パナソニックグループの人事情報システム導入で、利用禁止の外部生成AIに個人情報がアップロードされたと10月23日に公表。対象4区分の概数は計約33万4千人。学習への利用や不正利用はどう説明され、企業は何を見直すべきか。公式発表をもとに整理する。
30秒でわかる / THE SIGNAL
パナソニック オペレーショナルエクセレンスは10月23日、人事システム導入プロジェクトで、禁止されている外部生成AIへ従業員・元従業員と家族の個人情報がアップロードされたと公表。対象4区分の概数の合計は約33万4千人。サービス事業者によれば学習利用は無効で、公表時点で一般公開や具体的な不正利用は確認されていない。企業には禁止規定だけでなく、データ持ち出し防止と安全な代替手段の設計が問われる。
「使ってはいけない」と決めていたAIに、人事情報が送られた
社内で禁止されていたはずの外部生成AIに、従業員や家族の情報を含むデータが送られていた。
2026年10月23日、パナソニック オペレーショナルエクセレンスは、子会社パナソニック デジタルと進める人事情報システム導入プロジェクトで、プロジェクトメンバーが禁止対象の外部生成AIサービスに個人情報をアップロードしたと公表した。
会社の説明によれば、外部からの不正アクセスによるものではなく、プロジェクトのメンバーによるルール違反だった。具体的なアップロード日や利用したAIサービス名は、この発表では明らかにされていない。
対象は4区分、概数の合計で約33万4千人
アップロードされたのは、2026年4月時点のグループ共通人事情報システムに登録されたデータの一部。対象は、日本地域のシステム利用会社に所属する従業員約7万5千人、元従業員約17万8千人、従業員の家族約5万5千人、元従業員の家族約2万6千人と説明されている。4区分の概数を合計すると約33万4千人となる。
従業員・元従業員については社員番号、住所、電話番号、メールアドレスが対象で、氏名は含まれないという。一方、家族については緊急連絡先として登録された氏名、住所、電話番号、メールアドレスが含まれる。すべての対象者について同じ項目が送られたわけではない点に注意が必要だ。
「AIに学習されていない」と「外部に送信されていない」は別
パナソニックは、外部生成AIサービスの運営事業者に確認した結果として、アップロード時にはAI学習への利用機能が無効であり、他の利用者への回答に当該データが使われることはない、との説明を受けたとしている。
また、当該メンバーは発覚直後にチャット履歴と業務用PC内の対象データを削除したという。ただし、サービス事業者の仕組みでは削除後もセキュリティ・法令順守のために30日間保持される。公式発表は、今回のデータについて10月25日以降は事業者内でも保持されないとの回答を得たと説明している。
ここで分けたいのは、①社外サービスにデータが送信されたこと、②AIの学習に使われたか、③ほかの人に公開・悪用されたか、の3点だ。学習への利用が無効でも、社外サービスへの送信そのものが社内規定やデータ管理上の問題になる。保持終了についても、現時点で確認できるのは企業側が公表した事業者回答であり、WORK SIGNALが独自に削除を検証したものではない。
現時点で、一般公開や具体的な不正利用は確認されていない
パナソニックは2026年9月29日に個人情報保護委員会へ報告した。10月23日の公表時点では、対象情報が一般に公開された事実や、不正利用による具体的な被害は確認されていないという。
会社は対象者に対応を求めておらず、本人への通知に代わる措置として今回の案内を公表している。元従業員や家族向けの問い合わせフォーム・窓口も公式発表に設けている。
したがって、『約33万人の情報がネット上に公開された』『AIの学習データになった』と断定するのは不正確だ。問題の重大さを伝えることと、確認されていない被害を広げて表現することは別である。
なぜ「利用禁止」のルールだけでは足りないのか
ここからは編集部の分析だ。禁止ルールは必要だが、文書に『外部AIへ入力しない』と書くだけでは、業務上の操作を物理的に止められるとは限らない。
例えばシステム導入やデータ移行の現場では、大量の表データの整理、項目名の変換、処理手順の検討など、時間のかかる作業が生まれる。便利な外部サービスを使いたい動機が現場に存在する場合、規定と実際の作業方法がかみ合っていない可能性がある。
ただし今回の担当者が何を目的にアップロードしたのか、会社がどの技術的制御を導入済みだったのかは公表されていない。具体的な動機や社内システムの不備を事実として決めつけることはできない。
企業が見直したい5つの管理ポイント
【1｜データの分類】社員・家族・顧客の情報など、外部サービスに入力してはいけない情報を具体例で示す。氏名を含まないデータでも、住所や連絡先などの取り扱いには注意が必要だ。
【2｜送信の制御】承認されていない生成AIへのアクセスやファイル送信を、企業の端末設定、ネットワーク、情報漏えい防止（DLP）などの仕組みでどう制御できるか確認する。技術的制御だけで完全に防げるわけではない。
【3｜安全な代替手段】業務でAIを使う必要があるなら、入力可能なデータと用途を整理し、組織が管理できる承認済みの環境を用意する。匿名化・マスキングが有効かも個別に検証する。
【4｜委託先・プロジェクト管理】人事システムの導入など複数の組織が関わる業務では、データを誰が受け取り、どこへ送れるか、監査ログを誰が確認するかを役割分担として明確にする。
【5｜発見後の手順】誤送信の申告先、送信範囲の調査、サービス事業者への削除・保持状況の照会、本人対応、再発防止の判断を平時から準備する。
管理職は『禁止事項』と同時に『困ったときの相談先』を示す
AI利用のルールが複雑でも、現場が作業の進め方に困ったときに相談できなければ、運用は形骸化しやすい。管理職には『何が禁止か』の周知に加え、『その作業を安全に進める別の方法は何か』を一緒に考える役割がある。
特に人事データのような機微性の高い情報を扱うプロジェクトでは、締め切りや工数削減の目標だけを優先しないことが大切だ。利用できるツール、必要な承認、作業を止めて相談する基準をチームで共有しておきたい。
WORK SIGNALの視点｜AIガバナンスは、仕事の設計そのもの
ここからは編集部の考察だ。生成AIの情報管理を『使う人の注意不足』だけで片付けると、同じ問題が別の業務で起きる可能性を見落とす。
ルール、技術的な送信制御、実務に合った代替手段、相談しやすい職場、そして問題が起きた後の確認手順。この組み合わせによって初めて、従業員は便利さと安全性を両立しやすくなる。
AIを使わせるか、禁止するか。その二択で終わらず、どの仕事に、どのデータを、誰の管理の下で使うのか。今回の公表は、生成AIの導入を『ツール選び』ではなく『仕事の進め方の設計』として考える必要性を示している。
一次情報と確認時点
パナソニック オペレーショナルエクセレンス『外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ』（2026年10月23日）：https://holdings.panasonic/jp/information/topics/20261023.html
この記事の事実関係は同社の10月23日の公表を基準とする。10月26日時点で確認した範囲では、影響範囲・利用サービス名・被害状況について、この公表を更新する公式の続報は確認できなかった。今後追加情報が公表された場合は最新の一次情報を参照されたい。