生成AIの利用を禁じても、人事データは守れるのか ― パナソニックの事案を人事システム導入の現場から考える

「社外の生成AIに、個人情報を入れてはいけない」。このルールを決めている会社は多いはずです。

では、そのルールだけで、人事データは守れるのでしょうか。パナソニックのグループ会社が公表した事案から、人事システムの導入の現場で何が起きやすいかを考えます。

人事システムの導入中に、33万人分のデータが外部AIへ

利用を禁じた外部AIに、メンバーがデータを入れた

2026年10月23日、パナソニック オペレーショナルエクセレンスは、人事情報システムの導入プロジェクトで、メンバーが社内で利用を禁止している外部の生成AIサービスに、個人情報を含むデータをアップロードしていたと公表しました。プロジェクトは、子会社のパナソニック デジタルと進めているものです。

アップロードされたのは、2026年4月時点で同システムに登録されていたデータの一部です。同社は、外部からの不正な操作ではなく、社内ルールへの違反によるものだと説明しています。

対象は在籍者だけでなく、退職者と家族にも及んだ

対象は4つの区分に分かれます。従業員約7万5千人と、1978年から2026年度までに退職した元従業員（事業譲渡先へ転籍した人を含む）約17万8千人については、社員番号・住所・電話番号・メールアドレスが含まれ、氏名は含まれていません。

一方、従業員の家族約5万5千人と、2016年以降に退職した元従業員の家族約2万6千人については、緊急連絡先として登録された氏名・住所・電話番号・メールアドレスが含まれていました。

4区分を合わせると約33万4千人で、そのうち在籍している従業員は約7万5千人です。

残りの約26万人は、元従業員と、従業員・元従業員の家族でした。今回の事案からは、会社が日々やり取りしない人の情報も、人事システムに長く残っている場合があることが分かります。

※画像はクリックで拡大できます

公表の内容は、区分ごとに具体的だった

この公表は、対象を区分ごとに分け、人数と項目、氏名の有無まで書き分けています。

発覚の直後に、メンバーは生成AIのチャット履歴と、業務で使ったパソコン内の対象データを削除しました。そのうえで、使ったサービスの事業者に確認した内容として、データが学習に使われる設定は無効だったこと、削除後30日間は事業者のもとに保持され、10月25日以降は保持されないことも説明しました。

あわせて、9月29日に個人情報保護委員会へ報告し、元従業員と家族向けの問い合わせ窓口を設けています。現時点で、不正利用などによる具体的な被害は確認されていないとしています。

同社は、この公表を、個人情報保護法に基づく本人への通知に代える措置と位置づけています。

同じ立場に置かれたとき、何をどこまで知らせるかを考える手がかりになる公表です。

では、利用を禁じていたのに、なぜデータは外部に渡ったのでしょうか。

原因は公表されていない。だから作業の場面から考える

公表されているのは「ルール違反」まで

アップロードした日時、使ったサービスの名前、目的、発覚した経緯は公表されていません。

そのため、この記事では原因を推測しません。代わりに、人事システムの導入という場面に、どんな作業があるかを見ていきます。

人事システムの導入では、実データを何度も扱う

一般的に、人事システムの導入では、実データを扱う作業が多くあります。

旧システムからのデータ移行、新旧の項目の対応づけ、テスト、移行後の突き合わせ。数十万件のデータを、本番の切り替えの期限に向けて、何度も扱います。

項目の形式をそろえる、表記の揺れを直す、件数の合わない理由を探す。こうした作業は手間がかかり、しかも期限があります。

生成AIに手伝ってもらえば早く終わりそうだ、と考えたくなる作業が続くのです。

退職者や家族のデータも、移行の対象になる

今回、1978年からの退職者のデータが登録されていました。人事システムには、法律で保存が求められている記録や、退職後の問い合わせへの対応に使う情報など、退職後も残るデータがあります。

システムを入れ替える際には、こうした過去のデータも、移行するかどうかを決める対象になります。

では、ルールで禁じていても、現場の作業でデータが外に出てしまうのはなぜでしょうか。

禁じることと防げることの間には、隔たりがある

「ルールで禁じること」と「実際に防げること」の間には、大きな隔たりがあります。禁止のルールは、守るかどうかを一人ひとりの判断に任せているからです。

人事システムの導入では、移行やテストのために大量の実データを扱う作業が続きます。一般に、外部のサービスにデータを送ることがシステム上できてしまうのなら、データを守れるかどうかは、作業する人の判断ひとつにかかります。

この隔たりを埋めるには、ルールを守ったまま作業を進められる環境と、ルールを破ろうとしても破れない仕組みを、会社の側で整える必要があります。

法律の面では、個人情報保護委員会が2023年6月、生成AIに個人情報を含む指示文を入力する前に、利用目的の達成に必要な範囲内かを十分に確認するよう求めています。

本人の同意なく入力した個人データが、応答の出力以外の目的で扱われる場合には、法の規定に違反する可能性があるとして、学習に使われないことなどの確認も求めています。

具体的には、次の4つを整えます。

※画像はクリックで拡大できます

代替手段：ルールを守ったまま使える社内の環境があるか

一つめは、社内で使える生成AIの環境です。環境があるだけでは足りず、大きなファイルを読み込める、表のデータを扱えるなど、その作業に必要な機能がそろっているかが問われます。

社内の環境ではできない作業があれば、外部のサービスに手が伸びやすくなります。

テストデータ：実データの代わりに使えるデータがあるか

二つめは、テストや移行の作業で、実データの代わりに使えるデータです。氏名や住所を置き換えた匿名化データや、形式だけをまねたダミーデータを、プロジェクトの最初に用意しておけば、実データに触れる場面を減らせます。

実データを使うしかない作業は、担当者・作業環境・期間を限っておきます。

技術的統制：外部への送信をシステムで止められるか

三つめは、システムの側で送信を止める仕組みです。教育やルールは、最後は人の判断に頼ります。

外部の生成AIのサイトへの接続を制限するWebフィルタリングや、社外へのデータの持ち出しを検知して止めるDLP（情報の持ち出しを止める仕組み）を使えば、人の判断に頼らずに送信を止められます。

適用範囲：子会社や委託先にも同じルールが届いているか

四つめは、ルールが届く範囲です。

人事システムの導入には、子会社や委託先など、所属の違うメンバーが集まります。誰のルールが適用されるのかを、契約や誓約書で最初に取り決めておくことが、ほかの3つの前提になります。

では、人事の側は、どこから手をつけられるでしょうか。

筆者の考え：導入計画に、データの扱い方を最初から入れる

以前の記事（人事方針を変えるとき、どこまで変えればいいのか ― システム開発に学ぶ、方針と仕組みを一体で見直す方法）では、方針を変えたら、手順やシステムまで一体で見直す必要があることを整理しました。

データのルールも同じです。ルールを決める部署と、作業を進める部署が別々だと、禁じることと防げることの隔たりは大きくなりやすくなります。

人事システムの導入計画を立てるとき、スケジュールや要件と同じ重さで、データの扱い方を計画に入れてみてはいかがでしょうか。

どの作業で実データを使うのか、どこで扱うのか、何を使って作業するのか。これをプロジェクトの最初に決めておけば、作業する人がその場で迷う場面は減らせます。

もう一つ、今回の事案は、退職者や家族のデータをどこまで、いつまで持ち続けるのかを見直すきっかけにもなると思います。

退職者のデータには、法律で保存が求められているものがあります。労働基準法第109条は、労働者名簿や賃金台帳など労働関係の重要な記録を5年間（経過措置により当分の間は3年間）保存するよう定めています。労働者名簿の場合、期間は退職した日などから数えます。

一方で、個人情報保護法第22条は、利用する必要がなくなった個人データを、遅滞なく消去するよう努めることを求めています。

法律で残すべき記録と期間、業務で使い続ける理由と期間を書き出し、それを過ぎたデータの扱いを決めておく。持っていないデータは、外に出ることもありません。参考にしてもらえる場面があれば幸いです。

【セルフチェック】人事データを守るための6項目

この記事の考え方を、自社の人事システムやデータの扱いに当てはめてみるためのチェックリストです。正解を出すためのものではなく、立ち止まって考えるためのもの。気になった項目だけ拾ってもかまいません。各項目に、考えるときの手がかりを一言ずつ添えました。

• ルールを守ったまま作業できる社内の環境があるか大きなデータを扱う作業に足りる機能か
• テストや移行で、匿名化したデータを使えるかプロジェクトの開始時に用意する
• 実データを扱う作業の、担当者・作業環境・期間を限っているか作業ごとに決める
• 外部の生成AIへの送信を、システムの側で止められるかWebフィルタリング、DLP
• 子会社や委託先のメンバーにも、同じルールが届いているか契約や誓約書
• 退職者や家族のデータを、いつまで持つかを決めているか法定の保存期間と、業務で使う理由

用語メモ

本記事に登場する専門用語をまとめました。▶ をクリックすると説明が表示されます。

出典・参考情報

※本記事は2026年10月27日時点で公表されている企業の発表と報道をもとに、一般的な情報提供を目的としてまとめたものです。事案の原因について推測するものではありません。個別の判断が必要な場合は、専門家にご相談ください。