学習に使われない設定でも、30日は残る。33万人分を上げてしまった件

• 外からの攻撃ではない。社内の人が、禁止されていた外部のAIに上げた
• 学習に使わない設定でも、事業者側には削除から30日残る
• 本人の氏名は含まれず、家族の氏名が含まれていた

今週は、外から入られた話ばかり書いてきた。

今回は逆で、中から出た話になる。

パナソニック オペレーショナルエクセレンスが、グループの従業員・元従業員とその家族、約33万人分の個人情報を含むデータが、社内で利用を禁止している外部の生成AIサービスにアップロードされていたと公表した。

何が起きたか

子会社のパナソニック デジタルと進めていた人事情報システムの導入プロジェクトで起きた。

本件は外部からの不正な操作によるものではなく、プロジェクトメンバーによるルール違反に伴うデータのアップロードです。

対象は2026年4月時点の人事情報システムに登録されていたデータの一部だ。

本人より、家族のほうが重い

ここは逆になっている。

本人については氏名が含まれていない。家族については氏名が含まれている。

緊急連絡先として登録されていた家族は、自分で登録したわけではない。勤め先も違う。それでも氏名と住所と電話番号が揃っている。

そして公式は、こう書いている。

このお知らせは、個人情報保護法に基づく本人通知の代替措置として公表するものです。

つまり個別の連絡は無く、この公表で通知に代えるということだ。家族が自分で気づくのは、かなり難しいと思う。

48年分が残っていた

元従業員の対象は1978年から2026年度の退職者とされている。

48年前に辞めた人のデータが、人事情報システムに残っていたことになる。

今週は契約が終わったのに消えていなかったデータや、退職者や委託先まで対象になった件も書いた。終わった関係のデータが残り続けるのは、ここでも同じだった。

いちばん大事なのは、ここだと思う

同社は、AIサービスの運営事業者に照会した結果を公表している。

当該メンバーが、データを生成AIサービスにアップロードした際、データをAI学習に利用する機能が無効になっていましたので、他の利用者が関連する質問をした場合でも当該データが回答に使用されることはありません。

ここまでは、よく聞く説明だ。続きがある。

アップロードされたデータは、利用者がデータを削除した場合でも、事業者がセキュリティおよび法令順守のため、データ削除日から30日間保持されます（中略）発覚直後に削除しましたデータは、保持期間30日経過後の10月25日以降は事業者内でも保持されません。

「学習しない」と「残らない」は別

多くの人が、ここを同じものだと思っている。

学習をオフにしても、送った時点で相手のサーバーには届いている。削除ボタンを押しても、すぐには消えない。

今回は30日だった。発覚直後に消したので、10月25日まで待つことになった。

以前仕事でAIに入力してよい情報の線を書いたが、そこで決めた線は「学習されるかどうか」ではなく「外に出してよいかどうか」だった。理由は、まさにこれになる。

社内用のAIがあった

調べて分かったことがある。

パナソニックグループは2023年4月、社内用のAIアシスタント「PX-GPT」を国内の全社員約9万人に広げている。入力した情報が二次利用されない仕様と説明されていた。

そのうえで、こうも周知されていた。

社内情報・営業秘密・個人情報などの入力はしない

つまり社内用のAIにすら、個人情報は入れないというルールだった。

そのなかで外部のサービスに、33万人分を上げたことになる。

なぜ起きたのか

理由は公表されていない。だから断定はしない。

ただ人事システムの導入プロジェクトという場面は、想像がつく。古いシステムのデータを、新しいシステムの形式に直す作業がある。

「この表を、この形式に変換して」は、AIがいちばん得意な種類の仕事だ。手でやると何日もかかる。そして実際のデータを渡さないと、変換の確認ができない。

ルールを知っていても、締め切りが近いと手が伸びる。禁止するだけでは止まらない場面がある、ということだと思う。

報告から公表まで24日

経緯の日付も並べておく。

報告から公表まで24日。公表は、事業者側のデータが消える2日前になった。

事業者への照会と回答を待っていたのだと思う。回答が無ければ「二次利用されないことを確認した」とは書けない。その点では筋は通っている。

ただ対象者の側から見ると、その24日間は知らされていなかったことになる。

書かれていないこと

• どの生成AIサービスか
• 何のために上げたのか
• どう発覚したのか
• 上げた人数（1人か複数か）

サービス名が無いので、「あのサービスなら大丈夫」とも「あのサービスは危ない」とも読めない。ここは推測しないでおく。

自分のこととして考えると

会社員でも個人でも、今回から持ち帰れることがある。

1. 「学習オフ」は「送っていない」ではない。相手のサーバーには届いている
2. 削除しても、すぐには消えない。事業者の保持期間がある
3. 会社が用意したAIがあるなら、そちらを使う。ただし、それにも入れてはいけないものがある
4. 実データを使いたくなったら、作り物のデータで試す。形式の確認なら、それで足りる

4番目がいちばん現実的だと思う。件数と形式が同じダミーを作らせてから、手元で本物に当てる。手間は1つ増えるが、外に出るものは無くなる。

対象になった方へ

公式は「対象となる皆様に、ご対応いただく事項はありません」としている。

公開や不正利用は確認されておらず、事業者側のデータも10月25日以降は保持されないとされている。慌てる必要は無い。

確認したい場合は、パナソニックを退職した人とその家族向けの専用の問い合わせ窓口が設けられている。

まとめ

• 外部からの攻撃ではなく、社内ルール違反によるアップロード
• 対象は約33万4千人。従業員・元従業員とその家族
• 本人の氏名は含まれず、家族の氏名が含まれる
• 元従業員は1978年の退職者まで含まれていた
• 学習に使う設定は無効だった。他の利用者の回答には使われない
• それでも削除から30日間は事業者側に残る。10月25日以降は保持されない
• 社内には2023年から社内用AIがあり、それにも個人情報は入れない決まりだった
• 9月29日に報告、10月23日に公表。本人通知は公表で代替
• サービス名は公表されていない

出典

• パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026年10月23日。経緯、対象者と人数と項目、個人情報保護委員会への報告日、AIサービス事業者への照会結果、データの保持期間、本人通知の代替措置であること、問い合わせ窓口）
• パナソニック ホールディングス「AIアシスタントサービス『PX-GPT』をパナソニックグループ全社員へ拡大」（2023年4月14日。対象範囲、入力情報の扱い、個人情報を入力しないという周知）

本記事は2026年10月23日時点の公表内容に基づく。利用された生成AIサービスの名称は公表されていない。データの保持期間はサービスや契約によって異なるため、自分が使うサービスの規約で確認すること。本記事は法的な助言ではない。