要点

対象：社員が仕事で生成AIを使う会社

  1. 家族の分には氏名も含まれていた
  2. 削除後30日は運営事業者が保持
  3. 1,000人を超える漏えいは報告が義務

パナソニック オペレーショナルエクセレンスは10月23日、社内で利用を禁じている外部の生成AIに、約33万人分の個人情報がアップロードされていたと発表しました。人事情報システムを導入するプロジェクトの担当者がアップロードしました。12

この記事の目次（5節）
  1. 家族の分には氏名も含まれていた
  2. 運営事業者は削除後30日間保持
  3. 1,000人を超える漏えいは報告が義務
  4. 9月にはRIZAPでも
  5. 学習の設定と保持の日数は製品ごとに違う

同社は、パナソニックホールディングス傘下の会社です。3

データは学習に使わない設定（学習オフ）でアップロードされていました。それでも運営事業者は、利用者が削除した日から30日間データを保持します。担当者は発覚の直後に削除したので、30日がたつ10月25日以降は、運営事業者のもとにも残りません。1

同社はこの生成AIの利用を禁じていましたが、担当者のアップロードを止めることはできませんでした。1

家族の分には氏名も含まれていた

対象は、2026年4月時点で人事情報システムに登録されていたデータの一部です。同社は、使った生成AIの名前を明らかにしていません。1

対象人数含まれていた情報
従業員約7万5千人社員番号・住所・電話番号・メールアドレス（氏名は含まれていない）
元従業員（1978年〜2026年度に退職）約17万8千人同上
従業員の家族約5万5千人緊急連絡先として登録された家族の氏名・住所・電話番号・メールアドレス
2016年以降に退職した元従業員の家族約2万6千人同上

4つを合わせると、約33万人です。1

外部からの不正な操作ではなく、担当者が社内のルールに違反してアップロードしました。1 社内のシステムが違反を検知して発覚したと、産経新聞が報じています。3

運営事業者は削除後30日間保持

発覚の直後に、担当者はチャットの履歴と、業務で使ったパソコンの中のデータを削除しました。1

同社が運営事業者に問い合わせたところ、回答は次のとおりでした。1

  • アップロードしたとき、データを学習に使う機能は無効だった。ほかの利用者が関連する質問をしても、そのデータを回答に使うことはない
  • セキュリティと法令順守のため、運営事業者は、利用者が削除した日から30日間データを保持する
  • 運営事業者は保持中のデータへのアクセスを厳しく管理し、監査などの要請がない限りアクセスしない。10月25日以降は運営事業者のもとにも残らない
アップロードからデータが消えるまで 01 02 03 04 05 9月下旬 発覚の直後 9月29日 10月23日 10月25日以降 人事情報システムのデータの一部を、 利用を禁止している外部の生成AIにアップロード 担当者がチャットの履歴と、 パソコンの中のデータを削除する 個人情報保護委員会に報告 本人への通知の代わりに公表 消してから30日が過ぎ、 AIの運営事業者のもとからも消える
アップロードしてから、運営事業者のもとからもデータが消えるまで。パナソニック オペレーショナルエクセレンスの10月23日のお知らせと日本経済新聞の報道をもとに作りました。

学習に使わない設定にしていても、削除したデータがすぐ消えるとは限りません。例えばChatGPTでは、削除したチャットは、30日以内にOpenAIのシステムから完全に削除されます。7

安全上の理由や法令で求められるときは、それより長く保持されることがあります。7 この件で使われた生成AIがChatGPTかどうかは、分かっていません。

ChatGPTの学習の設定がプランごとにどうなっているかは、画像53件の流出の記事で取り上げました。

1,000人を超える漏えいは報告が義務

漏えいした、またはそのおそれがある個人データが1,000人分を超えると、会社は個人情報保護委員会に報告しなければなりません。5 会社は、漏えいを知ってからおおむね3〜5日以内に速報を出します。確報の期限は30日以内です。4

同社は9月29日に委員会へ報告しました。1

同社は10月23日の公表を、本人への通知の代わりとしました。対象者に求める手続きはないとしています。1

委員会は2023年6月、生成AIを使う会社に注意を呼びかけました。本人の同意なく個人データを入力した会社は、そのデータが答えを出す以外の目的に使われると、法律に違反するおそれがあります。6

そのため会社は、個人データを入力する前に、運営事業者がそのデータを機械学習に使わないことなどを十分に確かめる必要があります。6

入力してしまったあとの聞き取りと報告の流れは、私用の生成AIに個人情報を入れたときの対応にあります。

9月にはRIZAPでも

9月3日には、RIZAPも、社員が個人で使っていた外部の生成AIに、特定保健指導の対象者のデータの一部を誤ってアップロードしたと公表しています。8

2件とも、社内のシステムに登録されていた個人データが、外部の生成AIにアップロードされていました。利用を禁じて、あとから違反に気づくだけでは足りず、入力する前に止める仕組みも要ると考えています。

学習の設定と保持の日数は製品ごとに違う

学習の設定と保持の日数は、使う生成AIとプランによって違います。どのAIを使ってよいか、どのデータを入力してよいか、入力してしまったら誰に知らせるかは、会社が決めて社員に伝えておく必要があります。

社内のルールに何を入れるかは、AI事業者ガイドラインがAIを使う会社に求める7項目が参考になります。

1,000人分を超える一覧は、1回の入力だけで委員会への報告の対象になりえます。社内で使っている生成AIのヘルプを開き、削除したデータを何日保持するかと、学習に使わない設定になっているかを確かめておいてください。

出典

  1. パナソニック オペレーショナルエクセレンス「外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ」（2026年10月23日）（参照 2026-10-24）
  2. 日本経済新聞「パナソニックHD、利用禁止の生成AIに従業員らの情報送出　33万人分」（2026年10月23日）（参照 2026-10-24）
  3. 産経新聞「パナHDの担当者、利用禁止の外部生成AIに従業員ら33万人の情報をアップロード」（2026年10月23日・Yahoo!ニュース）（参照 2026-10-24）
  4. 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（参照 2026-10-24）
  5. 個人情報保護委員会「漏えい等の対応とお役立ち資料」（参照 2026-10-24）
  6. 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（令和5年6月2日）（参照 2026-10-24）
  7. OpenAI Help Center「Deleting and archiving chats in ChatGPT」（参照 2026-10-24）
  8. RIZAP「当社における外部生成AIサービスへのお客様情報の誤ったアップロードに関するお詫びとお知らせ」（2026年9月3日）（参照 2026-10-24）