生成AIに社内データを誤アップロードしたら 削除・社内報告・保持期間の確認
パナソニック オペレーショナルエクセレンスは2026年10月23日、社内で利用禁止としていた外部生成AIへ、人事情報システムの個人情報を含むデータの一部がプロジェクトメンバーによりアップロードされたと公表しました。同社の説明では、これは外部からの不正操作ではなく社内ルール違反で、チャット履歴と業務PC上のファイルを削除し、サービス事業者の保持条件も確認しています。誤入力に気づいた人は、まず追加送信を止め、利用サービス・アカウント・日時・データの種類を記録して社内の情報セキュリティ／個人情報担当へすぐ連絡します。チャット画面から消す操作と事業者側の保持が同じとは限らず、本人通知や個人情報保護委員会への報告要否は事実に応じて事業者側の担当者が判断します。なおPanasonicの告知は対象者に必要な対応はないと明記しており、一般向けの手順を同社対象者へ追加対応として求めるものではありません。
- 業務で生成AIを使う従業員
- 個人情報・情報セキュリティの管理担当者
- 中小企業の経営者・現場責任者
誤送信後は隠さず、追加送信を止めて社内窓口へ共有します。画面削除だけで事業者側の保持まで終わったとは限りません。
身近な事例を知る
社内資料を、利用禁止の生成AIへ貼り付けてしまった
仕事を急いでいて、顧客情報や社内ファイルの一部を個人アカウントの生成AIへ送信してしまいました。すぐチャットを削除すればよいのか、上司に言うべきか迷っています。
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- 追加送信を止め、サービス・アカウント・日時・データ範囲を記録して社内窓口へすぐ報告する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
まず同じ情報の追加送信・共有を止め、何をどのサービス・アカウントへいつ送ったかを記録し、上司や情報セキュリティ・個人情報保護担当へ速やかに伝えます。画面の削除機能は案内に従って使っても、削除完了を事業者側の即時消去と同一視しません。法的な報告・本人通知の要否は、情報の種類や影響を踏まえて組織の責任者が判断します。
確認ポイント
誤入力は外部攻撃でなくても事故対応の対象
Panasonicの公表事例は、利用禁止の外部生成AIへ従業員データ等を含むファイルをプロジェクトメンバーがアップロードしたもので、同社は外部からの不正操作ではないと説明しています。
画面上の削除とサービス側の保持期間は別
同社は、チャット履歴と業務PC上のデータを削除した一方、サービス事業者の回答として、削除後もセキュリティ・法令順守目的で30日保持される説明を掲載しています。告知時点で10月25日以降に保持されなくなる予定と記載されており、10月24日現在すでに期間経過済みとは表現しません。
学習利用オフでも入力自体は起きている
Panasonicは当該サービスのAI学習利用機能が無効だったため、他利用者への回答に使われないとの事業者回答を受けたと説明しています。これは社内利用禁止ルール違反やサービス側保持がなかったことを意味しません。
公表文は対象者への対応不要を明記
同社は告知を本人通知の代替として公表し、対象者が対応すべき事項はないと説明しています。一般的な誤送信手順を、Panasonicの対象者へ別途必要な作業として案内しないよう区別します。
法定報告や本人通知はケース別に判断
個人情報保護委員会の通則ガイドラインは、報告対象となる漏えい等について速報・確報や本人通知を扱います。一般社員が独断で該当性を確定するのではなく、組織の個人情報保護担当が情報の種類・件数・影響等を確認します。
現時点での見立て
誤入力をした本人はサービス、アカウント、日時、情報の種類、対象者、削除操作の有無を記録し、社内の定められた窓口へ速やかに報告します。保持・委員会報告・本人通知は、担当者が一次情報と個別事情に基づいて判断します。
安全な対処方法
安心につながる行動
- 誤送信に気づいた時点で同じ会話への追加送信・共有を止める影響を広げないための初動になります。
- サービス名、利用アカウント、送信日時、データの種類・対象、ファイル名、削除操作の有無を記録し、社内窓口へ速やかに伝える組織がサービス条件と対象範囲を確認し、必要な封じ込め・報告判断をできます。
- 削除機能は社内責任者の指示に沿って実施し、画面から消えたことと事業者側の保持・ログ削除を分けて確認するサービスごとに保持や削除の扱いが異なるためです。
- 個人情報を含む可能性がある場合、社内の個人情報保護担当が個人情報保護委員会の最新ガイドラインとサービス事業者の条件を確認する報告・本人通知の必要性はデータや事実関係によって異なり、事業者側の判断が必要です。
- 対象者向けの公式連絡がある場合は、その連絡に書かれた案内と窓口に従う個別の事故対応を一般論と混同せず、対象者に求められた手順だけを行えます。
避けたい行動
- 履歴を消したから問題は解決したと判断し、報告しないサービス側で削除後も一定期間保持する場合があります。
- 個人アカウントから同じデータを別のAIサービスへ送り直して削除を試す追加の外部送信となり、対象範囲を広げます。
- 漏えい件数・法定報告義務・本人への説明内容を担当部署に相談せず自分で断定する法令上の扱いは情報の性質や事案の経緯を踏まえた個別判断が必要です。
- Panasonicの対象者に、同社が不要と案内した独自の削除・問い合わせ対応を一律に求める同社の告知は対象者に対応事項はないと明記しています。
AIの前向きな活用
誤入力時の連絡先と記録項目を先に決める
生成AIの利用ルールに、誤送信を報告する窓口、記録する項目、削除や事業者問い合わせの判断者を明記しておけば、本人が隠したり独断で後処理したりする時間を減らせます。
- 各サービスの削除・保持条件を一覧化する
- 社内ヘルプデスクから情報保護担当への連絡経路を用意する
- 誤送信時に日時・アカウント・データ種別を記録する様式を作る
今回、覚えておきたいこと
生成AIへの誤入力は追加送信を止めて記録・社内報告し、画面削除と事業者側の保持を分けて確認する。
情報源
- 外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ（外部リンク） パナソニック オペレーショナルエクセレンス株式会社 公式発表
- 個人情報の保護に関する法律についてのガイドライン（通則編）（外部リンク） 個人情報保護委員会 その他
誠主任からひとこと