公開日： 2026年10月30日
カテゴリ： AI人材・組織
この記事の要点
- パナソニック グループで約33万4000人分の個人情報が、社内利用禁止の外部生成AIサービスに入力されていたことが2026年10月23日に公表された
- 同社は、不正アクセスではなく内部担当者による社内ルール違反だったと説明している。本記事では、この事案を踏まえて自社の利用実態・承認ツール・相談先を点検する進め方を整理する
- 業務端末からのアクセスを遮断しても、私物スマートフォンや自宅PCで利用が続く可能性がある
- 対策は「禁止の強化」ではなく、①利用実態の可視化→②公式ツールの整備とルール策定→③継続的な運用定着の3段階で設計する
- 中小企業でも今週から着手できる最初のステップがある
読む前に確認しておきたい言葉
| 言葉 | 一言で言うと | 身近な例え |
|---|---|---|
| シャドーAI | 会社が把握していないAI利用 | 会社が許可していない私物USBをこっそり使うのと同じ構図 |
| 個人情報保護委員会 | 個人情報を監督する国の機関 | 税務署が税務を監督するように、個人情報の扱いを監督する |
| 学習オプトアウト | AIにデータを学習させない設定 | サービスの「広告に使用しない」設定をオンにするのと同じ |
社内ルールを作った後、そのルールを守れる環境が整っているかまで確かめていますか。
パナソニック オペレーショナルエクセレンスの公表では、利用を禁止していた外部生成AIサービスへのアップロードが、プロジェクトメンバーのルール違反として説明されています。担当者が禁止を認識していたか、どのような経緯で利用に至ったかは、公表文では説明されていません。この記事では、確認できる事実を整理したうえで、自社のルールを運用する際の確認事項を考えます。
事例の概要
| 項目 | 内容 |
|---|---|
| 事案の主体 | パナソニック オペレーショナルエクセレンス株式会社（パナソニックHDの子会社） |
| 対象人数 | 約33万4000人（従業員約7万5000人・元従業員約17万8000人・従業員家族約5万5000人・元従業員家族約2万6000人）〔同社公表〕 |
| 課題 | 社内利用禁止の外部生成AIに人事情報システムの個人データが入力された |
| 原因 | 不正アクセスではなく、内部担当者による社内ルール違反 |
| 現状 | 現時点で一般公開や不正利用による具体的被害は確認されていない |
導入前の状況：何が起きていたか
2026年10月23日、パナソニック オペレーショナルエクセレンスは、人事情報システム導入プロジェクトのメンバーが社内利用禁止の外部生成AIサービスに個人情報を含むデータをアップロードしていたと公表しました。
対象となったデータは2026年4月時点の人事情報システム登録データの一部です。含まれる情報は、従業員・元従業員の社員番号・住所・電話番号・メールアドレス、および家族の氏名を含む連絡先です。なお、従業員・元従業員本人の氏名は含まれていません。
対象の元従業員は1978年から2026年度退職者まで及んでおり、17万8000人という規模になっています。
同社は9月29日に個人情報保護委員会へ報告しており、1000人を超える個人データの外部流出は個人情報保護法上の報告義務対象となります。対象者への個別通知に代わる措置として、今回の公表が行われました。
同社の公表によると、AIサービス事業者から、アップロード時にはデータをAI学習に利用する機能が無効だったとの回答を得ています。利用者がデータを削除しても、安全管理・法令順守のため削除日から30日間保持する仕様ですが、今回の対象データは10月25日以降、事業者内でも保持されないと説明しています。同社は、今後二次利用されないことも確認したと公表しています。一般公開された事実や不正利用による具体的な被害は、同社の調査・確認の範囲では確認されていません。
フィノジェン現場から
今回確認できるのは、社内で禁止されていたサービスへのアップロードが起きたという事実です。担当者の認識や、社内の相談体制・代替手段の詳細までは公表されていません。自社の運用を考える際は、禁止事項の周知に加え、使えるツールや判断に迷ったときの相談先が示されているかを点検することを勧めます。
自社の生成AI利用ルールを点検する
ここからは、自社の運用を点検するための一般的な確認事項を整理します。以下に挙げる代替手段や相談体制の不備が、今回の事案で実際にあったと確認されたわけではありません。
① 禁止事項と使える代替手段を併記しているか
多くの組織では、生成AIへの対応として最初に「全面禁止」または「ガイドライン通達」を行います。これ自体は間違いではありません。しかし、禁止通達を出した後に「では現場は何を使えばいいのか」という代替手段が示されないと、担当者は業務上の必要性から自己判断で動き始めます。
迷ったこと：「禁止」と「何も使えない」が同義になると、業務が止まる。現場はそのギャップを埋めようとします。
工夫すべきこと：禁止と同時に「承認済みツールのリスト」を示すことで、現場の選択肢を狭める方向ではなく、正しい選択肢を広げる方向に設計を変えます。
② 利用実態を把握できているか
シャドーAIは「従業員の利便性追求」と「企業の管理体制の遅れ」が組み合わさって発生します。業務端末からのアクセスを遮断しても、従業員が私物スマートフォンや自宅PCで利用を続ける可能性があります。つまり、禁止を強化するほど利用が「見えないところ」に移動するだけです。
迷ったこと：「どのツールが使われているか」を把握しようとすると、監視のように受け取られることがあります。
工夫すべきこと：調査を「取り締まり」ではなく「現場支援の情報収集」として位置づけ、匿名アンケートや1on1での会話から実態を把握します。
③ 具体的な行動をルールで示しているか
「〇〇してはいけない」という形式のガイドラインは、読んだだけでは行動に結びつきにくいです。特に生成AIのように新しいツールは、何が問題行動なのかを具体的なシナリオで示さないと、担当者が自分の行動をルール違反と認識できないことがあります。
迷ったこと：簡潔にまとめようとすると、「個人情報を入力してはいけない」という一行になってしまいます。
工夫すべきこと：「人事データをAIに貼り付けて要約させる」「顧客の会社名と相談内容を一緒に入力する」など、具体的な行動シナリオを示して「これがなぜいけないか」を説明します。
機能するルール設計で何が変わるか：理想像と判断基準
構造的な変化：
禁止通達だけの状態から、利用実態の把握→承認ツールの整備→具体的なルール設計に移行した組織では、現場が「公式チャネルで相談しやすくなる」という変化が期待できます。これは管理が緩んだのではなく、現場と管理側の間に情報の流れが生まれた結果として考えられます。
担当者が直面しやすい判断：
「このデータをAIに入れていいかわからないが、上司に聞くと怒られそう」という状況が、シャドーAI発生の温床になります。相談窓口や承認フローが明文化されていると、この判断を「個人の自己責任」から「組織のプロセス」に移すことができます。
フィノジェン現場から
ルール設計で見落とされがちなのは「相談しやすさ」です。禁止事項を増やすより、「これはどうすればいいですか」と聞ける場所を作る方が、違反を減らすことが期待できます。承認フローは複雑にする必要はなく、「〇〇に一言確認する」レベルの軽いものから始めて構いません。
この事例から学べること
- 「禁止」と「代替手段の提示」はセットで行う：禁止通達を出すなら、同時に使えるツールのリストも渡す。現場の選択肢を奪うだけでは行動は変わらない
- 利用実態の把握は、取り締まりではなく支援として設計する：何が使われているかを知ることが対策の起点。匿名アンケートや軽い聞き取りから始められる
- ルールはシナリオ形式で示す：「個人情報を入力してはいけない」より「人事データをAIに貼り付けて要約させることはNGです」の方が現場に届く
- 相談窓口と承認フローを明文化する：判断に迷ったときの行き先がないと、現場は自己判断で動く。窓口は担当者の名前を書くだけでも機能する
社内ルールの実効性を高める取り組みとして、「AIのリターンがゼロ」は設計の問題だった——中小企業が今すぐ確認すべき導入設計チェックリスト も合わせてご覧ください。AIツールの導入設計を見直す際の判断軸が整理されています。
また、AIツールの選定・評価の基準を社内で共有したい場合は、AIモデル選定を属人化させない——Gemini 4 Argon発表を機に整理する、中小企業向け評価軸の作り方 も参考になります。
フィノジェンの見解：シャドーAI対策の現状確認チェックリスト
以下の項目に〇がついた数で判断してください。
⬜︎ 社内で使われている生成AIツールの種類を、少なくとも一部は把握できている
⬜︎ 「禁止」または「ガイドライン」と同時に、使えるツールのリストを現場に渡している
⬜︎ ガイドラインに「個人情報の入力禁止」など具体的な行動シナリオが含まれている
⬜︎ AI利用に関して現場が「これはどうすればいいか」と相談できる窓口または担当者がいる
⬜︎ ガイドラインの内容について、通達後に一度でも現場に説明または確認の機会を設けた
〇が4つ以上：現状の管理体制の基盤はできています。次は定期的な実態確認と、ガイドラインの更新サイクルを設ける段階です。生成AIのサービス仕様は変わりやすいため、ルールも半年に一度は見直す仕組みを作っておくと安心です。
〇が2〜3つ：一部の仕組みはあるものの、穴がある状態です。特に「相談窓口の不在」または「代替ツールの未提示」がある場合、現場が判断に迷ったときの行き先や、業務で使える手段を補う必要があります。まず穴になっている項目を1つ選んで対処します。
〇が1つ以下：禁止通達だけが出ている状態か、対策自体がまだ手付かずの可能性があります。まず現場で何が使われているかを把握することから始めてください。全員に配るアンケートや、チームミーティングでの一問が起点になります。
よくある質問
Q. 個人情報を含むデータを社外のAIサービスに入力すると、必ず法律違反になりますか？
一概には言えません。個人情報保護法では、個人データを第三者に提供する場合に本人同意や適切な安全管理が求められます。生成AIサービスへの入力がこの「第三者提供」に該当するかは、サービスの利用規約・データ処理のしくみによって変わります。今回のパナソニック事案では学習機能が無効だったと事業者が回答していますが、それでも個人情報保護委員会への報告義務が生じています。使うサービスの規約を確認し、疑わしい場合は入力しないというルールが現実的な最初のステップです。
Q. 業務端末からのアクセスを遮断すれば、シャドーAIを防げますか？
端末制限だけでは不十分です。従業員が私物のスマートフォンや自宅のPCで同じ操作を続ける可能性があります。特に在宅勤務やハイブリッド勤務が定着している環境では、端末の制限と現場への説明・代替手段の提供を組み合わせる必要があります。
Q. 中小企業でもガイドラインを一から作る必要がありますか？
必ずしも一から作る必要はありません。一般社団法人日本ディープラーニング協会（JDLA）が生成AIの利用ガイドラインのひな形を無料で公開しており、これを参照しながら自社向けの最小限ルールを整備することができます。重要なのは「完璧なルール」より「現場に届くルール」です。まず最低限の禁止事項と相談先を1枚にまとめ、運用しながら更新する方が実態に合っています。
行動プラン
最初の確認（目安1時間・費用をかけずに着手）
- チームメンバー5人以内に「業務でどんなAIツールを使っているか（個人の端末含む）」を口頭またはチャットで聞いてみる
- 社内に出している生成AIのガイドラインまたは禁止通達を開いて、「個人情報の入力禁止」と「相談先の名前」が明記されているかを確認する
確認後の整備（目安1か月以内）
- 現状使われているツールを一覧にまとめ、「承認済み／要確認／禁止」の3区分で分類する。その結果を踏まえて担当者1名を「AI利用の相談窓口」として明示する
整備から3か月後に確認したい状態
「これをAIに入れていいですか」という相談が、担当者が自己判断で動く前に上がってくる状態になっている。ルール違反が発覚してから対処するのではなく、判断に迷う段階で組織内に問いが立つようになっていることが目標です。
参考文献
-
ルールに違反し外部生成AIサービスにパナソニックグループ従業員の個人情報をアップロード（ScanNetSecurity） - https://scan.netsecurity.ne.jp/article/2026/10/29/56617.html
└ インシデントの概要・対象人数の内訳・公式発表日・個人情報保護委員会への報告を確認するための一次情報として参照 -
退職者の家族の氏名も外部生成AIへ パナソニック系が個人情報約33万4000人分の送信を公表（NOVAIST） - https://novaist.jp/articles/panasonic-data-uploaded-ai/
└ 対象データの項目（氏名が含まれない点）・データ時点・被害未確認の現状を詳述した報道として参照 -
パナソニック、33万人分の個人情報を外部AIにアップロード（ASCII.jp） - https://ascii.jp/elem/000/004/445/4445539/
└ 学習機能が無効だった事実・チャット削除後30日間のデータ保持の仕組みを独立した報道として裏付けるために参照 -
シャドーAIとは？対策の鍵は「禁止」ではなく「管理」｜情シスが今日から始められる3ステップ（JBCC） - https://www.jbcc.co.jp/blog/column/shadow_ai_security.html
└ 「可視化→ルール策定→運用定着」という対策3ステップの根拠として参照（民間事業者による実務解説） -
シャドーAIとは？5つのリスクと「禁止しない」対策5ステップを解説（丸紅アイディグリオ） - https://www.marubeni-idigio.com/insight-hub/shadow-ai/
└ 禁止だけでは利用が地下化するという構造的問題・利用実態の可視化の必要性を説明した参照として掲載（民間事業者による実務解説）
著者より
今回の事案を受けて、自社のルールを点検するなら、禁止事項を伝えるだけで終わらず、「業務で何を使えるか」「迷ったときに誰へ聞くか」まで具体的に示したいと思います。今回の担当者がどのような認識で利用したかは、公表文からは分かりません。その内部事情を推測するのではなく、確認できた事実を、自社の運用を見直すきっかけにすることを勧めます。
株式会社フィノジェン 代表 角 浩太