■3行でわかる
- 禁止された外部生成AIに約33万人分を送出
- 対象には従業員や元従業員の家族も含まれる
- データは10月25日以降に完全削除の予定
■パナソニックHDで約33万人分の情報が外部AIへ
パナソニックホールディングスは10月23日、グループ従業員や家族など約33万人分の個人情報が、社内で利用禁止としていた外部生成AIサービスに送られたと発表した。人事情報システムを導入するプロジェクトのメンバーが、9月下旬にデータをアップロードした。原因は不正アクセスではなく、社内ルールに反した操作だった。
■現役従業員から退職者の家族まで対象に
内訳は、現役従業員が約7万5000人分、その緊急連絡先として登録された家族が約5万5000人分。1978年以降に退職した元従業員は約17万8000人分、2016年以降に退職した従業員の家族は約2万6000人分にのぼる。
■住所や連絡先に社員番号も含まれていた
送られた情報には、住所、電話番号、メールアドレス、社員番号が含まれていた。従業員本人だけでなく、緊急連絡先として登録された家族や、すでに退職した人に関するデータも対象となった。
■会社は窓口を設置し、個人情報保護委員会へ報告
アップロードした従業員は、発覚後に生成AIのチャット履歴とパソコン内のデータを削除した。会社は9月29日に個人情報保護委員会へ報告し、専用の問い合わせ窓口を設けた。
■公開や不正利用は起きていないと会社は説明
会社は、個人情報が公開されたり不正利用されたりした事実はないとしている。利用されたサービスでは、データを学習に使う機能が無効になっており、他の利用者への回答に情報が使われることもないという。データは10月25日以降に完全削除される予定だ。
■まとめ
利用禁止のルールだけでなく、個人情報を外部サービスに送らせない仕組みづくりが問われる事案だ。
今回の核心は、生成AIを禁止するかどうかだけではない。個人の判断ひとつで人事情報を外部サービスに送れてしまうなら、規則だけでは守りきれない。利用ルールの周知に加え、必要なデータだけを扱う設計や、送出を止める仕組みを整えるべきだ。便利さを現場に渡すなら、止める仕組みも同じだけ用意する。ルールは、守らせる仕組みと一体で初めて機能する。
約33万人分という規模は、個人情報の扱いを軽く見られないと改めて感じるンゴ。
家族や退職者まで含まれると、影響の範囲が本人だけで終わらんのが重いわ。
不正アクセスではなく社内ルール違反が原因なら、現場の手順にも対策が要るやろ。
住所や連絡先に社員番号までそろう情報は、取り扱いを厳しくするのが当然やで。
端末側のデータを消した後も、サービス側の削除予定まで管理する必要があるんやな。
学習機能が無効でも、外部AIに個人情報を入力する判断とは別の話や。ここはガチで分けて考えたい。
窓口を設けたうえで、次は同じ操作を防ぐ仕組みまで整えるのが大事やろ。