パナソニック、禁止の生成AIに33万人分の個人情報 社員が人事データを入力

パナソニックホールディングスは10月23日、グループ会社の社員が、社内で使うのを禁じている外部の生成AIのサービスに、従業員や元従業員、その家族の約33万4000人分の個人情報を含むデータをアップロードしていたと発表しました。外部からの攻撃ではなく、社員の社内ルールの違反だとしています。今のところ、情報が公開されたり悪用されたりした事実は確認されていないとしています。

この記事は、産経新聞、CNET Japan、アイティメディア、関西テレビの報道をもとにしています。パナソニックの発表のページは、編集部の環境からは開けませんでした。

何が起きた? 人事システムの導入の作業で、禁止のAIへ

報道によると、問題が起きたのは、パナソニック オペレーショナルエクセレンス(大阪府門真市)と子会社のパナソニック デジタルが進める人事情報システムの導入のプロジェクトです。プロジェクトのメンバーの社員が社内ルールに違反し、2026年4月の時点で人事情報システムに登録されていたデータの一部を、外部の生成AIのサービスにアップロードしました。どのサービスかは、報道では明らかにされていません。

対象は次のとおりです。

• 従業員: 約7万5000人(国内のパナソニックグループで共通の人事情報システムを使う会社)
• 元従業員: 約17万8000人(1978年から2026年度までに退職した人。事業の譲渡先に移った人を含む)
• 従業員の家族: 約5万5000人
• 元従業員の家族: 約2万6000人(2016年以降に退職した人の家族)

従業員と元従業員の情報は、社員番号、住所、電話番号、メールアドレスで、氏名は含まれていません。家族の情報は、緊急連絡先として登録されていた氏名、住所、電話番号、メールアドレスです。

AIの学習には使われず、25日以降は残らない

産経新聞によると、社内のシステムが違反を検知して発覚しました。社員は発覚の直後に、生成AIのサービスのチャットの履歴と、仕事のパソコンにあった対象のデータを消しました。会社は9月29日に個人情報保護委員会に報告しています。

パナソニックが運営事業者に確かめたところ、アップロードの時点でAIの学習に使う機能は無効になっていて、ほかの利用者への回答に使われることはないと説明を受けたとしています。ただ、このサービスは、利用者がデータを消しても、運営事業者がセキュリティーや法令を守るために消した日から30日間持つ仕組みです。今回のデータは、その期間が終わる10月25日以降、事業者の側にも残らないとしています。会社は、データが今後二次的に使われないことも確かめたとしています。

今後は、影響の有無を調べ続けるとともに、個人情報の扱いのルールと生成AIのサービスの使い方の管理を見直し、関係者への教育を強めるとしています。

暮らしと仕事への影響

対象の人について、報道によると、パナソニックは今回の発表を個人情報保護法にもとづく本人への通知の代わりとし、今の時点で対象の人が対応する必要はないとしています。退職した人とその家族向けには、問い合わせのフォームと専用の窓口を設けたとしています。

この件は、外からの攻撃がなくても、社員一人の操作で大量の個人情報が社外に出てしまうことを示しています。生成AIは、表を整理したり文章をまとめたりするのに便利で、仕事の途中で個人情報の入ったデータを貼り付けたくなる場面があります。使ってよいサービスと設定が会社で決まっていても、守られなければ意味がありません。

今日からできること

1. 仕事で使うAIは、会社が認めたものだけにする: 個人のアカウントや、会社が禁じているサービスに、仕事のデータを入れません。
2. 個人情報は貼り付ける前に消すか置き換える: 名前、住所、電話番号、社員番号などは、AIに渡す前に消すか、仮の値に置き換えます。
3. 学習に使わない設定でも「残らない」わけではない: 今回のサービスのように、消しても事業者が一定期間データを持つ仕組みがあります。入れたら取り返せない、と考えて扱います。
4. 対象かもしれない人は、便乗の連絡に気をつける: パナソニックを名乗り、確認のためにリンクを開かせたり、お金を求めたりする連絡は疑い、会社の公式のページや窓口で確かめます。

委託先が個人情報を契約にない形で共有していた件は、阪大の卒業生や学生7.8万人の情報が漏えい NECが無断で協力会社と共有でも取り上げています。

大阪・関西では

パナソニックホールディングスとパナソニック オペレーショナルエクセレンスは、大阪府門真市に本社を置いています。対象には、国内のパナソニックグループで共通の人事情報システムを使う会社の従業員と、1978年から2026年度までに退職した元従業員が含まれ、関西で暮らす人も多いとみられます。

たとえば、大阪や京都で暮らし、親がかつてパナソニックのグループで働いていた家庭なら、親あてに会社を名乗る見慣れない連絡が来ていないかを、一度声をかけて確かめておくと安心です。職場で生成AIを使い始めた中小の会社なら、この機会に「入れてはいけないデータ」を一枚の紙にまとめ、社員に配っておくと迷いが減ります。

仕事のデータをAIに入れる前に、会社のルールを確かめよな。