33万人分の個人情報が生成AIに誤送出、「学習オフだから安全」で終わらせない

「33万人分の個人情報が、禁止されていたはずの外部AIにアップロードされた」というニュースを見て、自分も生成AIを日常的に使っているだけに、他人事ではないと感じた人もいるはずだ。

でもこの記事で確かめたいのは、「学習に使われないから大丈夫」で本当に安心していいのかということだ。

この記事の結論

• パナソニックグループの人事システム導入プロジェクトで、約33万4000人分の個人情報が、禁止されていた外部生成AIサービスに誤ってアップロードされていたことが分かった
• AIの学習機能はオフで他の利用者への回答流出リスクは低いとされるが、データは30日間保持され、10月25日以降に削除予定とされている
• 「学習オフだから安全」で終わらせず、生成AIに情報を入れる前に何を確認すべきかを、自分の仕事にも当てはめて考える価値がある

パナソニックグループで何が起きたのか

パナソニックホールディングス傘下のグループ会社で、人事システム導入プロジェクトの中、約33万4000人分の個人情報が、利用が禁止されていた外部の生成AIサービスにアップロードされていたことが分かった。

対象は国内の現役従業員7万5000人に加え、1978年から2026年度までの元従業員17万8000人とその家族。社員番号・住所・電話番号・メールアドレスなどが含まれ、家族分については氏名も含まれていたという。AIの学習設定はオフになっており、他の利用者への流出の心配はないとされているが、データは30日間保持される仕様で、10月25日以降に削除予定とされている。

「流出」ではなく「送出」という言葉の論点

このニュースに対し、SNSでは「学習に利用する機能が無効になっていたため、他の利用者が関連する質問をしても流出したデータが回答に使われることはない。だから漏洩ではなく『送出』なんだな」と、言葉の使い分けに注目する投稿があった。

一方で「個人情報が流出したわけではない（AI企業には流出したけど）のに、なぜ公表したのか」「こんなに大げさに扱う必要がある事案なのか」という、やや懐疑的な見方を示す投稿者もいた。

生成AIに情報を入れるときに整理しておきたいこと

ある投稿者は「法人契約の学習機能が無いものでも、生成AIに外部のMCPやAPI、コネクタを接続していれば、接続先サーバーが不正アクセスを受けている可能性がある」としたうえで、「大事な情報を生成AIにアップロードする際は、外部接続を切ったローカルLLMで使用するのが望ましい」と指摘していた。

「学習オフだから大丈夫」で思考を止めず、データがどこに、どれくらいの期間置かれるのかまで意識する癖をつけたい。

Xで見えた反応

ある投稿者は「人事部の案件か。過去の面接参加者とかは大丈夫なのか」と、対象範囲への懸念を口にしていた。

別の投稿者は「AIを起因とした大きな間違いが行政でも続発する」とし、人がルールを守り切れない以上、技術的な制御と教育の両方が必要だと指摘していた。

また別の投稿では、同じ時期に判明した日経BPの個人情報漏洩（約80万件規模）にも触れ、「今年は漏洩のニュースが続いている」という指摘もあった。パナソニックの件とは別のインシデントだが、似たようなニュースが相次いでいる実感を持つ人は多いようだ。

今日からできること

自分の会社や自分自身が生成AIを使うとき、同じことが起きないとは言い切れない。今日できることとして、普段使っているAIサービスの「学習に利用するか」の設定を一度確認してみてほしい。

そのうえで、顧客情報や個人情報など、万が一外部に出ては困るデータについては、「学習オフだから」ではなく「そもそも入力する前提を見直す」くらいの慎重さを持っておきたい。

まとめ

• パナソニックグループで約33万4000人分の個人情報が、禁止されていた外部生成AIに誤ってアップロードされていたことが分かった
• 学習機能はオフで流出リスクは低いとされるが、データは30日間保持されたうえで削除予定とされている
• 法人契約・学習オフでも、外部API接続や保持期間など、確認すべき点は複数ある
• 「学習オフだから安全」で終わらせず、機密情報を入力する前提そのものを見直す価値がある

便利さと引き換えに、どこまでの情報を預けるか。生成AIを日常的に使う人ほど、一度立ち止まって考えておきたいテーマだと思う。

この記事についての感想や、実際に職場で意識しているAI利用ルールがあれば、ぜひお気軽にコメントで聞かせてください。