>
>
公開日
パナソニック 生成AIの個人情報アップロードについて、2026年10月23日の公表内容を整理。約33.4万人の対象・情報項目、学習への利用と削除後の保持の違いを解説します。情シスが自社で点検する4項目、今週の担当と成果物、Adminaで把握できる範囲を示します。情報は10月25日時点です。
要点（2026年10月25日時点）
2026年10月23日、パナソニック ホールディングスのサイトで、子会社のパナソニック オペレーショナルエクセレンスは、人事情報システム導入プロジェクトのメンバーが、社内で利用を禁止している外部生成AIサービスへ個人情報を含むデータをアップロードしていたと公表しました。サービス名は非公表で、公表文では対象者に対応を求めていません。出典：外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ
対象 | 約33.4万人です。日本地域で共通の人事システムを利用する会社の従業員・元従業員と、その家族が対象です。 |
|---|---|
学習への利用 | PEXの公表によると、事業者は、アップロード時点で学習に利用する機能は無効になっていたと回答しています。 |
削除後の保持 | 事業者は、削除後も30日間保持され、10月25日以降は保持されないと回答しています。 |
被害の確認状況 | 同社は、公開や不正利用による被害は確認されていないとしています。 |
対象者の対応 | 公表文では求められていません。 |
情報は2026年10月25日時点です。公表文の記載と、編集部の提案を分けて説明します。
公表された内容
パナソニック オペレーショナルエクセレンス（PEX）は2026年10月23日、利用禁止の外部生成AIサービスに個人情報を含むデータがアップロードされていたと公表しました。外部からの不正な操作ではなく、社内ルールに反したアップロードだと説明しています。
人事情報システム導入プロジェクトでのアップロード
PEXが子会社のパナソニック デジタルと進めている人事情報システム導入プロジェクトで、プロジェクトメンバーが、2026年4月時点で同システムに登録されていたデータの一部を、社内で利用を禁止している外部生成AIサービスにアップロードしました。サービス名は公表されていません。「2026年4月時点」はデータの基準時点で、アップロードした日や発覚した日は公表文に書かれていません。
対象と項目
対象は、日本地域で共通の人事システムを利用する会社の従業員約7.5万人、元従業員約17.8万人、従業員の家族約5.5万人、元従業員の家族約2.6万人で、合計は約33.4万人です。公表文によると、元従業員は1978年度から2026年度までの退職者（事業譲渡先への転籍者を含む）、元従業員の家族は2016年以降に退職した人の家族が対象です。
対象区分 | 人数 | 情報項目 | 氏名の有無 |
|---|---|---|---|
従業員 | 約7.5万人 | 社員番号・住所・電話番号・メールアドレス | 公表された項目に氏名はありません |
元従業員 | 約17.8万人 | 社員番号・住所・電話番号・メールアドレス | 公表された項目に氏名はありません |
従業員・元従業員の家族 | 計約8.1万人 | 緊急連絡先として登録された氏名・住所・電話番号・メールアドレス | 氏名を含みます |
氏名が含まれるのは、緊急連絡先として登録された家族の情報です。従業員・元従業員の情報に氏名は含まれていません。
報告・削除と被害の確認状況
PEXは2026年9月29日に個人情報保護委員会へ報告しました。プロジェクトメンバーは発覚直後に、生成AIサービス上のチャット履歴と、業務用PC内の対象データを削除しています。PEXが事業者に確認した結果は、アップロード時点で学習への利用機能は無効だった、削除されたデータは30日間保持され10月25日以降は保持されない、という回答でした（公表文）。
現時点で、公開や不正利用による被害は確認されていないとしています。この公表は本人への通知に代わる措置で、対象者に対応を求める事項はありません。退職者とその家族向けには、問い合わせフォームと電話窓口が設けられています。再発防止策として、個人情報の取り扱いルールと生成AIの利用管理の見直し、関係者への教育・啓発の強化を挙げています。
「学習に使われない」と「削除後も残る」は別
生成AIへの個人情報入力を検討する際も、「学習に使われない」と「保存されない」は同じ条件として扱いません。学習への利用は入力データの利用目的に関する条件であり、保存と削除はデータをいつまで、どの範囲で保持するかという別の確認事項です。
今回の事業者の回答
学習への利用と削除後の30日間の保持は、前章で整理したとおり、事業者から別々の回答として示されています。10月25日の時点で、削除が完了したことを確認した追加の発表は出ていません。出典はPEXによる外部生成AIサービスへの個人情報アップロードに関する公表です。
この回答を「10月25日に削除された」と言い換えると、削除と、その後の保持期間の区別が失われます。また、30日間という期間は今回の事業者の回答であり、生成AI全般に共通する仕様としては扱いません。自社の点検でも、学習設定だけを見て「履歴を消せばデータも残らない」と判断するのは避けます。
自社で使っている生成AIで確認する4項目
編集部の提案として、入力条件・学習への利用・保存と削除・確認の記録を、根拠と判断を残せる点検表にまとめます。
以下の共通欄には、自社で点検する対象を記入します。今回使われたサービス名を推測するための欄ではありません。契約やアカウントが異なる対象は表を分け、どの条件について確認した結果なのかを区別します。たとえば架空の例として、同じサービスを法人契約の会社発行アカウントと従業員の個人アカウントで使っている場合は表を2枚に分け、前者の入力可能な情報欄には「公開資料の要約のみ」、後者には「業務情報は入力不可」と別々に記入します。
サービス名：＿＿＿＿ プラン：＿＿＿＿ アカウント区分：＿＿＿＿
確認項目 | 確認する内容 | 確認先 | 確認結果による扱い |
|---|---|---|---|
入力条件 | どの情報を、どの契約・アカウントで入力してよいかを確認します。 | 各社の公式文書、契約、事業者の回答 | 確認できれば、その範囲を社内ルールに記載します。確認できなければ、対象情報の入力を保留します。 |
学習への利用 | プラン・設定・契約で入力データがどう扱われるかを確認します。 | 各社の公式文書、契約、管理画面の設定、事業者の回答 | 確認できれば、適用対象と条件を記録します。未確認なら「保存されない」と扱わず、管理者・情報管理担当への確認事項にします。 |
保存と削除 | 履歴削除後の保持期間と、削除の対象範囲を確認します。 | 各社の公式文書、契約、管理画面の設定、事業者の回答 | 確認できれば、保持期間と削除範囲を運用手順に反映します。未確認なら「保存されない」と扱わず、管理者・情報管理担当への確認事項として記録します。 |
確認の記録 | 見た公式文書・設定・確認日・確認した人を残します。 | 参照した各社の公式文書、契約、管理画面の設定、事業者の回答 | 根拠が残っていれば社内点検に使用します。欠けていれば、該当欄を未確認として補完します。 |
設定画面で学習への利用が無効だと確認できても、それだけで個人情報の入力を許可する運用にはしません。入力可能な範囲と保存・削除の条件を別々に記録できれば、その根拠に沿って社内ルールへ反映し、未確認の条件が残れば対象情報の入力を保留します。
▲ 生成AIにおける学習への利用設定とデータ保持期間の扱いの違いを比較した図です。
情シスが今週確認すること
情シスの今週の点検では、使える手段、把握できた利用、入力のルール、未承認サービスへの送信がわかったときの対応を記録に残します。この章は、禁止ルールの有無だけで点検を終えず、担当と成果物まで決めるための編集部の提案です。
『禁止している』と『使われていないと確認できている』は別
禁止の周知と利用実態の確認は、別の点検項目として扱います。シャドーAIは、組織が承認・把握していないAIの業務利用です。
PEXでは利用を禁止していた外部生成AIサービスに、約33.4万人分のデータがアップロードされました（公表文）。禁止していることだけを、使われていない根拠にはできません。シャドーAIの全体像と対策は「シャドーAIとは？リスクと対策」で解説しています。
自社の点検でも、「禁止を周知した」という記録と、「どの範囲の利用を調べたか」という記録を分けます。今週すべてを調べきれない場合は、確認できた部署・端末・アカウントと、未確認の範囲を残す計画にします。未確認を隠さず、次の調査担当と期限を付けることが、この点検の到達点です。
①使ってよい生成AIと代わりの手段を決める
対象業務で使える手段がある場合は利用条件を明文化し、ない場合は利用部門と代替手段を決めます。サービス名だけでなく、プラン、利用条件、相談先まで一覧化します。
一覧には、使える業務、利用するアカウント、入力可能な情報の区分も対応させます。同じサービス名でも、契約やアカウントの条件を確認できていない組み合わせは、承認済みの扱いに含めません。利用部門から「この作業に使いたい」と相談されたときに、どの行を見れば判断できるかを基準に整理します。
対象業務に使える承認済み手段がなければ、既存の社内ツールで処理する、入力情報を使わない方法に変える、作業を一時保留するなどの選択肢を利用部門と検討します。代替手段が決まらない業務は、担当と回答期限を残します。「禁止です」と返すだけで、業務の扱いを利用者に委ねない運用にします。
②把握できている利用と、まだ確認できていない範囲を洗い出す
利用実態の一覧は、把握済みと未確認を分けて作成します。記録にないことを、未利用の証拠として扱いません。
社内で参照できる契約一覧、端末管理の記録、利用部門への聞き取りなどがあれば、それぞれで確認した対象と期間を記載します。確認結果だけでなく、「会社管理の端末のみ」「会社アカウントのみ」といった調査範囲も残す案です。利用状況を見える化する方法は「生成AIの利用状況の可視化とシャドーAIの検知」にまとめています。複数の記録を使う場合も、確認範囲が同じとは限らない前提で整理します。
個人端末や個人アカウントでの業務利用を今回の調査で確認できていないなら、その範囲は未確認欄に記載します。調査対象外の範囲まで「利用なし」と広げないためです。利用部門への追加確認が必要なら、対象部署、質問事項、回答担当、期限を決めます。今週の一覧は、利用者を並べるだけでなく、何が分からないかを引き継ぐ資料として残します。
③人事データなど、入力してよいかのルールを具体的にする
入力ルールは、情報の種類と、利用する契約・アカウントを対応させて整理します。入力可能と確認できた情報には条件を記載し、判断がつかない情報は入力前の相談に回します。
人事データであれば、氏名、住所、連絡先などを一括して「社内情報」とせず、情報管理上の区分と用途を人事・情報管理・法務で整理する案です。そのうえで、どの承認済み手段に、何の目的で、どの範囲まで入力できるかを表にします。入力条件を確認できない情報は、表の空欄にせず「事前相談」と明記します。社内ルール全体のひな形は「生成AI利用ガイドラインのひな形」を参考にできます。
運用上は、次の判断順を表と併せて共有します。相談先の回答待ちであれば入力を保留し、①で決めた代替手段に切り替える扱いにします。
対象情報に対応する契約・アカウントと入力条件が明記されていれば、その条件内で利用します。
情報の区分や入力条件を判断できなければ、指定の相談先に用途と対象情報の種類を伝えます。
相談時は実データの添付を前提にせず、担当者が必要と判断した範囲で情報を共有します。
④未承認サービスへの送信がわかったときの連絡・記録・削除の順番を決める
未承認サービスへの送信がわかったときの備えは、社内連絡先と必要な記録の確保を先に定め、そのうえで担当者の判断に沿って事業者への照会と削除を進める流れにする案です。自社の手順では、記録の確保と削除の進め方を担当者が判断できるよう定めておきます。
今週は、発見者が連絡する窓口と、不在時の引き継ぎ先を決めます。発見者が単独で対応を終えないよう、誰が影響範囲を整理し、誰が事業者に問い合わせるかも担当表に記載します。判断に必要な記録を確保する際も、機微な入力内容の複製を増やさない方法を選びます。
社内窓口へ連絡し、追加送信や共有を止めます。報告には入力内容そのものを不用意に貼り付けません。
送信先、送信時刻、対象範囲、利用アカウント、実施済みの対応を記録します。原本や画面の保存が必要かは担当者が判断し、保存先と閲覧者を限定します。
担当者の判断に沿って事業者へ照会し、削除の対象・手順・実施状況を整理します。回答と対応経過も同じ記録に追記します。
事業者への確認事項には、削除を依頼した対象、対応可能な範囲、完了を確認する方法を含めます。回答が得られない項目は「確認中」として担当を残し、削除操作を行ったことだけで対応完了とは扱わない案です。当局への報告や本人への通知が必要かどうかの判断も、情報管理・法務の担当に回す流れに含めます。
海外にも、承認されていないAIへの個人データの入力が公表・届出の対象になった例があります。米国のCB Financial Servicesは2026年5月11日、子会社の銀行で、承認されていないAIソフトウェアにより顧客の氏名・社会保障番号・生年月日を含む非公開情報が扱われた件を、Form 8-K（Item 1.05）で開示しました。件数は記載されていません。オランダの個人データ保護機関は2024年8月6日、従業員が雇用主との取り決めに反してAIチャットボットに個人データを入力するとデータ侵害にあたり、多くの場合は当局と本人への通知が必要になるという見解を示しています。いずれも各国の制度での扱いで、今回の件の法的な評価には当てはめません。
担当の例と今週残す成果物
以下は編集部が示す担当例です。自社で別の部署が責任を持つ場合は担当名を置き換え、週内の取りまとめ役と未完了項目の引き継ぎ先を決めます。
点検項目 | 担当の例 | 今週残す成果物 |
|---|---|---|
承認済みAIと代わりの手段 | 情シス＋利用部門 | サービス・プラン・利用条件・相談先の一覧 |
利用の実態 | 情シス＋端末管理の担当 | 把握できた利用と未確認の範囲の一覧 |
入力のルール | 人事＋情報管理・法務 | 入力してよい情報と事前確認が要る情報の表 |
送信がわかったときの対応 | 情シス＋情報管理・法務 | 連絡先・記録する事項・事業者への確認事項 |
点検した結果を社内ルールに反映するには、Admina の資料『AI利用ガイドライン作成ガイド -テンプレート付き-』が使えます。
▲ 業務で生成AIの利用相談を受けた際の代替手段決定と保留の判断フローです。
Admina で把握できること・できないこと
Adminaの機能ページは、情シスが把握していないSaaS・AIの利用を検知する方法を案内しています。公式の「シャドーIT・AI検知」機能ページが説明する利用の把握と、AIに入力した内容の調査は、分けて考える必要があります。
利用検知の4つの方法
Adminaの公式機能ページでは、利用を検知する方法として、ログイン情報、ブラウザ拡張機能、Admina Tracker、支払い履歴の4つを案内しています。
方法 | 機能ページで案内する検知の手がかり |
|---|---|
ログイン情報 | Google・Microsoftなどのログイン情報から、サービスの利用を見つけます。 |
ブラウザ拡張機能 | 対応ブラウザでのサービスへのアクセスから、利用を見つけます。 |
Admina Tracker | 対応端末で実行中のデスクトップアプリの利用も検知します。 |
支払い履歴 | 支払い履歴から、把握していないサービスを見つけます。 |
この表は検知方法の整理であり、すべてのサービスや利用経路を漏れなく把握できることを示すものではありません。
イベントログとCSVによる利用記録
検知したサービスの利用記録はイベントログで確認でき、CSVで出力できます（出力できる期間や件数には条件があります）。取得対象の範囲では、どのサービスをいつ使ったかの記録が、AIサービス側のチャット履歴とは別に残ります。
編集部の運用提案として、利用経緯を整理する場合は、取得できたイベントログを確認の起点にします。記録から分かるサービスと利用時点を整理し、入力内容については別の調査事項として扱えば、利用の事実と送信内容の推測を混同せずに済みます。
入力内容の特定と検知範囲の限界
機能ページでは、この機能をAIへの入力内容や送った内容の影響を自動で特定する機能としては案内していません。検知の範囲は、導入方法や設定によって変わります。
編集部の運用提案として、検知記録は利用の事実を示す資料として扱い、記録がないことだけを根拠に「利用していない」「被害がない」と結論づける扱いは避けます。
自社環境で取得できる記録が分かったら、管理表では「把握済みの範囲」と「未確認」を分けます。
取得できたサービス・期間・項目は「把握済みの範囲」に記載します。
取得できない範囲は「未確認」とし、利用者への聞き取りなど、別の確認手段と担当を割り当てます。
利用記録だけが確認できた場合は利用経緯の整理に進み、入力内容を確認できない場合は、その内容や影響の判断を保留します。この区分により、検知結果を調査完了と取り違えず、残っている確認作業を明確にできます。Adminaを使わない場合も、IdPのログイン記録、経費・請求の支払い記録、プロキシやDNSのログなどで取得できた範囲と期間を同じ二区分に整理でき、取得できない範囲は聞き取りの対象として残せます。
自社の環境でどこまで把握できるかは、デモで確認できます。
▲ Adminaの検知方法とイベントログで把握できる記録および対象外情報の関係を示す図です。
よくある質問
Q：対象者の従業員・元従業員・家族は何かする必要がありますか？
A：公表文では、対象者に対応を求めていません。パナソニック オペレーショナルエクセレンスは、外部生成AIサービスへの個人情報送出に関する公表文を、対象となる本人への通知に代わる措置として公表しています。退職者とその家族向けには、問い合わせフォームと電話窓口が公表文に案内されています。
Q：使われた生成AIのサービス名は公表されていますか？
A：使用された外部生成AIサービス名は公表されていません。2026年10月25日時点で参照する同社の公表文には、サービス名の記載がありません。本記事でもサービス名は推測しません。
Q：会社は今回の件をどう説明していますか？
A：同社は、今回の個人情報の取り扱いに関する公表文で「アップロード」「送出」と表現しています。外部からの不正な操作ではなく、社内ルールに反したアップロードだと説明しています。2026年9月29日に個人情報保護委員会へ報告し、本人への通知に代わる措置としてこの公表を行っています。法律上の評価について、本記事では判断しません。
Q：学習への利用が無効なら保存されないのですか？
A：いいえ、今回の事業者の回答では、学習への利用と削除後の保持は別々に示されています。PEXが事業者に確認した結果として、学習への利用機能は無効だった一方、削除されたデータは30日間保持されると公表文に書かれています。他のサービスも同じ扱いとは言えないため、自社で利用するサービスについては、本文の「『学習に使われない』と『削除後も残る』は別」で示した4項目に沿って整理します。
まとめ
パナソニック オペレーショナルエクセレンスは2026年10月23日、利用禁止の外部生成AIサービスに約33.4万人分の個人情報がアップロードされていたと公表しました。被害は確認されておらず、対象者に対応を求める事項はありません。
事業者の回答では、学習への利用は無効だった一方、削除されたデータは30日間保持されるとされています。学習の設定と保存期間は別に確認します。
自社では、使ってよい生成AIの一覧、利用状況の把握、入力のルール、送信がわかったときの手順の4つを今週の成果物として残します。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
