パナソニックの33万4000人分、禁止の生成AIへ。
原因は侵入ではなく規則違反。
この記事の読者：情シス・DX担当（社内の生成AIルールと、プロジェクト単位のデータの扱いを決める人）／経営・管理職（「うちは大丈夫か」と聞かれる立場の人）／個人向け・全社員・非専門（会社が禁止しているAIに、つい実データを貼りたくなる場面がある人）。専門知識が無くても、「実データの代わりにダミーを作らせる」の一点は今日から真似できます。
要点：パナソニック オペレーショナルエクセレンスは10月23日、人事情報システムの導入プロジェクトで、利用を禁止していた外部の生成AIに約33万4000人分の個人情報を含むデータがアップロードされたと発表しました。原因は外部からの侵入ではなく、メンバーのルール違反です。従業員・元従業員の氏名は含まれず、公開や不正利用は確認されていません。削除後もAI事業者側に30日間残る点は、自分のAI設定を見直す材料になります。
パナソニックグループの従業員・元従業員・家族の個人情報が、禁止されていた外部の生成AIにアップロードされました。
対象は約33万4000人分です。
パナソニック オペレーショナルエクセレンス株式会社が10月23日に発表し、Xでは同日夕方から関連投稿が広がりました。
最も伸びた速報投稿の表示は、10月24日朝の時点で約828万回です。
私は10月24日朝に、パナソニックホールディングスの公式サイトにある発表文を読み、ITmedia NEWSの記事と突き合わせました。
見出しに「流出」と書く媒体もあります。
発表文の言葉は「アップロード」です。
発表文で確認できたこと：対象は3つの層、氏名が入るのは家族だけ
発表文の対象者と項目を、表にまとめました。
保存して使えます。
| 対象者 | 人数 | 含まれる項目 |
|---|---|---|
| 従業員（在籍中） | 約7万5000人 | 社員番号、住所、電話番号、メールアドレス（氏名は含まれない） |
| 元従業員（1978〜2026年度の退職者。事業譲渡先へ転籍した人を含む） | 約17万8000人 | 同上 |
| 家族（従業員の家族約5万5000人、元従業員の家族約2万6000人） | 約8万1000人 | 緊急連絡先として登録された家族の氏名、住所、電話番号、メールアドレス |
データは、2026年4月時点で人事情報システムに登録されていたものの一部です。
元従業員の家族は、2016年以降に退職した人の分だけです。
家族の分は、従業員本人が人事情報システムに登録していた場合に限られます。
4つの人数を足すと約33万4000人で、ITmedia NEWSの合計と合います。
起きたこと：外部からの侵入ではなく、禁止していたAIへの持ち込み
舞台は、同社が子会社のパナソニック デジタルと進める、人事情報システムの導入プロジェクトです。
そのメンバーが、個人情報を含むデータを、同社が利用を禁止している外部の生成AIサービスにアップロードしました。
発表文は、外部からの不正な操作ではなく、メンバーのルール違反だと説明しています。
サービスの名前、アップロードの目的、メンバーの人数は書かれていません。
禁止はあった。
それでもアップロードは起きた。
発表文から言えるのは、ここまでです。
日付は4つ。削除後に残る30日が、いちばん持ち帰れる
| 日付 | 発表文に書かれていること |
|---|---|
| 2026年4月 | アップロードされたデータの時点（人事情報システムの登録内容） |
| 9月29日 | 個人情報保護委員会に報告 |
| 10月23日 | 公表。個人情報保護法に基づく本人通知の代わりとして公表するもので、対象者に求める対応は無し |
| 10月25日 | 削除後30日の保持期間が過ぎ、AI事業者の側でも保持されなくなる |
発表文に、データを削除した日は書かれていません。
ただ、「削除日から30日間保持」「10月25日以降は保持されない」とあるので、逆算すると削除は9月25日前後です。
これは本紙の計算で、発表文の記載ではありません。
その計算なら、報告（9月29日）は削除の4日後、公表（10月23日）は報告の24日後になります。
AI事業者の回答として、発表文は2点を挙げています。
1点目。アップロード時に、データをAI学習に使う機能が無効だった。他の利用者が関連する質問をしても、回答には使われない。
2点目。利用者が削除しても、セキュリティと法令順守のため、削除日から30日間は事業者が保持する。厳格にアクセス管理され、監査などの要請以外ではアクセスされない。
どちらも、パナソニック側が伝えた事業者の回答です。
本紙は、事業者に直接確かめていません。
自分のAI設定で見る3点：「消した」のあとに何が残るか
今回の発表で、個人にも会社にも当てはまるのはここです。
データを消しても、事業者の側ではすぐに消えるとは限りません。
今日、自分が使っているAIの設定で、次の3点を見てください。
- 会話やアップロードしたデータを、AIの学習に使う設定は、オンか、オフか。今回は「無効だった」ことが、他の人の回答に出ない根拠になりました。
- 削除したあと、事業者の側に何日残るか。
- 残っている間、誰が、どんな条件でなら見られるか。
答えは、サービスとプランで違います。
確かめる場所は、各サービスの公式のデータ管理のページです。
本紙は、個々のサービスの日数をまだ確認していないので、ここには書きません。
実例：実データの代わりに、ダミーを作らせる
AIに実データを渡さなくても、形だけ同じダミーを作らせれば、整形の手順や関数の相談はできます。
先に、こう頼みます。
| AIに頼む文（そのまま貼れる形） |
|---|
| 社員番号（E＋5桁）、住所、電話番号、メールアドレスの4列で、実在しない人のダミーデータを10行作ってください。住所は架空の番地、電話番号は090-0000-0000の形、メールアドレスは末尾を@example.comにしてください。 |
出てきたダミーで、整形のやり方や突き合わせのルールをAIと詰めます。
本物のデータには、同じ手順を、会社が承認した環境の手元で当てます。
AIには、本物を1行も渡しません。
組み合わせ案：スプレッドシートで伏せたコピーを作る
実データの形をAIに見せたいときは、伏せたコピーだけを渡します。
Googleスプレッドシートなら、関数で作れます。
- 電話番号の数字を伏せる：
=REGEXREPLACE(B2,"[0-9]","X")（090-1234-5678がXXX-XXXX-XXXXになる） - メールアドレスの@より前を伏せる：
=REGEXREPLACE(C2,"^[^@]+","xxxx")（[email protected]が[email protected]になる）
2つの式の動きは、同じ正規表現をPythonで確かめました。
スプレッドシートの画面では動かしていません。
住所のような自由な文字列は、式では伏せきれません。
住所の列は、コピーから外します。
AIに渡すのは、伏せたコピーのシートだけにして、元の列は共有しません。
情シスの人には、もう1点あります。
禁止の文書だけでは、今回のケースは止まりませんでした。
禁止と一緒に、使ってよい場所と、ダミーの作り方を出す。
現場は、そのほうが動きやすいはずです。
これは本紙の見立てです。
| 社内に出す案内文（そのまま貼れる形） |
|---|
| 【生成AIの利用について（再周知）】 会社が承認していない生成AIには、住所・電話番号・メールアドレスなど、個人を特定できる情報を入れないでください。 迷ったら、実データの代わりにダミーを作って試してください。作り方は〇〇に置いています。 入れてしまったときは、黙って消さずに、すぐ〇〇へ連絡してください。 |
発表文が書いていないこと
発表文に書かれていない点は、次のとおりです。
本紙は、どれも推測で埋めていません。
1. 使われた生成AIサービスの名前。
2. アップロードの目的。人事情報システムの導入作業の、どの工程だったのか。
3. アップロードの形。ファイルか貼り付けか。関わったメンバーの人数と、データの件数。
4. 発覚の経緯と日付。削除は「発覚直後」とあるだけです。
5. 禁止の守らせ方。ブロックや制限などの技術的な手当てがあったのか、規則だけだったのか。
次に見るのは、パナソニックホールディングスの同じ発表ページの更新です。
10月25日以降の削除の確認や、追加の事実が出たら、この記事の表を直します。
編集責任者：Tatsuki Morohashi（発行人・運営者情報） ／ 最終更新：2026.10.24
本記事は、編集責任者の指示のもとAI編集部が執筆し、編集責任者が内容を確認しています。掲載の判断と内容の責任は編集責任者が負います。誤りを見つけられた場合はお問い合わせからご指摘ください。訂正の手順は訂正ポリシーに定めています。
参考にした主な出典
・パナソニック オペレーショナルエクセレンス株式会社「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（holdings.panasonic、2026年10月23日付。10月24日閲覧）——対象者・人数・項目、対応状況、AI事業者の回答、二次被害の状況、再発防止
・ITmedia NEWS「パナソニックHD子会社、使用禁止の生成AIに従業員約33万人分の個人情報をアップロード」（itmedia.co.jp、10月23日公開。10月24日閲覧）——対象人数の合計、発表の経緯の確認
・X（10月23日夕方から24日朝の関連投稿。表示数は10月24日朝に確認。投稿者名は記載していません）
ツギノテはAI編集部が毎日発行するメディアです。同じ仕組みを作りたい方は 構築の相談 へ。