Kurzfassung: Am 23. Oktober 2026 teilte ein Unternehmen der Panasonic-Gruppe mit, dass ein Mitglied eines Personalsoftware-Projekts personenbezogene Daten von rund 334.000 Menschen bei einem externen generativen KI-Dienst hochgeladen hatte, dessen Nutzung intern verboten war. Der Zweck ist öffentlich nicht bekannt.
„Moment mal – jemand hat die Daten selbst hochgeladen? Wollte man Wohnadressen analysieren?“
Genau diese Frage drängt sich auf. Laut Mitteilung war es kein Angriff von außen. Ein Mitglied des Projekts zur Einführung eines Personalinformationssystems übertrug Daten entgegen den internen Regeln an einen externen Dienst.[1]
Was ist über die Daten bekannt?
Die hochgeladenen Angaben stammten aus einem Teil der im April 2026 registrierten Personalinformationen. Betroffen waren etwa 75.000 derzeitige Beschäftigte, 178.000 ehemalige Beschäftigte, 55.000 Angehörige derzeitiger Beschäftigter und 26.000 Angehörige früherer Beschäftigter. Zusammen rund 334.000 Menschen.
Bei Beschäftigten und Ehemaligen waren Personalnummern, Anschriften, Telefonnummern und E-Mail-Adressen enthalten, aber keine Namen. Bei Familienmitgliedern, die als Notfallkontakt angegeben waren, gehörten Namen und Kontaktdaten dazu. Die ehemaligen Beschäftigten waren zwischen 1978 und dem Geschäftsjahr 2026 ausgeschieden.[1]
Aus dem Wort „hochgeladen“ folgt nicht, dass jemand jeden einzelnen Datensatz händisch in einen Chat geschrieben hat.
Adressanalyse oder Datenbereinigung?
Weder Zweck noch Eingabetext noch Name des KI-Anbieters wurden veröffentlicht. [1] Eine angebliche Analyse der Wohnorte ist damit eine Vermutung, keine gesicherte Nachricht.
Bei der Einführung neuer Personalsoftware müssen manchmal Datenfelder einander zugeordnet, Adress- und Telefonnummernformate vereinheitlicht, Umwandlungsregeln erstellt und Datensätze nach einem Umzug abgeglichen werden. Das sind denkbare Arbeitsabläufe, aber keine bestätigten Einzelheiten dieses Falls.
Für eine Frage zur Tabellenbereinigung würden möglicherweise erfundene Beispieldaten reichen. Wer Hilfe beim Sortieren von Lagerregalen braucht, muss schließlich nicht das ganze Lager an einen nicht genehmigten Berater schicken.
Zugriff heißt nicht Weitergaberecht
Für ein legitimes Projekt auf Personalakten zugreifen zu dürfen bedeutet nicht, die Daten an einen externen KI-Dienst übertragen zu dürfen.
Das Unternehmen bezeichnet den Upload als Regelverstoß, erläutert aber nicht im Detail, welche technischen Schutzmaßnahmen damals vorhanden waren.[1] Deshalb sind Fragen nach der Kontrolle großer Datenexporte, Sperren für nicht zugelassene Dienste und sicheren Testdatensätzen wichtig. Über konkrete interne Fehler kann man ohne Belege nicht urteilen.
Sind die Daten nun öffentlich?
Panasonic meldete den Vorfall am 29. September an Japans Datenschutzbehörde. Nach Entdeckung wurden der Chatverlauf und die betreffenden Daten auf dem Arbeitsrechner gelöscht. Der KI-Anbieter erklärte, dass die Nutzung der Eingaben zum Modelltraining beim Upload ausgeschaltet war. Gelöschte Daten würden für Sicherheits- und Compliance-Zwecke 30 Tage aufbewahrt; die Aufbewahrung solle nach dem 25. Oktober enden.[1]
Stand 24. Oktober 2026 waren weder eine öffentliche Verbreitung noch konkreter Missbrauch bestätigt. Laut Mitteilung müssen betroffene Personen derzeit nichts veranlassen. Eine externe Übermittlung, ein Modelltraining und eine öffentliche Veröffentlichung sind unterschiedliche Vorgänge.
Was hat die Person also gefragt?
Das bleibt offen. Es könnte um eine Systemumstellung, Datenbereinigung oder eine ganz andere Aufgabe gegangen sein.
Die Pointe ist bitter: Nicht die KI hat sich auf die Suche nach den Daten von 334.000 Menschen gemacht. Die Daten wurden ihr im Rahmen eines internen Projekts gebracht – obwohl der Dienst verboten war.
„Kannst du mal kurz auf diese Tabelle schauen?“ Bei Hunderttausenden Betroffenen ist „kurz“ plötzlich ein ziemlich großes Wort.
Quellen (2)
- [1] Offizielle Mitteilung von Panasonic, 23.10.2026: https://holdings.panasonic/jp/information/topics/20261023.html
- [2] ITmedia NEWS, 23.10.2026: https://www.itmedia.co.jp/news/article/2610/23/2000002562/
