パナソニックのグループ会社、禁止している外部の生成AIに約33万4,000人分の個人情報をアップロード。家族の緊急連絡先も

パナソニックのグループ会社、禁止している外部の生成AIに約33万4,000人分の個人情報をアップロード。家族の緊急連絡先も【2026年10月】

パナソニックのグループ会社で、社内で利用を禁止している外部の生成AIサービスに、従業員・元従業員とその家族の個人情報が約33万4,000人分アップロードされていたことが、2026年10月23日(金)に公表されました。公表したのはパナソニック オペレーショナルエクセレンス (以下PEX) で、お知らせはパナソニック ホールディングスのサイトに掲載されています。アップロードしたのは、PEXの人事情報システム導入プロジェクトのメンバーです。従業員・元従業員の分に氏名は含まれていませんが、家族の分には、緊急連絡先として登録された家族の氏名・住所・電話番号・メールアドレスが入っていました。メンバーは発覚直後にデータを削除しましたが、AIサービスの事業者は、利用者が削除したデータも削除日から30日間保持する決まりでした。

この記事のポイント

• 対象は従業員約7万5千人・元従業員約17万8千人・家族約8万1千人。約33万4,000人は区分ごとの数字を足したもので、お知らせに合計の数字はない
• 従業員・元従業員の分に氏名はない。氏名が入っていたのは、緊急連絡先として登録された家族の分
• 事業者は削除されたデータを30日間保持する決まりで、発覚直後に削除した分は10月25日以降は保持されない、とPEXは説明している
• PEXは「外部からの不正な操作によるものではなく」、メンバーのルール違反によるアップロードだとしている
• 9月29日(火)に個人情報保護委員会 (個人情報の扱いを監督する国の機関) へ報告した。公開や不正利用による具体的な被害は、現時点で確認されていないという

誰の、どんな情報だったのか

PEXによると、プロジェクトは子会社のパナソニック デジタルと進めている人事情報システムの導入です。アップロードされたのは、2026年4月時点の人事情報システムに登録されていたデータの一部でした。対象は、日本地域のグループ共通人事情報システムを使う会社の従業員・元従業員 (事業譲渡先へ転籍した人を含む) と、その家族です。

お知らせは、従業員・元従業員の項目に「※氏名は含まれていません」と注記しています。家族の分は「従業員に代わる緊急連絡先のご家族の氏名、住所、電話番号、メールアドレス」です。名前まで入っていたのは、働いていた本人ではなく、緊急連絡先として届け出られていた家族のほうでした。

消したデータは、どうなるのか

メンバーは発覚直後に、AIサービスのチャット履歴と、業務用PCの中の対象データを削除しました。お知らせには、AIサービスの事業者がPEXに答えた内容も載っています。

• アップロードの時点で、データをAIの学習に使う機能は無効になっていた
• 他の利用者の質問への回答に使われることはない
• 利用者が削除しても、事業者はセキュリティと法令順守のため、削除日から30日間保持する
• 発覚直後に削除したデータは「保持期間30日経過後の10月25日以降は事業者内でも保持されません」

画面の上で消したあとも、事業者の側では30日間保持される決まりだったことになります。PEXは「今後二次利用されることはないということが確認できました」と書いています。学習機能が無効だったことも含め、これらは事業者の回答をPEXが伝えたもので、外部の機関が検証した結果ではありません。

9月のRIZAPの件との違い

以前の記事 (2026年9月) で取り上げたRIZAPの件では、従業員が「個人利用のAI」に顧客情報を誤って入力していました。会社が認めていないAIサービスを業務で使う「シャドーAI」の例で、今回も同じ型にあたります。今回の発表で違うのは、次の3点です。

• 会社が利用を「禁止している」と明示していたサービスだった
• 家族の緊急連絡先として、家族の氏名まで入っていた
• 消したあとも事業者の側に30日間残る決まりだったことが、会社のお知らせに書かれている

10月21日の夜には、Webサイトの裏側で動くPHPというプログラムに欠陥 (PHP2Shell) が見つかり、国内のサービスが外からの攻撃に備えて相次いで止まりました。今回は向きが逆で、パナソニックのグループ会社であるPEXが「外部からの不正な操作によるものではなく」と書くとおり、内側のメンバーが、禁止されたサービスにデータを渡しています。

まだ分かっていないこと

• どのAIサービスか: お知らせに名称はなく、ITmedia NEWSと関西テレビの報道にも書かれていない
• いつアップロードしたか、どうやって発覚したか、何のためにデータを入れたか: お知らせに書かれていない。分かっている日付は、9月29日(火)に個人情報保護委員会へ報告したこと
• 学習に使われていない、二次利用されないという点: 事業者の回答をPEXが伝えたもので、外部の検証はない

対象になった人へのお知らせ

PEXは、このお知らせを個人情報保護法に基づく「本人通知の代替措置」として公表したとしています。対象者一人ひとりに知らせる代わりに、公表で知らせる方法です。お知らせには「対象となる皆様に、ご対応いただく事項はありません」とあります。退職者と家族向けには、問い合わせのフォームとフリーダイヤル (平日の午前9時から午後7時) が用意されています。再発防止として、個人情報の取り扱いルールと生成AIサービスの利用管理を見直し、教育・啓発を強化するとしています。

まとめ（FAQ）

Q. パナソニックで働く人の名前が、AIサービスに渡ったのですか?
A. お知らせによると、従業員・元従業員の分は社員番号・住所・電話番号・メールアドレスで、氏名は含まれていません。氏名が含まれていたのは、緊急連絡先として登録された家族の分です。

Q. 外部からの攻撃だったのですか?
A. PEXは「外部からの不正な操作によるものではなく、プロジェクトメンバーによるルール違反に伴うデータのアップロード」と説明しています。

Q. AIの学習に使われたのですか?
A. 事業者の回答では、アップロードの時点で学習に使う機能は無効でした。PEXが伝えた事業者の回答で、外部の機関が確かめたものではありません。

Q. どのAIサービスだったのですか?
A. サービスの名称は、お知らせにも、確認した報道にも書かれていません。

Q. 対象になっていたら、何かする必要がありますか?
A. お知らせは「対象となる皆様に、ご対応いただく事項はありません」としています。退職者と家族向けに、問い合わせのフォームとフリーダイヤルがあります。

Quotidia の視点

今回のお知らせは、消したあとのことまで書いている。メンバーは発覚直後にデータを消したが、AIの事業者は削除日から30日間保持する決まりで、PEXが「保持されません」と言えるのは10月25日以降だった。仕事でAIにファイルを渡す側から見ると、消したデータが事業者の側にどれだけ残るのかは、ふだん目に入りにくい。もう一つは、氏名が入っていたのが従業員本人ではなく、緊急連絡先として届け出られた家族の側だったことだ。その欄を書くのは、ふつうは従業員本人で、家族ではない。9月に取り上げたRIZAPの件は、個人で使うAIへの誤った入力だった。今回は、会社がはっきり使用を禁じていたサービスに、人事情報システムの導入プロジェクトのメンバーがデータを入れている。禁止のルールがあっても、アップロードは止まらなかった。

関連記事:

• RIZAP、従業員が「個人利用のAI」に顧客情報を誤って入力。健康情報を含む、シャドーAIの流出事例（RIZAPの従業員が「個人利用のAI」に顧客情報を誤って入力した回。同じシャドーAIの型で、今回は会社が利用を禁止していると明示していたサービスに、家族の緊急連絡先の氏名まで入っていた。消したあとも事業者の側に30日間残る決まりが、会社のお知らせに書かれている点も違う）
• AIを使った調査で見つかったPHPの欠陥「PHP2Shell」、修正公開の夜に国内のサービスが予防のため相次ぎ停止（PHPの欠陥に備えて、国内のサービスが外からの攻撃を防ぐために予防で止まった回。今回はPEXが「外部からの不正な操作によるものではなく」と書くとおり、内側のメンバーが禁止のサービスにデータを渡した話で、向きが逆）

箱の横の字

宮本は、段ボールの上の面と横の面の両方に字を書く。積めば上は見えなくなるから、というのが彼女の言い分だ。彼女の油性ペンは、キャップの端が噛んだ跡で平たくなっていた。

十月二十五日の日曜日が、引っ越しの朝だった。カーテンは前の晩に外してあって、空のカーテンレールの下の、左手のガラスから、低い光が床まで差していた。家具のなくなった部屋は、思っていたより声がよく響いた。宮本は七時半に来て、床に膝をつき、僕が詰めた箱に順に中身を書いていった。台所。割れもの。本。

二つ目の「本」を書きながら、宮本が言った。

「金曜に、会社で注意が回ってきたの。許可されてないAIに、仕事のファイルを入れないでって。今度は、よその会社で起きたことの説明つき」

ペンは止まらなかった。新しい人事のシステムを入れる仕事をしていたメンバーが、会社が使うのを禁止していた外の生成AIに、働いている人と、辞めた人と、その家族の連絡先を入れてしまったのだそうだ。

「本人の分には、名前は入ってなかったんだって。名前が入ってたのは、家族のほう。緊急連絡先に書いた家族の、名前と住所と、電話とメール」

その話なら、僕も見出しは見ていた。パナソニックのグループ会社が二日前に出したお詫びで、退職した人とその家族まで合わせると、三十三万四千人ほどになる。

「入れた人は、見つかってすぐに消したらしいの。でもAIの会社のほうは、消されたものも三十日は取っておく決まりなんだって。勉強には使わない設定だった、って向こうは言ってるみたい」

宮本は箱の横の面にも「本」と書いた。油性ペンのにおいが、鼻の奥のほうに残った。

「このペン、文化祭のにおいがする」と彼女は言った。

「三十日って、いつまで」

「昨日まで。今日からは、向こうにも残らないんだって」

それから宮本は、ペンの先をこちらに向けた。

「あなたの会社の緊急連絡先、誰にしてる」

「姉」

「お姉さんは知ってるの。自分の名前がそこにあるって」

入社の日、配られた紙のいちばん下の欄に、姉の名前と、そのころ姉が住んでいた部屋の住所を書いた。書いたことは覚えている。姉に言ったかどうかは、覚えていなかった。

「うちの母も、知らないと思う」と宮本は言った。「書くほうは一回書けば済むけど、書かれたほうは、いつ書かれたのかも知らないのよ」

九時に、引っ越しの業者が来た。新しい部屋は、今の部屋よりひと間少ない。責任者の男の人は部屋を見回して、新居に入らない分は、三十日までなら倉庫でお預かりします、と言った。

僕は四つの箱を選んだ。持ち上げると、段ボールの角が膝に当たった。そのうちの一つは、何を詰めたのか自分でも言えなかった。宮本は少し考えてから、その箱の上の面と横の面に、大きく「?」と書いた。

「?」の箱は、ほかの三つといっしょに、トラックの奥へ運ばれていった。

新しい部屋で最後の箱を開けたのは、引っ越しから九日たった夜だった。宮本の字で、上にも横にも「机 書類」とある箱だった。

中には、延長コードと、使わなくなった名刺の束と、薄いクリアファイルが入っていた。ファイルの中に、入社の日に出した書類の控えがあった。いちばん下の欄に、僕の字で、姉の名前と、姉がもう住んでいない部屋の住所と、電話番号が書いてあった。

会社の人事のページを開いて、緊急連絡先の欄を見た。紙の控えと同じ、古い住所が入っていた。

姉にメッセージを送った。会社の緊急連絡先に、姉さんの名前と電話番号を書いてある。入社したときからずっと。住所を、今のに直してもいいか。

返事は二十分ほどで来た。

「知らなかった。いいよ、今の住所を送る」

少しして、もう一通来た。

「それより、新しい部屋のカーテンの丈、ちゃんと測った?」

測っていなかった。前の部屋のカーテンは、まだ箱の中で畳まれたままだった。僕は姉から届いた住所を人事のページに打ちこんで、保存のボタンを押した。画面の古い住所は、それで消えた。紙の控えのほうは、古い住所のまま手元に残った。

倉庫には、まだ四つの箱を預けてある。三つは、中身を言える。「?」の一つは、何が入っているのか、まだ思い出せない。取りに行く日も、決めていない。

僕は空になった箱をたたんで、宮本の字が外に見えるように、玄関の壁に立てかけた。

パナソニックのグループ会社、禁止している外部の生成AIに約33万4,000人分の個人情報をアップロード

パナソニック オペレーショナルエクセレンス (PEX) は2026年10月23日(金)、人事情報システム導入プロジェクトのメンバーが、PEXが利用を禁止している外部の生成AIサービスに、従業員・元従業員と家族の個人情報を含むデータをアップロードしたと公表した。お知らせはパナソニック ホールディングスのサイトに掲載された。対象は従業員約7万5千人、元従業員約17万8千人 (1978年〜2026年度の退職者)、家族約8万1千人で、合わせて約33万4,000人。従業員・元従業員の分に氏名は含まれず、家族の分には緊急連絡先として登録された氏名・住所・電話番号・メールアドレスが含まれていた。メンバーは発覚直後に削除したが、事業者は削除日から30日間データを保持する決まりで、10月25日以降は保持されないという。学習に使う機能は無効だったと事業者は回答している。PEXは外部からの不正な操作ではないとし、9月29日(火)に個人情報保護委員会へ報告した。サービスの名称は公表されていない。