パナソニック子会社、禁止生成AIに約33万人分の個人情報を送信

パナソニックホールディングス傘下のパナソニック オペレーショナルエクセレンス（大阪府門真市）は2026年10月23日、社内プロジェクトに携わる社員が、パナソニックグループの従業員や元従業員、その家族ら計約33万4000人分の個人情報を含むデータを、社内で利用を禁止している外部の生成AIサービスにアップロードしていたと発表した。外部からの不正アクセスやサイバー攻撃による漏洩ではなく、当該社員の社内規程違反による事案であると説明している。

事案の発生経緯とアップロードされた個人情報の内訳

問題が発生したのは、パナソニック オペレーショナルエクセレンスが子会社のパナソニック デジタルと進めていた社内人事情報システムの導入プロジェクトである。アップロードされたのは、2026年4月時点で同システムに登録されていた個人情報データの一部であった。

対象となった個人情報の総数は約33万4000人分にのぼり、内訳は以下の通り公表されている。

• ​国内グループ従業員​: 約7万5000人（社員番号、住所、電話番号、メールアドレス。氏名は含まれず）
• ​元従業員​: 約17万8000人（社員番号、住所、電話番号、メールアドレス。氏名は含まれず）
• ​従業員の家族​: 約8万1000人（緊急連絡先として登録された氏名、住所、電話番号、メールアドレス）

従業員および元従業員については氏名が含まれていなかったものの、家族データには緊急連絡先としての氏名が含まれていた。

発覚後の初期対応とデータ保管状況

パナソニック オペレーショナルエクセレンスによると、問題の発覚直後に以下の対応が取られた。

• ​履歴およびデータの削除​: 当該社員は発覚後直ちに生成AIサービス上のチャット履歴と、業務用PC内に保管されていた対象データを削除した。
• ​学習機能の無効確認​: 同社が生成AIサービスの運営事業者に確認したところ、データがアップロードされた時点で「AI学習にデータを利用する機能」は無効になっており、他ユーザーへの回答生成に該当情報が再利用されるおそれはないとしている。
• ​事業者のログ保持期間​: 一方で、サービス運営事業者はセキュリティ確保や法令順守の観点から削除後もデータを一定期間保持する規約となっており、アップロードされたデータは2026年10月25日まで運営事業者側で保管される。

同社は2026年9月29日付で個人情報保護委員会へ本件を報告済みである。現時点で対象の個人情報が一般に流出した形跡や、第三者による不正利用などの二次被害は確認されていない。

日本企業におけるAIガバナンスへの実務的示唆

本件は、大企業の業務現場におけるいわゆる「シャドーIT（情報システム部門の許可を得ていないIT利用）」と生成AIガバナンスのリスクを端的に浮き彫りにした。企業のセキュリティ担当者にとって、以下の実務的な教訓が示されている。

1. ​ポリシー規定だけでは防げない利用実態​: 利用禁止の通達や規程を設けるだけでは、現場の業務効率化のプレッシャーから無許可利用が発生しやすく、ネットワーク層（プロキシやCASB）での接続遮断やDLP（データ損失防止）ツールの併用が不可欠である点。
2. ​クラウドAIのデータ保持期間（Retention Period）の罠​: チャット履歴を削除しても、主要な商用生成AIサービスは不正利用防止や安全監査の目的で30日程度のログ保持期間を設けている場合が多い。削除操作で即座にデータがクラウドから消去されるわけではない点への理解が求められる。
3. ​開発・検証環境での実データ運用のリスク​: 人事システム等の導入・移行検証において、本番データ（実個人情報）をそのまま扱わず、事前の仮名化・マスキングや合成データの利用を徹底するプロセスの必要性が再確認された。

企業における生成AI統制の展望

企業における生成AI活用は急速に拡大しているが、公式に承認されたセキュアな社内環境を提供しない場合、現場の従業員が利便性を求めて外部のコンシューマー向けサービスに重要データを持ち出すリスクが常に付きまとう。

パナソニック オペレーショナルエクセレンスは今後、個人情報保護の取り扱いルールの見直しと生成AIサービスの利用管理体制を再構築し、関係者への教育を徹底するとしている。利便性と安全性のバランスを取りながら、実効性のある利用環境をいかに整えるかが日本企業共通の課題となっている。

引用元：ITmedia NEWS