【10/23】パナソニックの生成AI情報流出は33万人分｜対象者と窓口

パナソニックグループの人事部門を担うパナソニック オペレーショナルエクセレンス（以下、PEX）は2026年10月23日、従業員・元従業員とその家族の個人情報を含むデータが、社内で利用を禁止している外部の生成AIサービスにアップロードされていたと発表しました。対象は4つの区分を合わせて約33万人分です。

外部からの不正アクセスではなく、子会社パナソニック デジタルと進めていた人事情報システム導入プロジェクトのメンバーによるルール違反だと会社は説明しています。この記事では、公式のお知らせと報道をもとに、誰の何が送られたのか、データは今どうなっているのか、対象の人がいま何をすればよいのかを整理します。

パナソニックの生成AI情報流出で何が起きたか

人事情報システムの約33万人分のデータが、社内で禁止された外部の生成AIへ、プロジェクトメンバーの手で送られました。

発表したのは、パナソニック ホールディングスの下でグループの人事・経理などの共通業務を担うPEXです。お知らせは「パナソニックグループに在籍中の従業員、在籍されていた元従業員およびご家族の皆様へ」という宛名で、パナソニック ホールディングスのサイトに掲載されました。

会社の説明では、PEXが子会社のパナソニック デジタル（以下、PD）と進める人事情報システム導入プロジェクトの中で、メンバーが従業員・元従業員・家族の個人情報を含むデータを、当社が利用を禁止している外部の生成AIサービスにアップロードしたことが判明しました。日本経済新聞は、アップロードは9月下旬だったと報じています。

このお知らせは、個人情報保護法にもとづく本人通知の代わりとして公表したものだと明記されています。

パナソニックの情報流出の対象者は誰か

対象は日本のパナソニックグループで共通の人事情報システムを使う会社の従業員・元従業員と、その家族の4区分です。

データは2026年4月時点で人事情報システムに登録されていたものの一部です。区分ごとに、含まれる項目が違う点に注意が必要です。次の表は、公式のお知らせにある人数と項目をそのまま並べたものです。

表のとおり、従業員本人の側には氏名が入っていない一方、緊急連絡先として登録された家族の側には氏名が入っています。「本人より家族のほうが情報が濃い」という逆転が、この件の見落としやすい点です。

約33万人という数字の読み方

約33万人は、公式の4区分の人数を足した合計で、重複を除いた実人数かどうかは公表されていません。

4区分を足すと約33万4千人になります。同じ人が「元従業員」と「従業員の家族」の両方に入っている可能性などについて、会社は説明していません。重複の有無や実人数は公表されていないので、記事では公式の区分ごとの人数をそのまま示しています。

家族の緊急連絡先が含まれていることの意味

家族は会社と雇用関係がないまま、従業員の緊急連絡先として名前と連絡先を登録されていた人たちです。

緊急連絡先は、事故や災害のときに会社が家族へ連絡するために集める情報です。登録された家族の中には、自分の情報が会社の人事システムに入っていることを意識していない人もいる可能性があります。今回の約5万5千人と約2万6千人は、そうした家族の分です。

元従業員の家族は「2016年以降に退職した人」に限られ、さらに「人事情報システムに従業員自身が登録されていた方のみ」とお知らせは書いています。退職した親や配偶者が2016年以降にパナソニックを辞めていて、緊急連絡先に自分の名前を書いた覚えがある人は、対象に入っている可能性があります。

対象者の範囲が分かったところで、次は時系列を見ます。

パナソニックの生成AI情報流出はいつ起きたか

アップロードは9月下旬で、会社は9月29日に個人情報保護委員会へ報告し、10月23日に公表しました。

報告から公表まで約3週間半あいています。流れを日付順に並べると次のとおりです。

公表日の2日後に事業者側の保管期限が切れる日程になっています。事業者の説明どおりなら、10月23日の公表時点では、まだ30日間の保持期間の中にあったことになります。

不正アクセスではなくルール違反とはどういうことか

外部から盗まれたのではなく、プロジェクトの中にいた人が、禁止されている外部サービスへ自分でデータを送ったという意味です。

お知らせは「本件は外部からの不正な操作によるものではなく、プロジェクトメンバーによるルール違反に伴うデータのアップロードです」と書いています。メンバーがPEXの社員かPDの社員か、あるいは外部の委託先の人かは明らかにされていません。

どの生成AIサービスに送ったのかも公表されていません。会社は「当社が利用を禁止している外部の生成AIサービス」とだけ説明しています。

社内には自前の生成AIがあった

パナソニックグループには社内向けの生成AI「PX-AI」がありますが、今回のデータは禁止された外部のサービスへ送られました。

ビジネス+ITの2025年11月の記事によると、PX-AIはGPT-5を利用でき、RAG（社内文書を参照して答える仕組み）を組み込んだ「PX-AI Plus」も展開されています。今回の作業をPX-AIで代わりにできたのか、なぜ外部のサービスが使われたのかは、会社の発表には書かれていません。

（編集部分析）社内で使える道具を整えることと、禁止された道具を使えなくすることは別の対策です。社内向けの生成AIがある会社でも禁止の外部サービスへデータが出た今回の件は、ルールと教育だけでは防ぎきれない場面があることを示した例と言えます。

生成AIに送られたデータはいまどうなっているか

会社によると、データは学習に使われておらず、事業者側の保管も10月25日以降はなくなり、公開や悪用も確認されていません。

PEXは、問題の生成AIサービスの運営事業者に照会し、次の回答を得たとしています。

• アップロードの時点で、データをAIの学習に利用する機能は無効になっていた。そのため、ほかの利用者が関連する質問をしても、このデータが回答に使われることはない。
• 利用者がデータを消しても、事業者はセキュリティと法令順守のために削除日から30日間保持する。その間は厳しくアクセスを管理し、監査などの要請以外では見ない。
• 発覚直後に削除したデータは、30日がたつ10月25日以降は事業者の中でも保持されない。

削除した日付そのものは公表されていませんが、10月25日に30日を迎えるという説明から、削除は9月下旬だったと読めます。

「学習に使われない」と「保管されない」は別の話

学習に使われないことは他人の回答に出ない理由で、事業者の手元に残らないこととは別なので、会社は30日の保持期間も説明しています。

生成AIサービスに送ったデータについては、2つの心配を分けて考える必要があります。1つはAIの学習に利用される可能性、もう1つは学習には使われなくても事業者のサーバーに記録として一定期間保持される可能性です。

今回の説明は、学習への利用は設定で無効だった、保持は削除から30日で終わる、という2段構えになっています。ただし、どちらも生成AIサービスの運営事業者の回答をPEXが伝えたもので、第三者が確かめた結果ではありません。

会社は「現時点で」公開された事実や不正利用による具体的な被害は確認されておらず、「今後二次利用されることはない」ことを確認できたとしています。新たな事実が分かれば速やかに知らせるとも書いています。

パナソニックの情報流出の対象者がいまやること

会社は対象者に「ご対応いただく事項はありません」としていますが、心配な人はフォームか専用フリーダイヤルで問い合わせできます。

問い合わせ窓口は次のとおりです。

• 問い合わせフォーム（パナソニックを退職した人とその家族向け）：公式のお知らせのページから開けます
• 専用フリーダイヤル：0120-877-872（月〜金の9時〜19時。土日祝と会社の休日を除く）

会社は「まずはお問い合わせフォームより」連絡してほしいとしています。フォームが使いにくい人は電話を使えます。

見落としやすいのは、パナソニックの事業が他社へ譲渡され、その会社へ転籍した人です。お知らせは元従業員に「事業譲渡先へ転籍された方も含まれます」と明記しています。いまはパナソニックの社員でなくても、1978年以降にグループの共通人事システムを使う会社を離れた人は、対象に入っている可能性があります。社内の連絡網に届かない立場の人ほど、公式のお知らせを自分で確かめる必要があります。

「パナソニックを名乗る連絡」には落ち着いて対応する

今回の件に便乗した連絡が来ても、そこに書かれた番号やリンクではなく、公式ページの窓口から確かめるのが安全です。

会社は二次被害を確認していないとしていますが、大きな流出が報じられると、それに便乗した電話やメールが出回ることがあります。住所や電話番号が含まれる件なので、「対象者への補償の手続き」などをうたう連絡が来ても、まず公式のお知らせと窓口で確かめるのが確実です。同じ日には佐川急便も大規模な情報流出を発表しており、偽の連絡への備え方は「佐川急便の情報流出は最大5323万件｜対象と偽メール対策」でも整理しています。

窓口と注意点を押さえたうえで、次は法律の側からこの件を見ます。

生成AIへの個人情報の入力は法律でどう扱われるか

個人情報保護委員会は2023年6月、個人データを生成AIに入れる企業に、目的の範囲内かと学習に使われないかの確認を求めています。

同委員会の「生成AIサービスの利用に関する注意喚起等」は、企業が本人の同意なく個人データを含む指示文を生成AIに入力し、それが回答を出す以外の目的で扱われる場合、個人情報保護法に違反する可能性があると書いています。そのため、サービス事業者が個人データを機械学習に使わないことなどを十分に確認するよう求めています。

委員会が企業に求めている2つの確認

委員会が企業に求めるのは、利用目的に必要な範囲かの確認と、事業者が学習に使わないことの確認の2つです。

注意喚起は「個人情報取扱事業者における注意点」として、次の2点を挙げています。

• 生成AIに個人情報を含む指示文を入れる場合は、その個人情報の利用目的を達成するのに必要な範囲かを十分に確認すること。
• 本人の同意なく個人データを入れ、それが回答を出す以外の目的で扱われると法律違反になるおそれがあるため、事業者が機械学習に使わないことなどを十分に確認すること。

同じ文書は、一般の利用者に向けても、入力した個人情報が学習に使われ、不正確な形で出力される危険があると注意しています。会社員が仕事で生成AIを使うときにも、そのまま当てはまる話です。

今回、PEXが事業者に照会して学習機能が無効だったことを確かめ、公表したのは、この注意喚起の確認点に沿った説明だと読めます。ただ、委員会がこの件をどう判断するかは公表されていません。

（編集部分析）学習に使われない設定だったことは被害を小さくする事情ですが、禁止された外部サービスに約33万人分の住所や電話番号が出たこと自体は変わりません。データの置き場所を会社が管理できなくなった時点で、問題は始まっています。

企業の情報管理が問われた最近の例としては、10月14日に報じられた「コミューン不正アクセスで情報流出｜対象企業と利用者の確認方法」もあります。こちらは外部からの不正アクセスで、今回とは原因が違います。

パナソニックの生成AI情報流出のよくある質問

最後に、対象になった人や家族から出そうな疑問を、公式のお知らせの範囲でまとめます。

今後、会社や個人情報保護委員会から新しい発表があれば、この記事も内容を確かめます。

参考情報

• パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026年10月23日）https://holdings.panasonic/jp/information/topics/20261023.html
• 日本経済新聞「パナソニックHD、利用禁止の生成AIに従業員らの情報送出 33万人分」（2026年10月23日）https://www.nikkei.com/article/DGXZQOUF237Z60T21C26A0000000/
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」（2023年6月2日）https://www.ppc.go.jp/news/careful_information/230602_AI_utilize_alert/
• ビジネス+IT　パナソニックグループの生成AI活用の記事（2025年11月18日）https://www.sbbit.jp/article/cont1/174564