パナソニック オペレーショナルエクセレンスは10月23日、パナソニックグループの従業員や元従業員、その家族の個人情報を含むデータが、社内で利用を禁止している外部の生成AIサービスにアップロードされていたと発表した。
パナソニックの看板
今回確認されたのは、社内で禁止されている外部サービスへのデータのアップロードで、現時点で個人情報が一般に公開された事実や、不正利用による具体的な被害は確認されていないという。
問題が起きたのは、同社と子会社のパナソニック デジタルが進める人事情報システムの導入プロジェクト。プロジェクトのメンバーが社内ルールに違反し、2026年4月時点で人事情報システムに登録されていたデータの一部を、外部の生成AIサービスにアップロードした。外部からの不正な操作によるものではないという。
対象となったのは、国内のパナソニックグループで共通の人事情報システムを利用する会社の従業員約7万5000人と、1978年から2026年度までに退職した元従業員約17万8000人。元従業員には、事業譲渡先へ転籍した人も含まれる。
このほか、従業員の家族約5万5000人と、元従業員の家族約2万6000人も対象となった。元従業員の家族は、2016年以降に退職した人の家族に限られる。いずれも、従業員や元従業員が人事情報システムに緊急連絡先として登録していた家族の情報だ。
アップロードされた従業員と元従業員の情報には、社員番号、住所、電話番号、メールアドレスが含まれていたが、氏名は含まれていない。一方、家族の情報には、氏名、住所、電話番号、メールアドレスが含まれていた。
問題の発覚直後、アップロードしたメンバーは生成AIサービスのチャット履歴と、業務用PCに保存されていた対象データを削除した。同社は9月29日、個人情報保護委員会に報告した。
同社は生成AIサービスの運営事業者にも確認した。その結果、データがアップロードされた際、AIの学習に利用する機能は無効になっており、他の利用者への回答にも使われないとの説明を受けたという。
ただし、この生成AIサービスでは、利用者がデータを削除しても、運営事業者がセキュリティーや法令順守のため、削除日から30日間データを保持する仕組みになっている。
運営事業者の説明によると、保持中のデータは厳格にアクセス管理され、監査などの要請がある場合を除いてアクセスされない。今回アップロードされたデータも、保持期間が終了する10月25日以降は、事業者側に残らないという。
同社は、アップロードされたデータが今後二次利用されないことも確認したと説明している。引き続き影響の有無を調査するとともに、個人情報の取り扱いルールや生成AIサービスの利用管理を見直し、関係者への教育を強化する。
今回の発表は、個人情報保護法に基づく本人通知の代替措置として行った。対象者が現時点で対応する必要はないとしている。退職者とその家族向けには、問い合わせフォームと専用窓口を設けている。