Resumen: El 23 de octubre de 2026, una empresa del grupo Panasonic informó de que un integrante de un proyecto de sistemas de recursos humanos había subido datos personales de unas 334.000 personas a una herramienta externa de IA generativa prohibida por la empresa. El objetivo no se ha revelado.
«¿Pero los subieron ellos mismos? ¿Para analizar direcciones?»
Es la pregunta que se queda flotando. El comunicado no habla de un ciberdelincuente que irrumpió desde fuera, sino de una subida realizada por alguien que trabajaba en la implantación de un sistema de recursos humanos.[1]
Qué ocurrió y qué información había
El conjunto incluía parte de los datos registrados en abril de 2026: aproximadamente 75.000 empleados actuales, 178.000 antiguos empleados, 55.000 familiares de trabajadores actuales y 26.000 familiares de antiguos trabajadores. En total, unas 334.000 personas.
Los campos de los empleados incluían número de empleado, dirección, teléfono y correo electrónico, sin nombres. Los contactos familiares de emergencia sí incluían nombres, además de datos de contacto. Los antiguos empleados abarcaban bajas desde 1978 hasta el ejercicio fiscal de 2026.[1]
La compañía habla de subir un conjunto de datos, no de escribir 334.000 fichas a mano en un chat.
¿Analizar domicilios o preparar una migración?
No se han publicado la finalidad, las instrucciones dadas a la IA ni el nombre del proveedor. [1] Por tanto, «analizar dónde vive cada empleado» es una posibilidad imaginada, no una conclusión periodística.
En un proyecto de migración de sistemas de personal podrían ser útiles tareas como adaptar columnas, normalizar teléfonos y direcciones, preparar conversiones o comprobar coincidencias entre bases. Son ejemplos generales, no actividades confirmadas en este incidente.
Y una cosa es pedir ayuda con filas inventadas; otra muy distinta es entregar los datos reales de cientos de miles de personas. Sería como preguntar cómo ordenar un almacén enviando todo su contenido al asesor no autorizado.
¿Tener acceso significa poder exportar?
No. Poder consultar información para un proyecto legítimo no implica permiso para transmitirla a un servicio externo.
La compañía calificó el acto como una infracción de sus normas, pero no explicó en detalle qué barreras técnicas existían. Eso abre preguntas concretas: ¿cómo se limita la extracción masiva?, ¿se bloquean destinos no autorizados?, ¿hay herramientas aprobadas y datos de prueba seguros?[1]
No es necesario inventar una respuesta para ver que el diseño de los controles merece una revisión.
¿Los datos se publicaron en internet?
La empresa informó a la autoridad japonesa de protección de datos el 29 de septiembre. Tras descubrir el problema se borraron el historial del chat y los archivos pertinentes del equipo de trabajo. El proveedor afirmó que el uso de los datos para entrenar modelos estaba desactivado. También indicó un periodo de retención de 30 días tras el borrado, que terminaría después del 25 de octubre.[1]
A 24 de octubre de 2026 no se habían confirmado publicaciones abiertas ni usos indebidos concretos. La empresa indicó que las personas afectadas no tenían medidas que adoptar por el momento. Transmitir datos a un tercero, entrenar con ellos y hacerlos públicos son situaciones distintas.
Entonces, ¿qué le pidieron exactamente a la IA?
No se sabe públicamente. Quizá ordenaban datos, quizá preparaban una migración, quizá era otra tarea.
La ironía es que la IA no salió a buscar los datos de 334.000 personas: alguien del proyecto se los llevó a un servicio que la empresa había prohibido.
«Échale un vistazo rápido a esto». Cuando «esto» abarca a una población entera, lo de rápido deja de sonar tan inocente.
- [1] Comunicado oficial de Panasonic, 23-10-2026: https://holdings.panasonic/jp/information/topics/20261023.html
- [2] ITmedia NEWS, 23-10-2026: https://www.itmedia.co.jp/news/article/2610/23/2000002562/
