パナソニック 33万人分の情報を禁止AIに送信、削除済み

パナソニックグループの従業員・元従業員とその家族、あわせて約33万4000人分の個人情報が、社内で利用を禁止していた外部の生成AIサービスにアップロードされていました。外部からの攻撃ではなく、プロジェクトの担当者による社内ルール違反です。データは発覚直後に削除され、生成AIサービス事業者側の保持も2026年10月25日以降は無いと発表されています。現時点で情報が公開された事実や不正利用の被害は確認されていません。個人情報保護委員会への報告は2026年9月29日に行われています。

• 前回確認時からの変化: 本件を扱うページは今回が初回のため、比較する前回はありません。公表は2026年10月23日、初回確認は2026年10月25日です。
• 確定していること: ①対象は約33万4000人分（従業員約7万5000人・元従業員約17万8000人・家族約8万1000人）②原因は外部からの不正アクセスではなくプロジェクトメンバーのルール違反 ③発覚直後にチャット履歴と業務用PC内の対象データを削除 ④生成AIサービス事業者は削除日から30日間データを保持し、10月25日以降は保持しない ⑤個人情報保護委員会への報告は2026年9月29日 ⑥現時点で公開・不正利用の被害は確認されていない。
• 未確定のこと: 利用した生成AIサービスの名称（公表されていません）、アップロードが行われた時期と期間、データを検知してから報告までの経緯、個人情報保護委員会の個別の対応（本件についての公表・指導の有無）、再発防止策の具体的内容。
• 読者への実際の影響: 対象者に求められる対応は「ありません」と同社が明記しています（問い合わせ窓口は設置済み）。企業の実務側は、①禁止しているサービスへの入力を技術的に止められているか ②入力されたデータを検知・削除できるか ③1,000人超の漏えい等は報告義務があると理解しているか、の3点を自社で点検する必要があります。
• 次に注目する日付・出来事: 2026年10月25日（生成AIサービス事業者側の保持終了日）、同社の再発防止策の公表、個人情報保護委員会の確報・公表。確報の期限は発覚日から30日以内とされていますが、発覚日は公表されていないため期限日は未確認です。
• 一次資料と最終確認日時: パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026-10-23）、個人情報保護委員会「漏えい等の対応とお役立ち資料」。最終確認 2026-10-25

パナソニック オペレーショナルエクセレンス株式会社は2026年10月23日、子会社のパナソニック デジタル株式会社と進める人事情報システム導入プロジェクトで、プロジェクトメンバーが、従業員・元従業員および家族の個人情報を含むデータを、同社が利用を禁止している外部の生成AIサービスにアップロードしたと公表しました。パナソニック オペレーショナルエクセレンス（2026-10-23）

同社は「本件は外部からの不正な操作によるものではなく、プロジェクトメンバーによるルール違反に伴うデータのアップロードです」と明記しています。つまり、外部からの侵入や攻撃ではなく、社内ルールで禁止していたサービスに、担当者が業務データを入力したという事案です。

発覚の経緯について、同社の公表は「判明しました」としか書いていませんが、産経新聞は社内システムが違反を検知して発覚したと報じています。産経新聞（2026-10-23）

公表文には「このお知らせは、個人情報保護法に基づく本人通知の代替措置として公表するものです。対象となる皆様に、ご対応いただく事項はありません」とあります。個別の本人通知の代わりに公表で対応する、という位置づけです。

• 従業員: 約7万5000人。社員番号、住所、電話番号、メールアドレス（氏名は含まれていない）
• 元従業員（1978年〜2026年度の退職者）: 約17万8000人。社員番号、住所、電話番号、メールアドレス（氏名は含まれていない）
• 従業員の家族: 約5万5000人。緊急連絡先として登録された氏名、住所、電話番号、メールアドレス
• 元従業員の家族（2016年以降の退職者のみ）: 約2万6000人。緊急連絡先として登録された氏名、住所、電話番号、メールアドレス

• 合計は約33万4000人分です。
• 対象データは2026年4月時点で人事情報システムに登録されていたデータの一部です。
• 元従業員には、事業譲渡先へ転籍した人も含まれます。
• 従業員・元従業員については氏名が含まれていませんが、家族については氏名が含まれています。 報道の見出しだけを見ると「氏名は含まれない」と読めますが、家族側は氏名ありです。ここは分けて理解する必要があります。
• 家族の情報は、従業員本人が緊急連絡先として登録していたものです（同社公表の注記）。

同社は生成AIサービスの運営事業者に照会し、次の回答を得たと公表しています。

• アップロードした時点で、データをAIの学習に利用する機能は無効になっていた。他の利用者が関連する質問をしても、当該データが回答に使われることはない。
• 利用者がデータを削除しても、事業者はセキュリティと法令順守のため削除日から30日間保持する。ただし事業者内で厳格にアクセス管理され、監査等の要請以外ではアクセスされない。
• 発覚直後に削除したデータは、保持期間30日経過後の10月25日以降は事業者内でも保持されない。

あわせて同社は、現時点で個人情報が一般に公開された事実や、不正利用による具体的な被害は確認されておらず、今後二次利用されることもないと確認できたとしています。

なお、利用した生成AIサービスの名称は公表されていません。憶測で特定するのは避けるべきです。事業者名が公表されていない以上、「どのサービスの学習設定がどうだったか」は本件の公表資料からは確認できません（未確認）。

• 2026-04: 人事情報システムに登録されていたデータの時点。アップロードされたのはこの時点のデータの一部。
• 時期不明: プロジェクトメンバーが、利用を禁止している外部の生成AIサービスにデータをアップロード。社内システムが違反を検知して発覚（検知の主体は報道による）。発覚直後にチャット履歴と業務用PC内の対象データを削除。

確定（一次資料に記載がある）

• 対象は約33万4000人分。内訳は従業員約7万5000人、元従業員約17万8000人、家族約8万1000人。
• 外部からの不正な操作ではなく、プロジェクトメンバーのルール違反。
• アップロード時点で学習利用機能は無効だった、と事業者が回答。
• 削除日から30日間の保持を経て、10月25日以降は事業者内に残らない。
• 個人情報保護委員会への報告は2026年9月29日。
• 現時点で公開・不正利用の被害は確認されていない。
• 対象者に求められる対応は無い（同社が明記）。

未確定（公表されていない）

• 利用した生成AIサービスの名称。
• アップロードがいつからいつまで行われたか、何回・何件のファイルだったか。
• 誰が・どの時点で気づいたか（社内システムの検知という報道はあるが、同社公表には記載なし）。
• 報告が9月29日になった経緯（発覚日から何日後か）。
• 個人情報保護委員会の個別の対応（注意指導・公表の有無）。委員会のサイトを検索した範囲では、本件に関する個別の公表は確認できていません（2026-10-25 時点・未確認）。
• 再発防止策の具体的内容（同社は「見直しを進める」としている段階）。

この事案は「禁止していたのに止まらなかった」型です。禁止規定を作ることと、実際に止める仕組みを入れることは別だ、という点が実務上の論点になります。

1. 報告義務の有無を先に判断する

個人情報保護委員会は、漏えい等の報告が必要になる場合を4類型で示しています。本人の数が1,000人を超える漏えい等は、それだけで報告対象です（民間事業者）。本件は33万人規模なので、この類型に該当します。個人情報保護委員会「漏えい等の対応とお役立ち資料」

報告の期限も決まっています。

• 速報（新規）: 発覚日から3〜5日以内
• 確報（続報）: 発覚日から30日以内
• 不正の目的で行われたおそれがある場合は、確報は発覚日から60日以内

「社内ルール違反だから報告しなくていい」にはなりません。件数と情報の種類で判断します。

2. 生成AIへの入力を、規約と設定の両面で確認する

委員会の注意喚起（2023-06-02）は、個人データを含むプロンプトを入力し、そのデータが応答結果の出力以外の目的で取り扱われる場合、個人情報保護法に違反する可能性があるとしています。学習に利用しないことを十分に確認したうえで入力する、という整理です。個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」

実務では次の3点を分けて確認します。

• 契約・規約: 学習に使わない設定が契約上どう保証されているか。削除後も一定期間保持される場合、その期間と保管場所。
• アカウント設定: 学習利用のオプトアウトが、個人アカウント・法人契約のどちらで効くか。
• 入力経路: ブラウザ・デスクトップアプリ・API・拡張機能のどこから入り得るか。禁止は「サービス単位」ではなく「経路単位」で塞ぐ必要がある。

3. 禁止を「検知できる形」にする

本件では社内システムが違反を検知したと報じられています。禁止サービスへの通信やアップロードを検知できていなければ、気づくのは外部からの指摘後になります。

• 禁止サービスのドメイン・アプリの通信ブロックと、社用端末での利用制限。
• 大量の個人データを含むファイルの外部送信を検知する仕組み（DLP）。
• 発覚時に証跡を消させない運用。本件では発覚直後に担当者がチャット履歴とPC内データを削除しており、事実確認は事業者への照会に依存しています。

4. 本人通知か、代替措置か

同社は個別通知ではなく公表を本人通知の代替措置としています。個別通知が難しい規模・連絡先不明の元従業員が多い場合はこの形が取られますが、対象範囲と問い合わせ窓口を明確に示す必要があります。

• 2026年10月25日以降: 生成AIサービス事業者側の保持が終了したか（同社の追加発表の有無）。
• 再発防止策の中身: 「ルールと利用管理の見直し」「教育・啓発の強化」の中身が、技術的な統制（通信遮断・DLP・アカウント管理）まで踏み込むか。
• 個人情報保護委員会の対応: 本件について個別の公表や注意指導があるか。委員会は事案ごとに全てを公表するわけではないため、公表が無いことは問題なしを意味しません。
• 他の国内企業への波及: 同種の「禁止サービスへの入力」事案が続けて公表されるか。2026年は国内で生成AI経由の情報送出の公表が増えています。

情報は流出したのか？

同社は、現時点で対象者の個人情報が一般に公開された事実や、不正利用による具体的な被害は確認されていないとしています。アップロード先の生成AIサービスでは学習利用機能が無効で、削除後30日の保持を経て10月25日以降は事業者内にも残らない、というのが同社の説明です。第三者が閲覧できる状態になったかどうかは、公表資料からは確認できません（未確認）。

どの生成AIサービスだったのか？

公表されていません。同社は一貫して「外部の生成AIサービス」とのみ記載しています。サービス名を特定する報道も、2026年10月25日時点で確認できていません。

対象者は何をすればいいのか？

同社は「対象となる皆様に、ご対応いただく事項はありません」と明記しています。問い合わせは専用フォーム、または電話（0120-877-872、平日9:00〜19:00、土日祝・弊社休日を除く）で受け付けています。不審な連絡があった場合は、この窓口に確認するのが確実です。

氏名は漏れていないのか？

従業員・元従業員については氏名は含まれていません。ただし家族については氏名が含まれています（緊急連絡先として登録されたもの）。「氏名は含まれない」という説明は従業員側についてのものです。

個人情報保護委員会に報告しているのか？

2026年9月29日に報告しています。本人の数が1,000人を超えるため、委員会の基準では報告が必要になる類型に該当します。

• パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026-10-23） https://holdings.panasonic/jp/information/topics/20261023.html
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」（報告義務の4類型・期限） https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023-06-02） https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
• 産経新聞「パナHDの担当者、利用禁止の外部生成AIに従業員ら33万人の情報をアップロード」（2026-10-23・社内システムの検知について） https://www.sankei.com/article/20261023-QZA25JFT7BLRHP4GIKGVRAKOKE/
• ITmedia NEWS「パナソニックHD子会社、使用禁止の生成AIに従業員約33万人分の個人情報をアップロード」（2026-10-23） https://www.itmedia.co.jp/news/article/2610/23/2000002562/