パナソニック約33万人分の情報を生成AIへ送信

パナソニックグループで、約33万4000人分の個人情報が、社内で禁止された外部生成AIにアップロードされていたことが明らかになりました。
AIの学習利用や不正利用は確認されていませんが、データは削除後も30日間保持される仕組みでした。
生成AIへの情報送信では、不正アクセスだけでなく、社内ルール違反やシャドーAIも情報管理上のリスクになります。

記事の概要

パナソニックグループは2026年10月23日、約33万4000人分の個人情報が外部生成AIに送信されたと公表しました。
対象には現役従業員約7万5000人、元従業員約17万8000人、家族約8万1000人が含まれていました。
従業員と元従業員のデータには、社員番号や住所、電話番号、メールアドレスなどが含まれていました。
アップロード時は学習利用が無効で、一般公開や不正利用の被害も発表時点では確認されていませんでした。
一方、サービス上のデータはチャット履歴を削除した後も、セキュリティや法令順守のため30日間保持されました。
2026年9月にはRIZAPでも、特定保健指導の顧客データを個人利用のChatGPTへ誤送信した事例が公表されました。
KPMGコンサルティングの2026年調査では、国内2788人の約14％が、私的な生成AIへ業務上問題となる情報を入力した経験があると回答しました。
IPAの2025年調査では、生成AIの業務利用ルールがあると答えた人は52.0％で、34.5％はルールの有無をわからないと回答しました。

記事のポイント

1. 学習オフでも送信は止まらない： 学習利用を無効にしても、入力データの外部送信やサービス事業者側での保存まで止まるとは限りません。
2. 禁止対象を明確にする： 顧客名簿や給与・評価、健康情報、未発表企画、ソースコード、契約書、パスワードなどは、承認済み環境以外へ送ってはいけません。
3. 違反時はすぐ報告する： 誤送信に気づいた場合は履歴を消して隠さず、利用サービスや送信日時、データ内容を確認して情報管理担当者へ報告します。

このニュースがもたらす影響

• 導入を検討する企業： 生成AIの導入時は学習利用の設定だけでなく、送信先、保存期間、削除方法、誤送信時の報告経路まで確認する運用設計が求められそうです。
• AIサービス提供者： 企業利用を広げるには、学習利用の有無だけでなく、削除後の保持期間や事業者側のデータ管理を利用企業が判断できる形で示す必要が高まりそうです。
• 情報管理部門： シャドーAIを前提に、禁止事項の周知だけでなく、承認済みサービスの提示や送信状況の把握、違反時に早期報告できる仕組みづくりが重要になりそうです。

このニュースの背景

外部生成AIでは、学習利用を無効にしていても、入力データの送信や一定期間の保持が発生する場合があります。
パナソニックの事例では、社内で禁止されたサービスへの送信が問題となり、発表時点で不正利用が確認されなくても情報管理上の対応が必要になりました。
RIZAPでも、個人利用のChatGPTへ特定保健指導の顧客データを誤送信した事例が公表されています。
KPMGコンサルティングの調査では、約14％が私的な生成AIに業務上問題となる情報を入力した経験があり、IPA調査では業務利用ルールの有無を把握していない人が34.5％いました。

関連するニュース

• OpenAIが文章向け電子透かし「textGrain」を発表し、GeminiとClaudeも対応を進めています。
• ラグザスは就業者300人を調査し、生成AIの回答を不明点があるまま利用した経験や、身につけたい確認力を明らかにしました。
• Daon Japanは、既存の本人確認基盤に追加できるAI不正対策機能をAPIで提供します。

詳しい記事の内容はこちらから（引用元）

ASCII.jp

生成AIに入れちゃダメな情報、わかってますか？　不正アクセスだけじゃない情報漏洩の原因

本連載は生成AIをこれから活用しようとしている方たちのために、生成AIの基本やコピペしてそのまま使えるプロンプトなどを紹…