表されたものです。対象者が行う対応はないとしています。

パナソニックを退職した人とその家族向けには、問い合わせフォームと専用のフリーダイヤル（0120-877-872・平日9時〜19時）が用意されています。

ルールと利用管理を見直す

再発防止として、個人情報の取り扱いルールと生成AIサービスの利用管理の見直しを進め、関係者への教育・啓発を強化するとしています。

まとめ

• パナソニック オペレーショナルエクセレンスは10月23日、人事情報システム導入プロジェクトのメンバーが、利用を禁止している外部の生成AIに約33万4千人分の個人情報をアップロードしたと公表した。
• 対象は従業員約7万5千人、元従業員約17万8千人、家族約8万1千人。従業員・元従業員の分に氏名は含まれない。
• 学習に使う機能は無効だったが、事業者側には削除から30日間（10月25日まで）データが残った。
• 公開や不正利用の被害は現時点で確認されていない。9月29日に個人情報保護委員会へ報告済み。

出典：パナソニック ホールディングス（パナソニック オペレーショナルエクセレンスのお知らせ）