初めまして。株式会社Jinouの三輪です。グループ会社の人材紹介の現場でAIを使っている立場から、セキュリティの話を続けて書いています。今回は、2026年10月23日に発表されたパナソニックグループの件です。
結論から言うと、今回の件はハッキングではなく、社員が会社で禁止されている生成AIに、個人情報の入ったデータを上げてしまったルール違反です。 AIの学習に使う設定はオフになっていましたが、それでも国への報告が必要な事案として扱われました。
人材紹介の会社は、求職者の経歴や年収、転職の理由まで預かっています。CAが求職者の一覧をChatGPTに貼って並び替える。これは、今回とまったく同じことです。この記事では、何が起きたのかを整理したうえで、「学習オフなら大丈夫」とは言い切れない理由と、今日やっておきたいことをまとめます。情報提供の記事なので、AI用ガイドは付けていません。
パナソニックの件で、何が起きたのか
まずは、会社の発表に書かれている事実だけを並べます。
| 項目 | 発表の内容 |
|---|---|
| 発表した会社 | パナソニック オペレーショナルエクセレンス株式会社（2026年10月23日） |
| 何が起きたか | 人事情報システムを入れるプロジェクトのメンバーが、会社で利用を禁止している外部の生成AIサービスに、個人情報を含むデータをアップロードした |
| 原因 | 外部からの不正な操作ではなく、プロジェクトメンバーのルール違反 |
| 対象 | 従業員 約7万5千人、元従業員 約17万8千人（1978〜2026年度の退職者）、その家族 約8万1千人。合わせて約33万4千人 |
| 中身 | 従業員・元従業員は社員番号・住所・電話番号・メールアドレス（氏名は含まない）。家族は、緊急連絡先としての氏名・住所・電話番号・メールアドレス |
| 国への報告 | 2026年9月29日に、個人情報保護委員会へ報告済み |
| AIの学習 | AIの学習に使う機能はオフだった（AIサービスの運営会社の回答） |
| 今の状況 | 一般に公開された事実や、不正に使われた被害は、今のところ確認されていない |
どの生成AIサービスだったのか、どんな使い方をしたのか（貼り付けたのか、何をさせようとしたのか）は、発表されていません。
ニュースでは「流出」「漏洩」とも報じられていますが、会社の発表では「アップロード」「外部送出」という言葉が使われています。
ハッキングによる個人情報の漏洩とは、何が違う？
最近は、タイムズカーの件のように、システムに入り込まれて個人情報を盗まれるニュースも続いています。今回の件は、それとは性質が違います。
| 不正アクセス（ハッキング） | 今回のパナソニックの件 | |
|---|---|---|
| 誰がやったか | 外部の、悪意のある人 | 社内の担当者 |
| 悪意 | ある | ない（ルール違反・ミス） |
| データの行き先 | 攻撃した人の手元。名簿として売られたり、詐欺に使われたりするおそれがある | AIサービスの運営会社のサーバー |
| 広がるおそれ | 大きい | 小さい（運営会社は「回答に使われることはない」と回答） |
悪意のある人の手に渡ったわけではないので、被害が広がるおそれは、ハッキングよりずっと小さいと言えます。
ただし、だから「大した話じゃない」かというと、そうではありません。会社は国に報告し、お知らせを「個人情報保護法に基づく本人への通知の代わり」として出しています。悪意がなくても、法律の上では、報告が必要な事案として扱われたということです。
「学習オフ」なら、問題なかったのでは？
正直に言うと、僕も最初は「学習がオフなら、まあ問題ないんちゃうか」と思いました。ふだんAIに話しかけている内容も、いったんはAIの会社に送られています。それと何が違うのか、と。
発表を読んで分かったのは、学習オフで防げるのは問題の一部だけだということです。
学習オフで防げること
AIの会社が次に作る新しいAIの材料に、データが使われないこと。だから、ほかの人がAIに質問したときに、そのデータが回答として出てくることはありません。 今回も、運営会社はそう回答しています。
学習オフでも、防げないこと
① データは、しばらく残る
運営会社の回答によると、利用者がデータを消しても、セキュリティと法令を守るために、消した日から30日間は運営会社の側に保存されるそうです。今回のデータが運営会社の中からもなくなるのは、10月25日以降とされています。
「学習に使われない」と「保存されない」は、別の話です。
② 会社の手が届かない場所に置かれる
会社が契約して用意したAIなら、保存期間を決めたり、管理者がデータを消したり、誰が何を入れたかを記録したりできます。
社員が勝手に使ったAIでは、会社はこのどれもできません。どこに何が残っているかを会社が確かめられず、自分たちで消すこともできない。会社が使ってよいAIを決めているのは、このためです。
③ アカウントの中に残り続ける
チャットの画面で使った場合、会話の履歴は、自分で消すまでアカウントの中に残ります。今回は、発覚した直後に担当者が履歴を消しています。もし気づかないまま、そのアカウントが乗っ取られていたら、データは丸ごと見られていたことになります。
人材紹介会社に置き換えると
人材紹介の会社が持っている情報は、住所や電話番号だけではありません。職歴、今の年収、希望の年収、転職したい理由、面談で話した本音。今回の件よりも、ずっと中身が濃い情報です。
そして、次のような使い方は、どれも今回と同じことです。
- 求職者の一覧を、まとめてChatGPTに貼って「年収の高い順に並べて」と頼む
- 履歴書のPDFを、個人のアカウントのAIに上げて要約させる
- 会社で決めていないAIのサービスに、面談の文字起こしを丸ごと渡す
悪気は、まったくないと思います。仕事を早く終わらせたいだけです。今回の担当者も、きっと同じだったはずです。だからこそ、ルールと設定で先に防いでおくことが大事です。
もう1つ、今回の件で見逃せないのが、1978年に退職した人のデータまで残っていたことです。持っているデータが多いほど、何かあったときの影響も大きくなります。求職者の情報も、要らなくなったら消す。この話は、求職者の書類の保存期間を決めて、消し忘れを防ぐ記事にまとめています。
人材紹介会社が、今日確認すること
1. AIの「学習に使う」設定を、オフにする（全員）
まずは、これです。何度でも言います。ChatGPTもClaudeも、個人のプランでも、学習に使わせない設定にできます。
- ChatGPT：設定の「データコントロール」にある「すべての人のためにモデルを改善する」をオフ
- Claude：設定の「プライバシー」にある「AIモデルの改善を支援する」をオフ
オフにしても、チャットの履歴やメモリは、そのまま使えます。使い勝手は変わらないので、オフにしない理由はほとんどありません。
気をつけたいのは、次の2つです。
- オフにする前の会話は、取り消せないことがあります。 だから、今日オフにしておきましょう
- 回答に👍👎（評価）を付けると、オフにしていても、その会話が学習に使われることがあります。 求職者の情報が入った会話では、押さないようにしましょう
※設定の名前や場所は、2026年10月時点のものです。くわしい手順と、オフにすると何が変わるのかは、求職者の情報をAIに渡すときの5つのルールの記事で説明しています。
ただし、今回の件が教えてくれたとおり、学習オフは「最低限」です。 これだけで安心、ではありません。
2. 会社で使ってよいAIを決めて、全員に伝える
「どのAIを、どの仕事に使ってよいか」を決めて、言葉にして全員に伝えましょう。決まっていないと、社員は悪気なく、自分の使い慣れたAIを使います。
できれば、会社として管理できる法人向けのプラン（ChatGPTのBusiness、ClaudeのTeamなど）にするのが理想です。最初から学習に使わない扱いになっていて、管理者がアカウントをまとめて管理できます。少人数の会社ですぐに難しければ、まずは全員の設定がオフになっているかを、一緒に画面を見て確認するところからで大丈夫です。
3. 一覧を丸ごと貼らない。要らない情報は渡さない
AIに渡す前に、「この作業に、この情報は本当に要る？」と一度考えます。
- 並び替えや集計なら、名前・電話番号・メールアドレスの列は消してから渡す
- 推薦文を作るのに、住所や生年月日は要らない
- 面談の文字起こしに、連絡先を話した部分が入っていないか確認する
渡していない情報は、AIから漏れることはありません。
4. 古いデータを消す
辞めた人、決まった人、何年も連絡のない求職者のデータが、ずっと残っていないか確認しましょう。いつ消すかを決めておくと、迷わずに済みます。
もし、個人情報をAIに入れてしまったら
「もう貼ってしまった」という場合も、慌てなくて大丈夫です。今回のパナソニックの対応が、そのまま参考になります。
1. その会話（チャットの履歴）を消す。上げたファイルも消す
2. 学習に使う設定がオンになっていなかったか確認する。オンだった場合は、すぐにオフにする
3. 会社の責任者に報告する。隠さないことが一番大事です
4. どの情報を、何人分、どのAIに入れたかを書き出す
国（個人情報保護委員会）への報告や、本人への連絡が必要かどうかは、入れた情報の中身や人数によって変わります。会社として判断に迷うときは、個人情報保護委員会の相談窓口や、弁護士などの専門家に確認してください。
よくある質問
Q. 学習オフにしていれば、個人情報をAIに入れても問題ない？
A. 問題がないとは言い切れません。学習オフで防げるのは、ほかの人への回答に使われることだけです。データは消しても一定期間（今回の運営会社は30日間）残りますし、会社が認めていないAIなら、会社は管理も削除もできません。
Q. パナソニックの件は、ハッキングによる漏洩と同じ？
A. 違います。外部からの攻撃ではなく、社内の担当者が、禁止されている生成AIにデータを上げたルール違反です。悪意のある人の手に渡ったわけではありませんが、会社は個人情報保護委員会に報告しています。
Q. ChatGPTの学習をオフにする方法は？
A. 設定の「データコントロール」にある「すべての人のためにモデルを改善する」をオフにします。個人のプランでもできます。オフにしても、履歴やメモリはそのまま使えます（2026年10月時点）。
Q. 個人情報をChatGPTに入れてしまったら、どうすればいい？
A. 会話の履歴を消し、学習の設定がオフか確認し、会社の責任者に報告します。どの情報を何人分入れたかを書き出しておくと、その後の判断がしやすくなります。国への報告が必要かどうかは、専門家に確認してください。
Q. 人材紹介会社で、AIを使うのをやめたほうがいい？
A. やめる必要はありません。学習オフの設定、使ってよいAIを決めること、要らない情報を渡さないこと。この3つを守れば、AIは安心して使えます。
この記事のまとめ
パナソニックの件は、ハッキングではなく、社員が会社で禁止された生成AIに個人情報を上げてしまったルール違反です。 学習はオフでしたが、データは消しても30日間残り、会社の手の届かない場所に置かれました。悪意がなくても、国への報告が必要な事案になります。
個人情報を扱う仕事をしているなら、ちゃんと扱う。人材紹介の会社が今日やることは、次の4つです。
1. AIの学習の設定を、全員オフにする（最低限、今日やる）
2. 会社で使ってよいAIを決めて、全員に伝える
3. 一覧を丸ごと貼らない。要らない情報は渡さない
4. 古いデータを消す
AIは、ルールの上で使えば、仕事を大きく楽にしてくれます。怖がってやめるのではなく、守るところを守って使っていきましょう。
AIを、会社として管理できる形で使いたい方へ
弊社で開発している「キャリアドCRM」は、人材紹介会社のためのCRMです。面談の内容をもとに、面談のまとめなどをAIで自動で作ります。CRMのAI機能は事業者向けの契約（API）で動かしていて、入力した内容はAIの学習には使われない形で処理しています。また、録音した音声は保存せず、文字起こしとまとめだけを残す設計にしています。
もちろん、ツールを入れれば安心、というわけではありません。この記事の4つは、どんなツールを使っていても大事なことです。
出典（2026年10月24日に確認）
三輪 晨平
三輪 晨平
三輪 晨平