要点
発表された事実
- パナソニック オペレーショナルエクセレンス（パナソニック ホールディングス傘下）は2026年10月23日、子会社のパナソニック デジタルと進める人事情報システム導入プロジェクトで、プロジェクトメンバーが従業員・元従業員・家族の個人情報を含むデータを、同社が利用を禁止している外部の生成AIサービスにアップロードしたと発表した（パナソニック ホールディングス）。
- 「外部からの不正な操作によるものではなく、プロジェクトメンバーによるルール違反」と説明している。対象データは2026年4月時点で人事情報システムに登録されていたデータの一部（同）。
- 対象は、日本地域のグループ共通人事情報システムを使う会社の従業員約7万5千人、元従業員約17万8千人（1978年〜2026年度の退職者、事業譲渡先への転籍者を含む）で、社員番号・住所・電話番号・メールアドレス（氏名は含まない）。加えて、緊急連絡先として登録された従業員の家族約5万5千人、元従業員の家族約2万6千人（2016年以降の退職者のみ）の氏名・住所・電話番号・メールアドレス（同）。
- 発覚直後にメンバーが生成AIのチャット履歴と業務用PC内の対象データを削除した。生成AIの運営事業者への照会では、アップロード時にAI学習への利用機能は無効で、他の利用者への回答に使われることはない。削除後も事業者がセキュリティと法令順守のため30日間保持するが、10月25日以降は事業者内でも保持されないとの回答を得た（同）。
- 2026年9月29日に個人情報保護委員会に報告済み。公開や不正利用の被害は確認されていない。このお知らせは個人情報保護法に基づく本人通知の代替措置として出したもので、対象者に求める対応はないとしている（同）。
わかっていないこと
- 使われた生成AIサービスの名前と、個人契約か無料版か（会社は明かしていない）
- アップロードが発覚した経緯（検知の仕組みか、自己申告か）と、発覚した日
- メンバーが禁止されたサービスにデータを入れた目的（データ変換・移行作業の補助など）
- なぜ導入プロジェクトのメンバーが、4月時点の人事データを手元のPCに持てたのか（本番データの扱いのルール）
- 再発防止策の具体的な中身（技術的な遮断など）
関係しそうな既知の手口
- （考察）攻撃ではなく、社員が業務の効率化のために、会社が認めていない生成AIに社内データを入れてしまう、いわゆる「シャドーAI」の典型例。データ移行や項目の整形など、システム導入プロジェクトの作業は生成AIに頼みたくなる作業が多く、本番データをそのまま扱う工程が狙われやすい。
概要
- パナソニックグループの人事情報システム導入プロジェクトで、メンバーが会社で禁止されている外部の生成AIに、約33万4千人分の個人情報を含むデータを入れた。
- 外部からの攻撃ではなく、社内ルールの違反。データは削除され、AI学習にも使われず、事業者の保持も10月25日で終わるとしている。
- 個人情報保護委員会への報告（9月29日）から公表（10月23日）まで約3週間あり、事業者の保持期間が切れる直前の公表になった。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-04 | アップロードされたデータの時点（人事情報システムに登録されていたデータの一部）（パナソニック） |
| 時期非公表 | プロジェクトメンバーが外部の生成AIサービスにデータをアップロード。発覚直後にチャット履歴とPC内のデータを削除（同） |
| 2026-09-29 | 個人情報保護委員会に報告（同） |
| 2026-10-23 | 公表（本人通知の代替措置）（同） |
| 2026-10-25以降 | 生成AI事業者内でもデータを保持しない（事業者の回答）（同） |
発表内容の整理
事実（パナソニック オペレーショナルエクセレンスの発表）
| 区分 | 人数 | 項目 |
|---|---|---|
| 従業員 | 約7万5千人 | 社員番号、住所、電話番号、メールアドレス（氏名なし） |
| 元従業員（1978年〜2026年度退職） | 約17万8千人 | 同上 |
| 従業員の家族 | 約5万5千人 | 緊急連絡先としての氏名、住所、電話番号、メールアドレス |
| 元従業員の家族（2016年以降退職） | 約2万6千人 | 同上 |
- 日本経済新聞、ITmedia NEWS、産経新聞もこの件を報じている（日本経済新聞、ITmedia NEWS、産経新聞）。
- 再発防止として、個人情報の取り扱いルールと生成AIサービスの利用管理の見直し、関係者への教育・啓発の強化を挙げている（パナソニック）。
考察
削除後30日で事業者の保持が終わり、それが10月25日だとすると、削除は9月25日前後になる。発覚から1か月ほどで公表した計算になる。会社は事業者の回答をもとに「今後二次利用されることはない」と言い切っているが、これは事業者側の運用を信頼した結論で、会社自身が確かめられる範囲には限りがある（考察）。
氏名が含まれないのは従業員・元従業員の側だけで、家族は氏名と連絡先がそろう。一方、社員番号と住所・電話番号の組は、社内の別の名簿と突き合わせれば本人を特定できる。人数の大半を元従業員が占める点からは、退職者のデータを長期に人事システムに残していたことも見えてくる（考察）。
「禁止」というルールだけでは止められなかった点が、この事例の要点だ。業務で使える生成AIを会社が用意しているか、禁止サービスへの通信やアップロードを技術的に止めているか、本番の個人データを導入プロジェクトの作業用PCに持ち出せる状態だったか、という3点が再発防止策の焦点になる（考察）。
関係しそうな既知の手口
事実（既知の知見）
- 発表文は、事業者側でAI学習への利用機能が「無効になっていた」こと、削除後も「セキュリティおよび法令順守のため」30日間保持されることを、生成AIサービスの運営事業者からの回答として示している（パナソニック）。
考察
多くの生成AIサービスは、学習に使わない設定でも、不正利用の監視などのため一定期間データを保持する。社内の個人データを外部サービスに入れれば、学習の有無に関係なく、少なくともその期間は社外にデータが置かれる。「学習されない設定だから大丈夫」という理解では足りない（考察）。
利用者・運用者がいまできること
- パナソニックグループの現・元従業員とその家族は、会社を名乗る不審な連絡に注意する。問い合わせは発表文に載っているフォームか専用窓口（0120-877-872）へ。
- 企業の情報システム・人事部門は、業務で使ってよい生成AIを明示して用意し、それ以外へのアップロードをプロキシやDLPで検知・遮断できるか確かめる。
- システム導入・移行プロジェクトでは、本番の個人データを作業者のPCに出さず、テスト用には匿名化したデータを使う運用にする。