パナソニック オペレーショナルエクセレンスにおける生成AIへの従業員等個人情報アップロード（約33万4000人）
公表日
パナソニック オペレーショナルエクセレンスにおいて、社員が社内ルールに反して利用禁止の外部生成AIサービスに従業員や家族ら計約33万4000人分の個人情報をアップロードしたことが公表されました。
対象者は？
国内パナソニックグループの従業員約7万5000人、元従業員約17万8000人、および緊急連絡先として登録されていた家族約8万1000人（計約33万4000人）。従業員・元従業員については氏名は含まれず社員番号・住所・電話番号・メールアドレス、家族については氏名・住所・電話番号・メールアドレスが含まれます。
同社が退職者およびその家族向けに設置した専用の問い合わせフォームや窓口にて確認が可能です。
何が起きたのか
2026年9月、人事情報システムの導入プロジェクトを進めていた社員が、社内ルールで利用が禁止されていた外部の生成AIサービスに、従業員や退職者、その家族らの個人情報約33万4000人分を含むデータをアップロードしました。発覚直後に当該社員はAIサービス上の履歴やパソコン内のデータを削除し、同社は9月29日に個人情報保護委員会へ報告した上で、10月23日に事案を公表しました。
なぜ起きたのか・なぜ広がったのか
外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。ではなく、プロジェクト担当者が社内ルールに違反してデータを送信したことが原因です。利用禁止とされていた外部生成AIサービスに、システム登録データの一部がアップロードされました。
いまの状況2026-10-23 時点
生成AIサービスの事業者への確認により、AIの学習機能は無効化されており、第三者への回答に使われることはないことが判明しています。事業者がセキュリティ目的で一時保持していたデータも、10月25日以降に完全に消去される見通しです。現時点で情報の一般公開や不正利用などの具体的な被害は確認されていません。
企業として考えたいこと
社内ルールで利用を禁止している外部の生成AIやクラウドサービスに対して、ルールの周知だけでなく、アクセス遮断や送信検知などの技術的な制限を導入できていますか？
技術的な要約
パナソニック オペレーショナルエクセレンスは2026年10月23日、社内プロジェクトに携わる社員が、社内で利用を禁止している外部の生成AIサービスにグループ従業員や元従業員、その家族ら計約33万4000人分の個人情報を含むデータをアップロードしていたと発表した。問題は子会社のパナソニック デジタルと進めていた人事情報システムの導入プロジェクトで発生し、同システムに登録されていた一部データが社内ルールに反して送信された。発覚直後に当該社員は生成AIサービス上のチャット履歴と業務用PC内のデータを削除しており、運営事業者への確認によりAI学習機能は無効で他者への回答に利用されないことが判明している。外部からの不正アクセスによるものではなく、現時点で個人情報の一般公開や不正利用による具体的な被害は確認されていない。
攻撃の分類
- 侵入口
- 内部者公表で確認人事情報システム導入プロジェクトのメンバーが社内ルールに違反し、利用禁止されている外部の生成AIサービスに対象データをアップロードした。外部からの不正アクセスや不正操作ではないことが公式に説明されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止や不正利用などの具体的な被害は確認されていない。
- データ
- 確定上限 334,000確定 334,000人氏名住所電話メール従業員情報内訳は国内グループ従業員約7万5000人、1978年以降退職の元従業員約17万8000人、家族計約8万1000人（従業員の家族約5万5000人、2016年以降退職の元従業員の家族約2万6000人）。従業員・元従業員は社員番号、住所、電話番号、メールアドレス（氏名なし）。家族は緊急連絡先として登録された氏名、住所、電話番号、メールアドレス。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 自社および子会社パナソニック デジタルによる社内人事システム導入プロジェクトにおける社内ルール違反事案であり、サプライチェーン起因ではない。
時系列
- 2026-04
- 2026-09
- 2026-09
- 2026-09
- 2026-09-29
- 2026-10-23
- 2026-10-23
- 2026-10-25
技術解説
事案の経緯とアップロードされた対象データ 事実
パナソニック オペレーショナルエクセレンスにおいて、パナソニック デジタルと進めていた人事情報システム導入プロジェクトの社員が、社内ルールに反して利用禁止の外部生成AIサービスに個人情報をアップロードした。対象となったデータは2026年4月時点で同システムに登録されていた一部情報であり、国内グループ従業員約7万5000人、1978年から2026年度までに退職した元従業員約17万8000人、および家族約8万1000人（従業員の家族約5万5000人、2016年以降退職の元従業員の家族約2万6000人）の計約33万4000人分にのぼる。従業員および元従業員の情報は社員番号、住所、電話番号、メールアドレスであり氏名は含まれていないが、家族の情報には緊急連絡先として登録されていた氏名、住所、電話番号、メールアドレスが含まれていた。外部からの不正アクセスや不正操作によるものではないと説明されている。
生成AIサービス側の仕様と外部流出リスクの評価 解釈
事案発覚直後に当該社員がチャット履歴および業務用PC内のデータを削除したことに加え、運営事業者への確認によって、送信時点でAIモデルの学習機能が無効化されていたことが判明している。これにより、送信されたデータが学習データとして取り込まれ、他の第三者利用者のプロンプトへの回答として出力・漏えいするリスクは回避された。一方で、当該サービスでは利用者が削除操作を行っても、セキュリティおよび法令順守の目的でデータが30日間保持される仕様となっていた。この保持データは厳格なアクセス管理下にあり10月25日に完全削除される見通しとされたが、外部SaaSや生成AIを利用する際は、利用者が能動的に削除したとしても事業者側のバックアップや監査ログ、リテンションポリシーによって即時消去されない期間が存在するというデータライフサイクル上の留意点を示している。
ルール依存の統制の限界と技術的防止策の必要性 解釈
本件は外部からの侵入ではなく、正規権限を持つ内部関係者が業務上の効率化や検証などの目的で禁止ツールへデータを投入した内部起因のセキュリティインシデントである。社内ルールで外部生成AIの利用を禁止していたにもかかわらず、約33万人分という大規模な本番相当の個人情報が容易に外部サービスへ送信できてしまった背景には、人的な規則遵守（ポリシー）に依存したガバナンスの限界がある。システム開発やデータ移行の現場では、本番個人データのローカル環境への平文展開の制限、個人情報を含む大容量テキストのWeb送信を検知・遮断するDLP（Data Loss Prevention）、未許可ドメインへの通信を制限するCASBやWebプロキシなどの技術的統制を重層的に組み合わせることが、個人の過失やルール違反を防止する上で不可欠である。
対応
- 封じ込め
- 問題発覚直後に当該社員が生成AIサービス上のチャット履歴と業務用PC内の対象データを削除した。またサービス運営事業者に確認し、アップロード時点でAI学習機能が無効化されていたこと、および削除後30日間の保持期間（10月25日まで）経過後に事業者側からも完全に削除されることを確認した。
- 公表の仕方
- 2026年10月23日に発表。個人情報保護法に基づく本人通知の代替措置として公表を行い、退職者やその家族向けに問い合わせフォームと専用窓口を開設した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 社内ルールで禁止された外部生成AIやSaaSへのアクセスは、人的運用だけでなく技術的に制御する | CASB（Cloud Access Security Broker）やセキュアWebゲートウェイ（SWG）を用いて未承認の生成AIサービスやファイル共有サイトへの通信をブロックし、シャドーITとしてのアクセスを検知・遮断する。 |
| Webブラウザやデスクトップからの大量個人情報送信を検知・抑止する | エンドポイントDLPやネットワークDLPを導入し、電話番号や住所、メールアドレスのパターンを含むデータの外部Webサイトへのペーストやアップロード操作を自動的に検知・ブロックする。 |
| システム開発・導入検証環境で本番の個人情報を直接取り扱わない | 開発環境や移行検証環境では原則としてマスキング・仮名化処理を行った疑似データを用い、本番個人データをローカル端末や検証領域へ無制限にエクスポートできないようアクセス制御を徹底する。 |
| 外部サービス利用時のデータ保持期間（リテンション）と学習オプトアウト設定を事前確認する | 業務でAIツールや外部SaaSを採用・選定する際は、プロンプトや送信データの学習利用有無（オプトアウト）に加え、削除後の事業者側バックアップやログ保持期間（30日間等）を技術・法務の両面から確認し利用規約を管理する。 |
自組織などでの確認項目
- 自社のネットワークおよび業務用端末から、社内で未許可の生成AIサービスへのアクセスが技術的（プロキシやDNS等）に制限されているか。
- システム開発やデータ移行業務において、本番環境の個人情報や機微データをローカルPCや検証環境へエクスポートする際の承認フローとマスキング手順が確立されているか。
- 業務PCからWebフォームや外部サービスへ大量のテキストやファイルが送信された際、DLP等で検知・アラートを発する監視体制があるか。
未解明点
- 当該社員が社内ルールに反して外部生成AIサービスにデータを送信した具体的な業務上の動機や処理内容（データ加工、集計、スクリプト作成など）は何であったか。
- 社内で禁止されていた外部生成AIサービスへのアクセスが、なぜプロキシやネットワーク監視によって即座に検知・遮断されなかったのか。
出典
- 1ITmedia NEWS2026-10-23報道本文確認済
- 2CNET Japan2026-10-23報道本文確認済
- 3ITmedia NEWS2026-10-23報道本文確認済
- 4日本経済新聞2026-10-23報道本文確認済