パナソニックHDの個人情報33万人分、なぜ生成AIに送っただけで流出扱いに？学習オフでも残る30日間

2026年10月23日、パナソニックHDが個人情報の流出を発表しました。対象は従業員や元従業員、家族ら約33万4000人分です。利用禁止の外部の生成AIに送られた点が、大きな論点になっています。

ハッカーに盗まれたわけでも、AIに覚えられたわけでもありません。それなのに、なぜ「流出」として国に報告されたのでしょうか？

33万人分、何がどこへ送られた？

まずは、報道で確認できる流れを順番に見ていきます。舞台はパナソニックHDのグループ会社です。関わったのは2社です。パナソニックオペレーショナルエクセレンスと、子会社のパナソニックデジタルです。2社は人事情報システムを入れる準備を進めていました。人事情報システムとは、つまり社員のデータを管理する仕組みのことです。

日本経済新聞によると、そのメンバーが9月下旬にデータをアップロードしました。送り先は、社内で使うことが禁止されている外部の生成AIサービスです。中身は人事データの一部です。ITmedia NEWSは、2026年4月時点の登録データだと伝えています。

送られたのは、思わず二度見するほどの量でした。現役の従業員が約7万5000人分です。1978年度以降に退職した元従業員が約17万8000人分です。緊急連絡先として登録された家族が約5万5000人分あります。さらに、2016年以降に退職した人の家族が約2万6000人分です。

項目は、従業員と元従業員が社員番号・住所・電話番号・メールアドレスです。家族については、氏名・住所・電話番号・メールアドレスが含まれます。クラス名簿どころか、ひとつの街の電話帳に近い規模なんだ。

では、なぜこれが「流出」と呼ばれるのでしょうか。次は会社の説明を見ていきます。

不正アクセスじゃないのに「流出」の理由

会社の説明はシンプルです。ITmedia NEWSが伝えた会社の説明はこうです。「外部からの不正な操作ではなく、当該社員の社内ルール違反」。つまり、だれかに侵入されたわけではありません。

外から侵入されるタイプの事件とは、ここが大きくちがいます。たとえばバーガーキングのアプリ会員情報の漏えいです。こちらは不正アクセスが原因でした。今回は、社内の人が自分の手で外のサービスに渡した形です。比べると、入り口がまったく別だと分かります。

それでも流出として扱われるのは、データが会社の管理の外に出たからです。生成AIのサービスは、入力した内容を運営会社のサーバーで受け取ります。会社の金庫から出て、別の会社の倉庫に入ったようなものなんです。

国のルールもあります。1,000人を超える漏えい等は、個人情報保護委員会への報告の対象です。今回は約33万人分です。会社は9月29日に、個人情報保護委員会へ報告しました。

委員会は2023年6月2日にも、生成AIについて注意を出しています。事業者が個人データを入れる前に、機械学習に使われないかを確かめるよう求めました。では、今回の「学習オフ」は安心材料になるのでしょうか。

「学習オフ」でも30日は消えない

会社によると、使われたサービスの学習機能はオフでした。学習機能とは、入力された内容をAIの勉強に使う仕組みのことです。オフなら、ほかの人への回答にデータは出てきません。会社もそう説明しています。

ただし、データがすぐ消えるわけではありません。送った社員は、発覚後すぐにデータを消しました。チャット履歴とパソコン内のデータです。それでも、運営会社は削除されたデータを30日間保管しています。安全や法令を守るための保管です。

そのため、データは10月25日まで外部に残ります。日本経済新聞は、25日以降に完全に削除される予定と伝えています。LINEで送信を取り消しても、相手の端末に通知が残ることがありますよね。それと少し似ています。

現時点で、個人情報の公開や不正利用は確認されていません。とはいえ、自分たちで消せない場所に1か月近く残ること自体が問題になるんだ。ここで気になるのは、なぜ禁止のルールがあったのに使われたのか、という点です。

禁止ルールがあっても使われる生成AI

会社が説明しているのは「社内ルール違反」までです。ただ、禁止されたAIを仕事で使う動きは、この会社だけの話ではありません。会社が認めていないAIを使うことを「シャドーAI」と呼びます。

@ITが伝えた「AI白書2026」の調査を見てみます。調べたのは角川アスキー総合研究所です。2026年4月、大きめの企業で働く310人に聞きました。シャドーAIを使った人は、管理職で46.5%でした。一般社員では38.1%です。

さらに、管理職の57.4%がこう答えています。「ガイドラインの運用が実態に追いついていない」。ルールを作る側ほど、こっそり使っているという結果なんだね。

IPA（情報処理推進機構）も警戒しています。2026年に発表した「情報セキュリティ10大脅威 2026」の組織編です。「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました。理解が足りないまま使うと、情報漏えいにつながると注意しています。

パナソニックHDは今後、ルールを見直すとしています。個人情報の扱い方と、生成AIの使い方の管理です。社員への教育も強めるそうです。では、読者が気になりそうな疑問を整理していきます。

33万人流出のよくある疑問

Q. パナソニックHDで流出した個人情報には何が含まれる？

従業員と元従業員は、社員番号・住所・電話番号・メールアドレスです。家族は、氏名・住所・電話番号・メールアドレスが含まれます。ITmedia NEWSによると、従業員と元従業員の氏名は含まれていません。

Q. 約33万人の内訳はどうなっている？

現役の従業員が約7万5000人、緊急連絡先の家族が約5万5000人です。1978年度以降に退職した元従業員が約17万8000人います。2016年以降に退職した人の家族は約2万6000人です。合計で約33万4000人になります。

Q. 自分や家族が対象かどうかは、どう確かめればいい？

関西テレビの報道によると、会社は専用のフォームと問い合わせ窓口を設けています。パナソニックグループで働いていた人やその家族は、その窓口で確認できます。

Q. 送られたデータはいつ消える？

運営会社は削除データを30日間保管するため、10月25日まで残ります。日本経済新聞は、25日以降に完全に削除される予定と伝えています。

Q. 流出したデータは悪用されていない？

会社によると、現時点で個人情報の公開や不正利用は確認されていません。学習機能はオフでした。そのため、ほかの人への回答には使われないと説明しています。

Q. 会社で禁止されたAIを使うのは珍しいこと？

珍しくありません。「AI白書2026」の調査では、シャドーAIを使った管理職は46.5%でした。一般社員でも38.1%です。

33万人分が示した「入れた時点で外」

ここまでの話を整理すると、ポイントは「どこに置かれたか」です。学習オフでも、悪用がなくても同じです。データは別の会社のサーバーに入りました。しかも10月25日までは、パナソニック側では消せません。

だからこそ、侵入されていなくても流出として扱われました。生成AIに入れるということは、外の倉庫に荷物を預けるのと同じなんです。この件は、会社の人が使う生成AIにも、その感覚が必要だと示しています。