パナソニックで約33万人の個人情報を生成AIに入力｜学習・流出への影響と退職者・家族の対象範囲

パナソニックグループの従業員や元従業員、その家族の個人情報を含むデータが、社内で使用を禁止されている外部の生成AIサービスにアップロードされていたことが分かりました。

2026年10月23日、パナソニックオペレーショナルエクセレンス株式会社が発表したもので、対象人数は従業員約7万5,000人、元従業員約17万8,000人、家族約8万1,000人の合計約33万4,000人に上ります。

今回の問題は、外部からのサイバー攻撃によるものではありません。人事情報システムの導入プロジェクトに携わるメンバーが、社内ルールに違反して個人情報を含むデータを外部の生成AIにアップロードした事案です。

ただし、約33万人分の個人情報がAIの学習に使用されたり、インターネット上に公開されたりしたと確認されたわけではありません。

パナソニックは、アップロード時にはAIの学習機能が無効になっており、チャット履歴などの削除対応も行ったと説明しています。さらに、生成AIの運営事業者からは、削除後30日間の保持期間が終了する10月25日以降、今回のデータは保持されないとの回答を得ています。

一方、生成AIの学習に使用されない場合でも、個人情報を外部サービスに送信すること自体が問題になるケースはあります。

この記事では、パナソニックで発生した問題の経緯、約33万4,000人の対象範囲、退職者と家族で異なる個人情報の項目、使用された生成AIの名称、データの削除状況に加え、生成AIに社内情報を入力する際のリスクについて整理します。

パナソニックで約33万人の個人情報を生成AIに入力｜対象者・学習・流出への影響

パナソニックで約33万人の個人情報を生成AIに入力｜対象者・学習・流出への影響

2026年10月23日、パナソニックオペレーショナルエクセレンス株式会社は、子会社のパナソニックデジタル株式会社と進める人事情報システムの導入プロジェクトで、個人情報を含むデータが外部の生成AIサービスへアップロードされていたと公表しました。

対象となったのは、2026年4月時点で人事情報システムに登録されていたデータの一部です。

パナソニックは今回の事案について、外部からの不正操作ではなく、プロジェクトメンバーによる社内ルール違反だったと説明しています。

10月26日時点で、公式に確認できる主な情報を整理すると以下のとおりです。

項目	公表された内容
発表日	2026年10月23日
発表企業	パナソニックオペレーショナルエクセレンス株式会社
関連会社	パナソニックデジタル株式会社
対象人数	合計約33万4,000人
対象データ	2026年4月時点の人事情報システムに登録されたデータの一部
原因	社内で禁止されている外部生成AIへのアップロード
サイバー攻撃	外部からの不正操作ではない
生成AIの名称	非公表
AI学習への利用	アップロード時に学習機能が無効
データ削除	チャット履歴・業務用PC内の対象データを削除
AI事業者側の保持	削除後30日間。10月25日以降は保持されないとの説明
一般公開・不正利用	具体的な被害は確認されていない
個人情報保護委員会への報告	9月29日
対象者への案内	現時点で必要な対応はない

今回の発表で特に重要なのは、個人情報が外部の生成AIサービスに送信されたことは事実ですが、その情報が一般に公開されたり、不正利用されたりした事実は確認されていないという点です。

生成AIの運営事業者は、入力されたデータの取り扱いについて、AI学習に使われない設定だったことや、削除後の保持期間などを説明しています。

一方、アップロードされた当時の詳しい経緯や、使用された外部生成AIサービスの名称については公表されていません。

出典：パナソニックオペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026年10月23日）

対象の約33万4000人は誰？従業員・退職者・家族の内訳

今回の対象者は、パナソニックグループに現在勤務している従業員だけではありません。

すでに退職した人や、従業員・元従業員が緊急連絡先として登録していた家族も含まれています。

パナソニックの発表では、対象者が4つの区分に分けられています。

対象者	人数	補足
現在の従業員	約7万5,000人	日本地域のグループ共通人事情報システム利用会社
元従業員	約17万8,000人	1978年～2026年度退職者。事業譲渡先への転籍者を含む
現在の従業員の家族	約5万5,000人	緊急連絡先として登録された家族
元従業員の家族	約2万6,000人	2016年以降に退職した人の家族
合計	約33万4,000人	4区分の概算合計

約33万4,000人という数字は、公式発表に記載された4区分の人数を合計したものです。各区分が概数のため、1人単位まで確定した人数を示すものではありません。

特に対象者が多いのは、約17万8,000人の元従業員です。

パナソニックの公式発表によると、1978年から2026年度までの退職者が対象範囲に含まれており、事業譲渡によって別会社へ転籍した人も含まれます。

一方、元従業員の家族については、2016年以降に退職した人の家族に限定されています。

また、家族の情報は、従業員や元従業員が人事情報システムに緊急連絡先として登録していたものです。

パナソニックグループの全従業員と、その家族全員が今回の対象という意味ではありません。

今回の対象となるのは、公式発表に記載された共通人事情報システムの登録データに含まれる人です。

どんな個人情報が入力された？従業員の氏名は含まれず、家族は氏名も対象

今回、外部生成AIへアップロードされた情報の種類は、従業員・元従業員と、その家族で異なっています。

パナソニックの発表によると、従業員と元従業員のデータには氏名が含まれていない一方、家族のデータには氏名が含まれています。

この違いは、今回の情報を正確に理解するうえで重要です。

情報項目	従業員・元従業員	家族
氏名	含まれない	含まれる
社員番号	含まれる	対象項目として記載なし
住所	含まれる	含まれる
電話番号	含まれる	含まれる
メールアドレス	含まれる	含まれる

従業員・元従業員については、氏名が含まれていないと明記されています。

ただし、氏名が含まれていなければ個人情報ではないというわけではありません。社員番号、住所、電話番号、メールアドレスなどが組み合わされれば、特定の個人と結び付く可能性があります。

また、家族については氏名も対象に含まれているため、本人を直接識別できる情報がアップロードされています。

なお、今回の公式発表で列挙された対象情報には、銀行口座番号、クレジットカード番号、ログインパスワード、マイナンバーなどは記載されていません。

そのため、今回の事案を「パナソニックの社員の銀行口座やパスワードまで生成AIに入力された」と説明する根拠はありません。

一方、公式発表に記載された項目以外について、個別のデータ構成を独自に確認できるわけではないため、最終的な情報の範囲は会社側の説明を基に判断する必要があります。

使用された生成AIはChatGPT？サービス名は公表されていない

今回の問題で気になるのが、パナソニックの社員が具体的にどの生成AIサービスを利用していたのかという点です。

しかし、2026年10月23日の公式発表では、アップロード先となった生成AIサービスの名称は明らかにされていません。

パナソニックは、社内で利用を禁止している外部の生成AIサービスと説明しているだけで、ChatGPT、Gemini、Claudeなどのサービス名を特定していません。

したがって、今回の個人情報が特定の生成AIサービスに入力されたと断定することはできません。

また、生成AIサービスの名称が分からない以上、一般向け・法人向けのどのプランだったのか、どのような機能を使ってデータをアップロードしたのかについても、公式発表だけでは詳しく判断できません。

分かっているのは、利用が禁止された外部サービスにデータが送られたことと、そのサービスの運営事業者がデータの学習利用設定や保持期間について回答したことです。

生成AIという共通点だけで、特定のAIサービスが今回の問題を引き起こしたと結び付けないことが重要です。

なぜ社内で禁止された生成AIに入力された？サイバー攻撃との違い

今回の事案が発生したのは、パナソニックオペレーショナルエクセレンスとパナソニックデジタルが進める人事情報システムの導入プロジェクトです。

プロジェクトメンバーが、社内で利用を禁止されている外部生成AIサービスに、個人情報を含むデータをアップロードしました。

パナソニックは今回の問題について、外部からの不正な操作によるものではなく、プロジェクトメンバーのルール違反によるものと説明しています。

一般的なサイバー攻撃では、第三者がシステムの脆弱性や認証情報などを悪用して、企業のデータへ不正にアクセスするケースがあります。

一方、今回確認されたのは、業務に携わるメンバーが自ら外部サービスへ情報を送信したという事案です。

そのため、不正アクセスによって情報が盗まれた事件と、社内で定められた情報管理ルールに違反して外部へデータを送った事件は区別する必要があります。

ただし、なぜ当該メンバーが禁止されたサービスを使用したのか、どのような業務上の目的でアップロードしたのかについては、10月23日の公式発表で説明されていません。

例えば、業務を効率化するためだったのか、システムの設計や開発に関する作業だったのかといった具体的な理由は、推測で断定できません。

また、関係者に対する処分の有無や、その内容についても公表資料では確認できていません。

現段階での原因として確認できるのは、禁止されている外部生成AIに、個人情報を含むデータをアップロードしたという社内ルール違反です。

いつ個人情報がアップロードされた？4月のデータ・9月の報告・10月の公表

今回の発表には、2026年4月、9月29日、10月23日、10月25日という複数の日付が登場します。

ただし、2026年4月はアップロードされた人事データの時点を示すもので、外部生成AIへのアップロードが4月に行われたという意味ではありません。

公式資料で確認できる主な経緯は以下のとおりです。

日時	確認された内容
2026年4月時点	今回対象となった人事情報システムのデータの時点
事案発覚直後	当該メンバーが生成AIのチャット履歴と業務用PC内の対象データを削除。具体的な日付は非公表
9月29日	個人情報保護委員会へ報告
10月23日	パナソニックが公式サイトで事案を公表
10月25日以降	削除後30日間の保持期間が終わり、AI事業者側でもデータを保持しないとの説明

今回の公式発表では、外部生成AIへのアップロードが実際に何月何日に行われたのか、問題が具体的にいつ発覚したのかは明らかにされていません。

また、9月29日に個人情報保護委員会へ報告したことは確認できますが、その日がアップロードの発生日だったという意味でもありません。

したがって、2026年4月から個人情報が外部に公開され続けていたなどと判断することはできません。

確認できる日付と、公表されていない日付を区別する必要があります。

個人情報はAIの学習に使われた？他の利用者への回答に表示されるのか

生成AIに個人情報を入力した場合、その情報がAIの学習に使用され、ほかの利用者への回答に表示されるのではないかと心配する人もいると思います。

今回のパナソニックの事案について、会社側は生成AIサービスの運営事業者へ確認を行っています。

その結果、データがアップロードされた時点で、入力した情報をAIの学習に利用する機能は無効になっていたとの回答を得ています。

また、運営事業者は、ほかの利用者が関連する質問をした場合でも、今回のデータが回答に使用されることはないと説明しています。

このため、今回の情報について「33万人分の個人情報がAIに学習され、誰でも質問すれば住所や電話番号を取り出せる状態になった」と説明するのは不正確です。

実際、パナソニックは、対象の個人情報が一般に公開された事実や、不正利用による具体的な被害は確認されていないと発表しています。

ただし、これは今回の生成AIサービスとアップロード時の設定について、運営事業者が回答した内容です。

すべての生成AIサービスで、入力した情報が自動的に学習対象外になるという意味ではありません。

生成AIの入力情報がどのように扱われるかは、利用するサービス、契約、設定、利用規約などによって異なります。

チャット履歴を削除しても30日間は残る？10月25日以降のデータの扱い

今回の事案では、生成AIの学習利用とは別に、アップロードされたデータがいつまで保存されるのかも重要な問題となりました。

パナソニックによると、事案の発覚直後、当該メンバーは生成AIのチャット履歴と業務用PC内の対象データを削除しました。

しかし、チャット履歴を削除した時点で、生成AIサービスの運営事業者が保有するデータも直ちに完全消去される仕組みではありませんでした。

今回使用された生成AIサービスでは、利用者がデータを削除しても、運営事業者がセキュリティや法令順守のために、削除日から30日間保持する仕組みになっていました。

保持期間中のデータについては、厳格なアクセス管理が行われ、監査などの要請がある場合を除いてアクセスされないと説明されています。

また、運営事業者からの回答によると、今回のデータは保持期間が終了する2026年10月25日以降、事業者側でも保持されないとされています。

ただし、これはパナソニックが生成AIサービスの運営事業者から得た回答に基づく説明です。外部からデータ消去の状況を独立して確認できる資料が公開されたわけではありません。

また、今回の30日間という期間を、ほかのすべての生成AIサービスにも共通するルールだと考えることはできません。

サービスによっては、チャット履歴の削除方法、バックアップの保持期間、法令に基づく保存期間などが異なります。

つまり、生成AIの情報管理では、次の3点を分けて確認する必要があります。

・入力情報がAIの学習に利用されるか
・入力した情報が運営事業者にいつまで保存されるか
・保存された情報に誰がアクセスできるのか

「AIの学習に使われない」「チャット履歴を削除した」「運営事業者側からも消去された」は、必ずしも同じ意味ではありません。

この違いは、今回のパナソニックの事案に限らず、生成AIを安全に利用するうえで重要な点です。

個人情報は実際に流出した？一般公開や不正利用との違い

今回の問題について、「約33万人分の個人情報が流出した」という表現を見かけることがあるかもしれません。

ただし、実際に確認された事実を整理すると、状況はもう少し細かく分けられます。

まず、従業員や家族の個人情報を含むデータが、社内で禁止されている外部の生成AIサービスへアップロードされたことは、パナソニックが確認しています。

一方で、その情報がインターネット上に公開されたことや、不正な第三者に悪用されたことは確認されていません。

確認項目	今回の状況
社外生成AIへのアップロード	確認済み
会社の利用ルール違反	確認済み
AI学習への利用	無効になっていたとの事業者回答
一般への情報公開	確認されていない
第三者による不正利用	具体的な被害は確認されていない
外部からのサイバー攻撃	今回の原因ではない

今回のように個人情報が外部サービスへ送られた場合、会社が定めるルールや個人情報の管理上の問題が発生することがあります。

ただし、それだけで入力された情報が誰でも閲覧できる状態になったり、AIの回答に表示されたりするとは限りません。

パナソニックは、生成AIの運営事業者への確認などを行った結果、今後二次利用されることはないと説明しています。

また、万が一新たな事実が判明した場合には、速やかに知らせる方針です。

そのため、現段階では、外部サービスへのアップロードと、一般公開・不正利用を区別して理解することが重要です。

パナソニックには社内AI「PX-GPT」もある｜今回の外部生成AIとの違い

パナソニックグループは、今回の問題が発生する以前から、業務で生成AIを活用する取り組みを進めていました。

2023年4月14日には、社内向けAIアシスタントサービス「PX-GPT」をパナソニックグループの国内従業員約9万人に向けて展開すると発表しています。

PX-GPTは、Microsoft Azure上で提供されるAzure OpenAI Serviceを利用した仕組みで、パナソニックグループの社員が社内イントラネットからアクセスできるよう構築されたものです。

2023年当時の公式発表では、PX-GPTについて、入力した情報の二次利用や第三者提供がされない仕様を採用するなど、情報管理に配慮した構成であると説明しています。

ただし、社内向けの生成AIだからといって、あらゆる社内情報を自由に入力してよいというルールではありませんでした。

パナソニックは当時から、社内情報・営業秘密・個人情報などを入力しないよう、従業員に注意喚起すると説明しています。

一方、今回2026年10月23日に発表されたのは、会社が利用を禁止している外部の生成AIサービスへのアップロードです。

具体的なサービス名は公表されておらず、今回の問題がPX-GPTそのもので発生したという発表ではありません。

また、2023年のPX-GPT導入時の説明だけで、2026年現在のすべての生成AI利用ルールや運用体制まで判断することもできません。

今回の問題では、どの生成AIを使ったのかだけでなく、そのサービスを会社が許可していたのか、どのような情報の入力が認められていたのかが重要になります。

出典：パナソニックホールディングス「AIアシスタントサービス『PX-GPT』をパナソニックグループ全社員へ拡大」（2023年4月14日）

退職者や家族は何をすればいい？パナソニックは対応不要と案内

今回の発表では、パナソニックグループに現在勤務している人だけでなく、すでに退職した人とその家族も対象になっています。

そのため、以前パナソニックグループで働いていた人や、家族が緊急連絡先に登録されていた人は、自分の情報が今回の対象に含まれているのか気になるかもしれません。

パナソニックは10月23日のお知らせで、対象者が現時点で行う必要のある対応はないと説明しています。

今回の情報について、生成AIサービスの運営事業者からはAIの学習に利用されていないことや、データの保持期間が終了することについて説明を受けています。

また、一般公開や不正利用による具体的な被害も確認されていないため、現時点で対象者全員にパスワード変更や金融機関への連絡などを求める状況ではありません。

ただし、不安がある場合や、自分の情報が対象に含まれているか確認したい場合は、パナソニックの専用問い合わせ窓口を利用できます。

また、今回の問題とは別に、一般的な個人情報の取り扱いに関する注意として、身に覚えのない電話や不審なメールが届いた場合は慎重に対応してください。

ただし、今回のパナソニックの情報が実際に詐欺に悪用されたという発表ではありません。

発表時点で確認されていない被害と、今後の予防的な注意点は区別する必要があります。

対象者への個別通知はある？個人情報保護委員会への報告と公表の関係

今回の事案について、パナソニックオペレーショナルエクセレンスは2026年9月29日に個人情報保護委員会へ報告したと発表しています。

その後、10月23日に公式サイトで対象者や情報項目、データの削除状況などを公表しました。

この発表は、個人情報保護法に基づく本人通知の代替措置として行うものと説明されています。

つまり、今回のお知らせは単なる報道向けの発表ではなく、対象となる従業員や元従業員、その家族へ事案を知らせるための措置でもあります。

ただし、すべての対象者へ個別の郵便やメールが送られる予定なのかどうかについては、10月23日の公式発表では詳しく説明されていません。

そのため、個別通知が届いていないことだけを理由に、自分の情報が対象外だったと判断することはできません。

なお、個人情報保護委員会への報告が行われたことは確認できますが、それだけで今回の事案について、個人情報保護法違反が正式に認定されたと判断することはできません。

法的な評価については、具体的なデータの取り扱い、利用目的、外部サービスとの関係、個人情報保護法上の要件などを踏まえて判断される問題です。

現時点では、会社が公表した事実と、法令違反の有無に関する評価を分けて考える必要があります。

パナソニック退職者・家族の問い合わせ先｜専用フォームと電話窓口

パナソニックオペレーショナルエクセレンスは、今回の個人情報のアップロードについて、退職者とその家族向けの問い合わせ窓口を案内しています。

問い合わせについては、まず専用フォームから連絡するよう求めています。

フォームの利用が難しい場合には、専用のフリーダイヤルを利用できます。

項目	問い合わせ情報
対象	パナソニックグループの退職者・その家族
問い合わせフォーム	専用フォーム
専用電話	0120-877-872
受付時間	9:00～19:00
受付日	月～金（土日・祝日・会社休日を除く）

上記の連絡先は、2026年10月23日の公式発表に記載されたものです。

問い合わせフォームのURLはMicrosoft Formsのドメインですが、パナソニックの公式お知らせページから案内されているものです。

ただし、第三者が公式窓口を装った偽サイトや偽の連絡先を作成する可能性もあります。

個人情報を入力する前に、パナソニックの公式お知らせページから問い合わせ先を確認すると安心です。

また、現在在籍している従業員については、社内の担当部門へ確認する方法も考えられます。

問い合わせ先や受付時間は今後変更される場合があるため、最新の案内を確認してください。

生成AIに個人情報や社内情報を入力するとどうなる？4つの確認ポイント

今回のパナソニックの問題は、企業が生成AIを利用する際の情報管理について考える事例でもあります。

生成AIは文章の要約や資料作成、プログラミングなど、さまざまな業務で活用されています。

しかし、入力した情報がどのように取り扱われるかを確認せずに使用すると、社内で管理すべき情報が外部のサービスへ送信されることがあります。

重要なのは、生成AIの利用に際して、次の4つの点を区別することです。

確認項目	意味・注意点
① 外部への送信	入力した文章やアップロードしたファイルが、サービス事業者のシステムへ送信されるか
② AIの学習利用	入力情報がモデルの学習や改善などに利用されるか
③ データの保存	入力・削除後も、事業者側で一定期間データを保持するか
④ 第三者への共有	ほかの利用者への公開、共有設定、運営事業者側のアクセス権限などがどうなっているか

例えば、AIの学習に使用されない設定であっても、入力データが外部サービスへ送信されること自体は変わらない場合があります。

また、チャット履歴を画面上で削除しても、サービスの仕様によっては一定期間データが保持される場合があります。

今回のパナソニックの事案でも、学習利用の機能は無効になっていましたが、データの削除後には30日間の保持期間がありました。

ただし、生成AIの情報管理の仕組みはサービスごとに異なります。

すべての生成AIサービスが同じ期間データを保持するわけでも、すべての入力情報をAIの学習に利用するわけでもありません。

会社で生成AIを利用する場合は、利用規約だけでなく、契約条件、管理者設定、学習利用の設定、保存期間、社内ルールまで確認する必要があります。

個人情報保護委員会も、生成AIサービスの利用について注意喚起を行い、個人データの取り扱いに関する確認の重要性を示しています。

参考：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」

AIの学習をオフにすれば社内情報を入力しても安全なのか？

今回のパナソニックの発表では、データがアップロードされた際、AIの学習に利用する機能が無効になっていたことが確認されています。

この点だけを見ると、AIの学習機能をオフにしておけば、社内情報や個人情報を自由に入力しても問題ないように感じるかもしれません。

しかし、学習利用を無効にすることと、社内情報を外部サービスへ送信してよいことは別です。

例えば、顧客名簿、従業員の住所、給与情報、未発表の製品情報、契約書などは、業務上の取り扱いに制限が設けられている場合があります。

たとえ生成AIがデータを学習に使わない設定であっても、会社が許可していないサービスへそれらの情報を送信すれば、社内ルール違反となる可能性があります。

また、入力内容が一定期間保持される場合もあるため、学習機能の設定だけで情報管理上のリスクを判断することはできません。

会社が許可している法人向けの生成AI環境であれば、契約や管理設定によってデータの取り扱いを制御できる場合があります。

ただし、その場合でも、どのような情報を入力してよいかは会社の規定によって異なります。

今回のパナソニックの事案では、外部の生成AIサービス自体が利用禁止の対象でした。

したがって、学習機能がオフになっていたことだけで、今回のアップロードが認められるということにはなりません。

仕事で生成AIに入力しない方がよい情報は？個人情報・顧客情報・機密資料

仕事で生成AIを利用する場合、便利だからという理由だけで社内の資料をそのままアップロードすることは避ける必要があります。

特に、会社が利用を許可していない外部サービスについては、入力する前に社内の情報管理ルールを確認することが重要です。

一般的に、慎重な取り扱いが必要になる情報としては、次のようなものがあります。

従業員の個人情報：氏名、住所、電話番号、メールアドレス、給与、人事評価、家族の連絡先など
顧客情報：顧客名簿、問い合わせ履歴、購入履歴、取引先の担当者情報など
認証情報：パスワード、APIキー、アクセストークン、秘密鍵など
未公開の社内情報：新製品の設計資料、開発中の技術、経営計画、未発表の業績情報など
契約や取引に関する情報：秘密保持契約の対象資料、取引条件、価格交渉、社外秘の契約書など

ただし、これらの情報について、すべての会社・すべての生成AI環境で一律に取り扱いが禁止されているという意味ではありません。

企業によっては、情報を匿名化したり、承認された環境を利用したりすることで、一定の範囲で業務利用を認めている場合もあります。

重要なのは、会社が許可したサービスであることと、そのサービスに入力してよい情報であることの両方を確認することです。

なお、資料から氏名だけを削除しても、社員番号や住所などの情報が残っていれば、個人を識別できる場合があります。

今回のパナソニックの事案でも、従業員の氏名は含まれていませんでしたが、社員番号、住所、電話番号、メールアドレスは対象となっています。

そのため、AIへ入力する前に個人名だけを削除すれば必ず安全というわけではありません。

社内情報を生成AIへ誤って入力した場合はどうすればいい？

今回の問題に限らず、仕事で生成AIを使用しているとき、誤って個人情報や社外秘の資料を入力してしまう可能性はあります。

その場合、チャット履歴を削除するだけで問題がすべて解決するとは限りません。

入力した情報がどのサービスへ送られたのか、どのような形式で保存されているのか、運営事業者側でいつまで保持されるのかなどを確認する必要があります。

会社が定める対応手順がある場合は、それに従うことが基本です。

まず、追加の入力や共有を止める

誤って送信したことに気付いたら、そのサービスへ同じ資料や個人情報を繰り返し入力しないようにします。

社内の情報管理担当者へ報告する

情報システム部門、情報セキュリティ担当者、個人情報保護の担当部署など、会社が定める窓口へ速やかに連絡します。

送信した内容・時刻・サービスを整理する

何を送信したのか、いつ送信したのか、どのアカウントやサービスを利用したのかを確認します。調査に必要な記録については、担当部署の指示に従って保全します。

削除やアクセス停止などの対応を確認する

チャット履歴の削除、共有リンクの無効化、サービス事業者への照会など、必要な措置を担当部署と確認します。

学習設定や保持期間を確認する

入力データがAIの学習に利用されるか、削除後も保存されるか、事業者側での削除を依頼できるかなどを確認します。

特に重要なのは、自己判断で履歴や証拠をすべて消してしまわないことです。

会社側が影響範囲を調査する際には、いつ、どのサービスへ、何の情報が送信されたかを確認する必要があるためです。

必要な証拠の保全とデータ削除をどの順番で進めるかは、社内の担当部署の指示に従ってください。

また、今回のパナソニックでは運営事業者へ問い合わせることで、学習利用の設定や30日間の保持期間を確認できています。

このように、生成AIの入力履歴だけでなく、サービス事業者側でデータがどう取り扱われるのかを確認することも重要です。

企業の生成AI利用ルールはどこまで整備されている？IPA調査では52％

生成AIの業務利用と情報管理については、パナソニック以外の企業でも課題となっています。

独立行政法人情報処理推進機構（IPA）は、2025年8月29日に「企業における営業秘密管理に関する実態調査2024」を公表しました。

この調査では、企業の情報管理やセキュリティに関わる部門などに所属する1,200人を対象にアンケートを行っています。

その結果、生成AIの業務利用について何らかのルールを定めているという回答は52.0％でした。

内訳を見ると、業務で生成AIの利用を認めるルールを定めている回答が25.8％、利用を禁止するルールを定めている回答が26.2％となっています。

また、ルールはなく、業務で自由に生成AIを利用できるという回答も13.1％ありました。

ただし、この数字は調査対象となった1,200人の回答に基づくものであり、日本国内の全企業を調査した結果ではありません。

また、ルールが存在するかどうかと、実際にそのルールが十分に守られているかどうかも別の問題です。

今回のパナソニックの事案では、社内で禁止されている外部生成AIサービスに個人情報が送信されました。

つまり、生成AIの利用ルールがあっても、それだけで誤利用やルール違反を完全に防げるとは限りません。

企業には、使用を許可するAIサービスの明確化、入力してよい情報の範囲の周知、技術的な制限、従業員教育などを組み合わせた対策が求められます。

出典：IPA「企業における営業秘密管理に関する実態調査2024」報告書の公開（2025年8月29日）

パナソニックの再発防止策は？AI利用管理と従業員教育を見直し

パナソニックオペレーショナルエクセレンスは、今回の事案を重く受け止め、個人情報の適切な管理と再発防止に取り組むとしています。

10月23日の公式発表では、主に次の対応方針を示しました。

・個人情報の取り扱いルールの見直し
・生成AIサービスの利用管理の見直し
・関係者への教育・啓発の強化
・対象者への影響の継続的な確認
・新たな事実が判明した場合の速やかな公表

また、発覚直後にデータの削除対応を行い、生成AIサービスの運営事業者に学習利用の設定や保持期間を確認したことも説明しています。

一方、具体的にどの生成AIサービスを禁止するのか、社員による外部生成AIの利用をどのように制限するのかといった詳細な対策については、10月23日の発表では明らかにされていません。

そのため、すでにすべての再発防止策が完了したと判断することはできません。

今後は、生成AIサービスの利用管理の見直しだけでなく、今回の事案がなぜ発生したのかという原因の検証も重要になります。

なお、今回のような社内ルール違反による情報の送信と、外部からの不正アクセスによる情報漏えいでは、必要な再発防止策にも違いがあります。

例えば、外部からの不正アクセスではシステムの脆弱性や認証管理への対策が中心になる場合がありますが、今回のような事案では、従業員によるサービス利用の管理や、データを社外へ送る際の制限も重要になります。

同時期に発生した外部からの不正アクセスの事例については、関連記事「リンツで約314万件の情報漏えい｜公式アプリ会員・パスワード・ポイントへの影響」や「FXなびで約619万件の情報漏えいのおそれ｜対象情報と金融口座への影響」でも整理しています。

まとめ｜パナソニックの約33万人分の個人情報はAI学習・一般公開されていない

パナソニックオペレーショナルエクセレンスは2026年10月23日、従業員、元従業員、その家族の個人情報を含むデータが、社内で利用を禁止されている外部の生成AIサービスにアップロードされていたことを発表しました。

対象者は、従業員約7万5,000人、元従業員約17万8,000人、家族約8万1,000人の合計約33万4,000人です。

アップロードされた情報には、従業員・元従業員の社員番号、住所、電話番号、メールアドレスと、緊急連絡先として登録された家族の氏名、住所、電話番号、メールアドレスが含まれています。

従業員・元従業員の氏名は、今回の対象データに含まれていないと説明されています。

今回の問題はサイバー攻撃ではなく、プロジェクトメンバーが社内ルールに違反して外部生成AIへデータを送信した事案です。

ただし、AIの学習に利用する機能は無効になっており、一般公開や不正利用による具体的な被害も確認されていません。

また、発覚直後にチャット履歴などが削除され、生成AIの運営事業者からは、削除後30日間の保持期間が終了する10月25日以降、今回のデータを保持しないとの回答を得ています。

パナソニックは、対象となる従業員や元従業員、その家族について、現時点で行う必要のある対応はないと説明しています。

今回の事案から分かるのは、生成AIの学習にデータを利用しない設定であっても、会社が許可していない外部サービスへ個人情報を送信すれば、情報管理上の問題が生じ得るということです。

また、生成AIでは、学習利用の有無、外部サービスへの送信、データの保持期間、第三者への公開を区別して考える必要があります。

今後は、パナソニックの再発防止策の詳細や、新たな二次被害が確認されるかどうかが主な注目点となります。

最新情報については、パナソニックの公式お知らせを確認してください。

主な参考資料と確認日

情報確認日：2026年10月26日。パナソニックオペレーショナルエクセレンスが10月23日に公表した公式発表を中心に、2023年のPX-GPT導入に関するパナソニックグループの資料、個人情報保護委員会による生成AIの利用に関する注意喚起、IPAの企業における生成AIの業務利用に関する調査を確認しました。対象人数の約33万4,000人は公表された4区分の概算合計です。今回の生成AIサービスへのアップロードは確認されていますが、AIの学習への利用や一般公開、不正利用による具体的な被害は確認されていません。生成AIサービスの名称、正確なアップロード日、事案の発覚日、関係者への処分の有無などは公表されていません。削除後30日間の保持期間と10月25日以降の取り扱いについては、生成AIサービス運営事業者の回答に基づく会社側の説明です。企業における一般的な生成AI利用の注意点は、今回の事案で実際に生じた被害とは区別して記載しています。今後、調査結果や再発防止策の公表により情報が更新される可能性があります。