Panasonic : des données RH envoyées à une IA externe non autorisée
Un membre de projet a téléversé des données de salariés et de leurs familles sur un service d'IA générative interdit en interne, selon l'entreprise.
Panasonic Operational Excellence a annoncé le 23 octobre que des données personnelles concernant des salariés, d'anciens salariés et leurs familles ont été téléversées sur un service d'IA générative externe dont l'usage est interdit en interne. L'entreprise précise qu'aucune divulgation publique de ces données ni aucun dommage concret lié à un usage détourné n'a été confirmé à ce stade.
Les faits se sont produits dans le cadre d'un projet d'introduction d'un système d'information RH mené par la société et sa filiale Panasonic Digital. Un membre du projet a enfreint les règles internes en téléversant une partie des données enregistrées dans le système au 1er avril 2026. Le téléversement ne résulte pas d'un accès externe non autorisé.
Les personnes concernées comprennent environ 75 000 salariés des entreprises utilisant le système RH commun du groupe Panasonic au Japon, ainsi qu'environ 178 000 anciens salariés partis entre 1978 et l'exercice 2026. S'y ajoutent environ 55 000 membres de la famille de salariés et environ 26 000 membres de la famille d'anciens salariés, ces derniers étant limités aux familles de personnes parties depuis 2016.
Les données des salariés et anciens salariés téléversées comprenaient des numéros d'employé, des adresses, des numéros de téléphone et des adresses e-mail, mais pas de noms. Celles des familles incluaient noms, adresses, numéros de téléphone et adresses e-mail. Après avoir découvert le problème, l'auteur du téléversement a supprimé l'historique de conversation et les données stockées sur son PC professionnel.
L'entreprise a signalé l'affaire à la Commission de protection des informations personnelles le 29 septembre. L'opérateur du service d'IA a indiqué que la fonction d'entraînement était désactivée au moment du téléversement et que les données ne seraient pas utilisées dans les réponses aux autres utilisateurs. Il conserve toutefois les données supprimées pendant 30 jours pour des raisons de sécurité et de conformité légale ; les données téléversées ne resteront plus chez l'opérateur après la fin de cette période, le 25 octobre.
L'annonce tient lieu de mesure alternative à la notification individuelle prévue par la loi sur la protection des informations personnelles ; les personnes concernées n'ont aucune démarche à effectuer pour l'instant. Un formulaire de contact et un point de contact dédié ont été mis en place pour les anciens salariés et leurs familles.
En bref
Quelles données ont été téléversées sur le service d'IA ?
Pour les salariés et anciens salariés : numéros d'employé, adresses, numéros de téléphone et adresses e-mail, sans noms. Pour les familles : noms, adresses, numéros de téléphone et adresses e-mail.
Les données restent-elles chez l'opérateur du service d'IA ?
L'opérateur conserve les données supprimées pendant 30 jours pour des raisons de sécurité et de conformité légale ; elles ne resteront plus chez lui après le 25 octobre.
Les personnes concernées doivent-elles faire une démarche ?
Non. L'annonce est une mesure alternative à la notification individuelle et aucune action n'est requise à ce stade.