Panasonic Operational Excellence, une société du groupe Panasonic Holdings, a annoncé le 23 octobre 2026 qu’un membre de l’un de ses projets avait téléversé des données sur environ 334 000 personnes au Japon dans un service externe d’IA générative dont elle interdit l’usage. L’entreprise, installée à Kadoma, dans la préfecture d’Osaka, mène ce projet de déploiement d’un système d’information RH avec sa filiale Panasonic Digital. L’avis d’excuses, publié sur le site de Panasonic Holdings, s’adresse aux salariés et anciens salariés du groupe Panasonic, ainsi qu’à leurs familles.
Les données comprenaient des matricules, des adresses postales et électroniques et des numéros de téléphone, ainsi que les noms de proches inscrits comme contacts d’urgence. Panasonic écarte toute intrusion venue de l’extérieur et parle d’une infraction aux règles internes. L’entreprise a signalé l’affaire au régulateur japonais des données personnelles le 29 septembre. Selon le fournisseur du service, dont Panasonic ne donne pas le nom, une copie des données effacées reste conservée jusqu’au 25 octobre.
L’avis est paru le jour où la radio publique suédoise révélait que le gouvernement suédois allait bloquer deux assistants d’IA grand public sur les ordinateurs de ses agents, pour orienter son personnel vers des outils approuvés.
Quatre groupes de personnes, des noms pour les seuls proches
Les données viennent du système d’information RH commun aux sociétés du groupe Panasonic au Japon qui l’utilisent. L’envoi portait sur une partie des informations que contenait ce système en avril 2026.
L’avis distingue quatre groupes, en chiffres arrondis : 75 000 salariés ; 178 000 anciens salariés partis entre 1978 et l’exercice 2026, y compris des personnes transférées chez les repreneurs d’activités cédées ; 55 000 proches de salariés ; 26 000 proches d’anciens salariés, pour les seuls départs depuis 2016. ITmedia NEWS, qui a repris l’avis le 23 octobre au soir, heure japonaise, en fait la somme : environ 334 000 personnes.
Pour les salariés et les anciens salariés, les données comprenaient le matricule, l’adresse, le numéro de téléphone et l’adresse e-mail, sans le nom. Pour les proches, il s’agit du nom, de l’adresse, du téléphone et de l’e-mail du membre de la famille inscrit comme contact d’urgence, quand le salarié en avait enregistré un.
Un signalement au régulateur le 29 septembre
L’avis ne donne pas la date de l’envoi. Le quotidien économique Nikkei la situe « fin septembre ». Selon l’avis, juste après la découverte des faits, le membre du projet a supprimé l’historique de conversation dans le service d’IA ainsi que les données stockées sur l’ordinateur utilisé pour ce travail.
Panasonic Operational Excellence a signalé l’affaire le 29 septembre 2026 à la Commission de protection des informations personnelles (PPC), l’autorité de contrôle japonaise. L’avis public a suivi 24 jours plus tard. Panasonic le présente comme une mesure de substitution à la notification individuelle prévue par la loi japonaise sur la protection des informations personnelles, et précise que les personnes concernées n’ont aucune démarche à faire. Un formulaire et un numéro gratuit sont ouverts aux anciens salariés et à leurs familles.
La réponse du fournisseur d’IA
Panasonic dit avoir interrogé l’exploitant du service. Selon la réponse citée par Panasonic, la fonction qui permet d’utiliser les données pour entraîner l’IA était désactivée au moment de l’envoi. Le fournisseur en déduit que les données ne serviront pas à répondre à d’autres utilisateurs, même s’ils posent des questions sur le même sujet. La plupart des assistants grand public proposent un tel réglage, avec des effets qui varient selon l’outil et le type de compte, comme le détaille ce relevé des réglages qui désactivent l’entraînement, outil par outil.
Selon la même réponse, le fournisseur garde pendant 30 jours, à compter de leur suppression, les données qu’un utilisateur efface, pour des raisons de sécurité et de conformité réglementaire. Il assure qu’elles restent soumises à un contrôle d’accès strict et ne sont consultées que pour des audits ou des demandes de ce type. La copie effacée juste après la découverte ne sera plus conservée à partir du 25 octobre, une fois ce délai écoulé. Ce décompte situe la suppression autour du 25 septembre, une date que l’avis ne mentionne pas.
Selon Panasonic, son enquête et ces réponses n’ont permis de constater à ce jour aucune publication des données ni aucun dommage concret lié à un usage abusif. L’entreprise affirme aussi que les données ne seront pas réutilisées et promet de faire connaître rapidement tout fait nouveau. Elle annonce une révision de ses règles de traitement des données personnelles et de l’encadrement de l’usage des services d’IA générative, ainsi qu’une formation et une sensibilisation renforcées en interne.
Une consigne écrite dès 2023
Le 14 avril 2023, Panasonic Holdings a ouvert à environ 90 000 salariés au Japon un assistant d’IA générative interne, PX-GPT, accessible depuis l’intranet. Le communiqué de lancement annonçait des règles d’usage et un rappel adressé à tous les salariés : ne pas y saisir, par exemple, d’informations internes, de secrets d’affaires ou de données personnelles.
L’avis du 23 octobre ne mentionne pas cet outil interne et n’explique pas pourquoi un service externe a été utilisé dans le projet RH.
Les zones d’ombre de l’avis
L’avis ne nomme pas le service d’IA, ne date pas l’envoi et ne dit pas comment l’affaire a été découverte. Il ne précise pas ce que le membre du projet voulait faire de ces données, ni si une sanction a été prise. Il parle d’un « membre du projet » ; ITmedia et le Nikkei écrivent qu’il s’agit d’un salarié.
Les garanties sur l’entraînement et la conservation viennent du fournisseur, et Panasonic les relaie. Faute de connaître le service, personne ne peut les vérifier de l’extérieur. Le vocabulaire varie aussi d’une source à l’autre : Panasonic parle de « téléversement », le Nikkei titre sur des données « envoyées à l’extérieur » et évoque plus bas des « données fuitées ».
Notre analyse
Panasonic décrit un cas de shadow AI, l’usage au travail d’un outil d’IA que l’employeur n’autorise pas, et en donne le détail : nombre de personnes, champs de données, dates du signalement et de la conservation, réponse du fournisseur. L’interdiction existait, le groupe avait ouvert un outil interne dès 2023, et les données sont parties quand même, dans un projet RH qui manipulait par nature des fichiers de personnel.
L’affaire montre aussi ce qui reste entre les mains du fournisseur une fois les données envoyées. L’effacement par l’utilisateur ne fait pas tout disparaître : selon ses propres règles, le fournisseur garde une copie 30 jours, et l’exclusion de l’entraînement tient à une fonction qui, selon lui, était désactivée avant l’envoi. Le 19 octobre, Microsoft proposait de traiter les agents IA comme des risques internes, au même titre qu’un salarié doté de trop de droits. Le cas Panasonic relève de la forme la plus classique de ce risque : une personne enfreint une règle de l’entreprise, et les données partent vers un service d’IA.
Restent à suivre la disparition annoncée de la copie à partir du 25 octobre, une éventuelle réaction de la PPC, le nom du service si Panasonic choisit de le donner et le contenu des nouvelles règles promises par l’entreprise.
Sources
- 外部生成AIサービスへの個人情報アップロードに関するお詫びとお知らせ, Panasonic Operational Excellence (site de Panasonic Holdings), 23 octobre 2026
- パナソニックHD子会社、使用禁止の生成AIに従業員約33万人分の個人情報をアップロード, ITmedia NEWS, 23 octobre 2026
- パナソニックHD、利用禁止の生成AIに従業員らの情報送出 33万人分, Nikkei, 23 octobre 2026
- AIアシスタントサービス「PX-GPT」をパナソニックグループ全社員へ拡大 国内約9万人が本格利用開始, Panasonic Holdings, 14 avril 2023
Image d’en-tête : graphique MACCUS. Données : avis de Panasonic Operational Excellence, 23 octobre 2026
