規程に禁止と書いてあるのに、それでも上がった──松下の人事データ GenAI アップロード事件の 3 つの隙間
はじめに
この稿は、日本企業で生成 AI の社内ルールを作る立場の方への答えです。問いは、「規程に『外部 AI の使用は禁止』と書いてあるのに、何が止められないのか」というものです。
2026 年 10 月 23 日、松下オペレーションエクセレンス（PEX）は、人事情報システムプロジェクトに関わる社員が会社の規定に違反したと公告しました。現・元従業員およびその家族の個人情報を含むデータが、会社が明確に禁止していた外部生成 AI サービスにアップロードされていました。影響は約 33.4 万人です。本稿はその公告と、それを伝える複数の報道を材料に、3 つの隙間を整理します。
規程に書いてある禁止と、実行側の執行
公告によれば、該当社員は発覚後、生成 AI サービス上のチャット履歴と業務 PC 内の関連データを削除しました。PEX は 9 月 29 日に PPC（個人情報保護の監督機関）に報告し、公開の公告は 10 月 23 日に出ています。報告から公告まで 24 日の間隔です。
ルールは存在しました。それでもアップロードは起きました。この事件の型は、「規程は文書で、アップロードの操作は機械の動作」という組み合わせです。公告では、PEX がデータ処理ルールと AI サービスの利用規範を見直し、関係者の教育を強化するとされています。一方で執行側に埋めるべき隙間は、禁止されていた送信先が業務 PC から到達可能だった点です。規程に書くべき対策は「禁止」ではなく「到達不能」です。未承認の AI サービスへのドメイン単位ブロック、人事系データ向けの DLP ルール、承認済みサービスへのホワイトリスト。これらは個人が守る気を失っても機能する、機械側の措置です。
30 日の盲点、削除は消滅ではない
多くの読者が意外に感じるのがここです。AI サービス事業者は、アップロード当時、データを AI 学習に使う機能がオフだったため、他ユーザーへの回答には使われないと回答しています。そのうえで、安全管理と法務コンプライアンスのために、削除したデータは削除日から 30 日間保持されるとしています。削除は 9 月 25 日ごろに行われ、事業者側の保持は 10 月 25 日に期限を迎えます。
つまり「社員が削除した」時点から 30 日、データは事業者側に残り、監査的なアクセスで到達可能でした。「削除した」を事件の終点と扱う規程は、この尾を拾えません。規程に書くなら、削除日が終点ではなく、各サービスの保持ポリシーの確認と、期限の記録を残すことを手順に加える形になります。
公告で個別通知に代えた判断の 3 点
本件では、会社のウェブサイトの公告をもって、個人情報の保護に関する法律で求められる個別通知に代えています。確認が必要な点は 3 つです。
1 点目、報告から公告までの 24 日間です。期間自体を評価するものではなく、同じ事案で自分の会社が 24 日かかるか、この機に確認しておきたい点です。
2 点目、対象者の広さです。約 33.4 万人には、2026 年 10 月 23 日時点で 7.5 万人の現従業員、17.8 万人の元従業員、5.5 万人の現従業員家族、2.6 万人の元従業員家族が含まれます。元従業員は 1978 年以降の退職者を含むため、会社のイントラネットでは到達しにくい層です。公告という手段が、この層に届くのかどうかは残った問いです。
3 点目、データの種類です。現・元従業員分は氏名を含まず、番号・住所・電話番号・メールアドレスです。一方、緊急連絡先として登録された家族分は氏名を含むと公告は伝えています。被影響者である家族にとっては「番号の話」ではなく、自分の名前がどこにあるのかの話です。
公告時点では、データの外部流出や不正利用は確認されていないとされています。この点はそのまま正確に書く必要があります。
参考情報
- 松下オペレーションエクセレンス（PEX）、情報漏洩に関する公告、2026 年 10 月 23 日。同社のウェブサイトで公開されたもの。日本語の公告原文は本稿執筆時点で直接取得しておらず、本稿の数値は次の二次報道経由で確認したものである。
- ASCII.jp English Edition による記事、2026 年 10 月 26 日。日本語原文の AI 翻訳版で、30 日間の事業者側保持と、9 月 29 日の PPC への報告を確認した経路である。
- IT之家による同件報道、2026 年 10 月 26 日（中国語）。4 つの区分の人数とデータの項目を確認した経路である。
- データコンプライアンス e 站通による解説記事、2026 年 10 月末（中国語）。PPC 報告と公開の公告の 24 日間隔を整理した二次報道である。
日本語の公告原文は本稿執筆時点で直接取得していない。本稿の数値は、上記の二次報道経由の確認です。
上記の数値は、2026 年 10 月 23 日の公告時点の「途中経過」です。PPC または会社側が事実を更新した場合、更新後の情報に優先されます。