パナソニックHD子会社、社内で禁止の生成AIに約33万人分の個人情報——会社として決めておきたいAIのルール
2026年10月23日、パナソニックホールディングスの子会社が、社員が社内で使用を禁止している外部の生成AIサービスに、従業員・元従業員・家族など約33万4,000人分の個人情報を含むデータをアップロードしていたと発表しました。
外部からの攻撃ではなく、社員が業務を楽にしようとして起こした情報の持ち出しです。生成AIを仕事に使う会社が増える中、どの会社でも起こりうる事故と言えます。何が起きたのかと、会社として決めておきたいルールをまとめます。
何が起きたのか
項目 | 内容 |
|---|---|
発表 | 2026年10月23日、パナソニック オペレーショナルエクセレンス（パナソニックHD傘下） |
経緯 | 人事情報システムの導入プロジェクトに関わる社員が、社内で利用禁止の外部生成AIサービスに、個人情報を含むデータをアップロードした |
人数 | 計約33万4,000人（従業員 約7万5,000人、元従業員 約17万8,000人、家族 約8万1,000人） |
項目 | 従業員・元従業員：社員番号、住所、電話番号、メールアドレス（氏名は含まない）。家族：緊急連絡先の氏名、住所、電話番号、メールアドレス |
AIサービス側の扱い | アップロード時点でAIの学習機能は無効だったため、ほかの利用者への回答に使われることはないとしている。ただし運営事業者は削除済みのデータを30日間保持するため、10月25日まで保管される |
原因 | 外部からの不正アクセスではなく、社員の社内ルール違反 |
被害 | 情報の公開や不正利用による被害は確認されていない |
再発防止 | 個人情報の取り扱いルールと生成AIの利用管理の見直し、教育の強化 |
なぜ起きるのか：「便利だから」で禁止のAIを使ってしまう
大量のデータを整理したり、変換したりする作業は、生成AIに任せると一瞬で終わります。会社が使ってよいAIを用意していないと、社員は個人のアカウントや無料のサービスで済ませてしまいがちです（「シャドーAI」と呼ばれます）。
- 禁止していても、代わりの使ってよいAIがなければ、隠れて使われる
- 「学習に使われない設定だから大丈夫」と思っても、データは相手の会社のサーバーに一定期間残る
- そもそも、社員が33万人分の個人情報を自分のパソコンに持ち出せたことも問題になる
社内で許可されていないITサービスを使う問題は社内の「シャドーIT」を洗い出す方法でも解説しています。
会社として決めておきたい5つのルール
- 使ってよいAIを決めて、用意する。法人向けのプランなど、入力したデータの扱いが契約で決まっているサービスを会社として契約する
- 入れてはいけない情報を、具体的に書く。「個人情報」「取引先の情報」「社外秘の資料」など、例をあげて社内に示す
- 大量の個人情報は、持ち出せないようにする。人事や顧客のデータを、必要な人が必要な分だけ見られるように権限を絞る
- 迷ったときの相談先を決める。「これはAIに入れていい？」と聞ける担当者を置く
- 入れてしまったときの報告の流れを決める。隠さずにすぐ報告すれば、削除の依頼など打てる手がある
個人として気をつけたいこと
今回の件に限らず、生成AIのチャットに自分や家族の住所・電話番号、取引先の情報を貼り付けるのは避けましょう。便利なAIほど、何を入れたかを意識することが大切です。
まとめ：禁止するだけでなく、使ってよいAIとルールを用意する
- パナソニックHD子会社の社員が、利用禁止の外部生成AIに約33万4,000人分の個人情報をアップロード
- 不正アクセスではなく社内ルール違反。学習には使われない設定だったが、データは一定期間AI側に残る
- 会社は使ってよいAI・入れてはいけない情報・持ち出させない仕組みをセットで用意する
「社員の生成AIの使い方をどう決めればいいか分からない」という会社は、BULLCOM Securityにご相談ください。社内ルールづくりから、社員向けのセキュリティ講習までお手伝いします。まずはLINEでお気軽にどうぞ（無料）。
参考：ITmedia NEWS、日本経済新聞（2026年10月23日）
