禁止の生成 AI に 33 万人分の個人情報 — 禁止だけでは止まらない

社員が生成 AI に送ったのは、どんなデータだったの?

発表したのは、パナソニック ホールディングスの子会社、パナソニック オペレーショナルエクセレンスです。10 月 23 日に、グループの従業員や元従業員、その家族の個人情報を含むデータが、外部の生成 AI サービスにアップロードされていたと明らかにしました。

データは、人事情報システムに 2026 年 4 月時点で登録されていたものの一部です。対象の内訳は次のとおりです。

氏名が含まれるのは家族の分だけです。なお、会社の発表では一般への公開や不正利用の被害は確認されておらず、正確には「利用禁止の外部 AI への送信」です。

禁止していたのに、なぜ使われたの?

送ったのは、外から侵入した誰かではありません。パナソニックと子会社パナソニック デジタルが進める、人事情報システム導入プロジェクトのメンバーでした。

会社はこの生成 AI サービスの利用を禁止していました。つまりルールは存在し、それでも業務の途中で使われたことになります。

ここに、元投稿が多くの人に刺さった理由があります。高い壁で守っていても、内側の人が手作業で外に出せば止まりません。そして生成 AI は、データを貼り付けるだけで便利に使える道具です。

送られたデータは、この先どうなるの?

問題が見つかった直後、アップロードしたメンバーは、AI サービスのチャット履歴と、業務用パソコンに保存していたデータを削除しました。

サービスの事業者からは、アップロードの時点で AI の学習に使う機能は無効になっていたと説明を受けています。他の利用者への回答にも使われないとしています。

ただし、利用者が消しても、事業者はセキュリティや法令順守のために削除日から 30 日間データを保持します。保持期間が終わる 10 月 25 日以降は、事業者側にも残らないと説明しています。

会社は 9 月 29 日に個人情報保護委員会へ報告しました。今回の公表は、一人ひとりに知らせる「本人への通知」に代える措置として行われています。退職者とその家族向けには、問い合わせの窓口を設けました。

ほかの会社でも、同じことは起きているの?

よく知られているのは、韓国のサムスン電子の例です。韓国の英字紙コリア・ヘラルドによると、2023 年 4 月、デバイスソリューション部門で、技術者が社内の会議録やソースコードを生成 AI に入力した例が 3 件見つかりました。

同社は 5 月 1 日から、会社のパソコンでの生成 AI の利用を一時的に禁じました。同時に、翻訳や文書の要約を手伝う自社の道具を作っていると報じられています。

2 つの例に共通するのは、外からの攻撃ではなく、社内の人が業務の中で AI にデータを渡した点です。止めるだけでなく、代わりに使える道を用意する。サムスンの対応は、その両方に手を付けています。

SYNCON の視点 — 日本の非エンジニア経営層は何を盗むべきか

今回の件で注目したいのは、AI の学習機能が無効だった点です。設定が整ったサービスでも、送った時点でデータは会社の外に出て、一定の期間は残ります。守りの要は AI の設定ではなく、「何を渡してよいか」の線引きと、渡せる量を絞る仕組みにあります。

月曜から手を付けられることは、次の 3 つです。

便利な AI が手の届くところにある限り、禁止の一文だけでは使う人は出てきます。叱って終わるのではなく、安全に使える道を経営が先に敷く。それが、次の 33 万人分を出さないための手当てです。

要点まとめ

• パナソニック オペレーショナルエクセレンスが 10 月 23 日、約 33 万人分の個人情報が外部の生成 AI に送られていたと発表しました
• 原因は外部からの攻撃ではなく、利用を禁止していた AI を社員が使った社内ルール違反です
• 学習機能は無効で、公開や被害は確認されていません。事業者側の保持は 10 月 25 日までと説明されています
• 2023 年のサムスン電子も、禁止と自社の道具づくりを同時に進めました
• 経営の宿題は、渡してよい情報の線引き、正式な AI の用意、データを取り出す権限の見直しです