요약: 2026년 10월 23일, 파나소닉 그룹의 인사 시스템 도입 프로젝트 담당자가 사내에서 사용을 금지한 외부 생성형 AI에 개인정보가 포함된 자료를 업로드한 사실이 공개됐다. 이용 목적은 발표되지 않았다.
“아니, 누가 일부러 올린 거야? 주소 분석이라도 시키려고?”
사건을 처음 듣고 가장 궁금한 건 바로 그 부분이다. 외부 해커가 침입해 훔친 사례가 아니라, 인사 시스템 구축에 참여한 프로젝트 구성원이 금지된 외부 서비스에 자료를 전달한 사건이다. [1]
무슨 정보가 얼마나 포함됐나
공식 발표에 따르면 업로드한 자료에는 2026년 4월 당시 인사 정보 시스템에 등록된 일부 데이터가 있었다. 현직 직원 약 7만 5천 명, 퇴직자 약 17만 8천 명, 현직 직원 가족 약 5만 5천 명, 퇴직자 가족 약 2만 6천 명으로, 합계 약 33만 4천 명이다.
현직·퇴직자 자료에는 사번, 주소, 전화번호, 이메일 주소가 포함됐으며 이름은 포함되지 않았다. 그러나 비상 연락처로 등록된 가족의 이름은 포함됐다. 퇴직자 범위는 1978년부터 2026회계연도까지다. [1]
33만 명의 정보를 한 줄씩 채팅창에 입력했다는 뜻은 아니다. 발표에서 확인되는 행위는 개인정보가 들어 있는 데이터 업로드다.
주소 분석? 데이터 정리? 목적은 아직 모른다
회사는 담당자가 AI에 어떤 명령을 내렸는지, 어느 서비스였는지, 왜 자료를 올렸는지 공개하지 않았다. [1]
인사 시스템을 새로 도입할 때는 기존 데이터의 열을 새 시스템 항목에 맞추거나, 주소와 전화번호 형식을 통일하거나, 변환 코드를 만들거나, 이동 전후의 기록을 대조할 수 있다. 하지만 이는 일반적인 업무 예시이지 이번 사건의 확인된 목적이 아니다.
실제 정보가 필요하지 않은 작업이라면 가짜 예시 데이터로 물어볼 수 있다. 표를 정리해 달라고 부탁하려다 표 안의 모든 사람을 같이 넘겼다면, 작은 부탁의 크기가 갑자기 커진다.
볼 수 있는 권한과 외부로 보낼 권한은 다르다
업무상 인사 자료를 열람할 수 있다는 것과 외부 AI 업체에 보내도 된다는 것은 전혀 다른 문제다. 회사는 내부 규칙 위반이라고 설명했지만, 기술적인 반출 차단 장치가 어떤 상태였는지는 발표하지 않았다. [1]
따라서 점검할 질문은 담당자 교육에만 그치지 않는다. 대량 추출을 누가 승인했는지, 금지 서비스로의 전송을 막을 방법이 있는지, 승인된 분석 도구와 익명 예시 자료를 제공했는지도 중요하다.
창고 정리를 맡은 사람이 선반 배치도를 물어보겠다며 창고 물건 전체를 허가받지 않은 업체에 보내 버린 셈이다. 선반 사진 한 장이면 될 수도 있었는데 말이다.
인터넷에 모두 공개된 것인가
회사는 9월 29일 일본 개인정보보호위원회에 신고했다. 발각 직후 AI 채팅 기록과 업무용 PC의 대상 데이터를 삭제했으며, AI 서비스 사업자는 업로드 당시 학습 사용 기능이 꺼져 있었다고 답했다. 삭제된 자료는 보안·법령 준수를 위해 30일 동안 보관되며, 10월 25일 이후 보관이 종료될 예정이라고 설명했다. [1]
2026년 10월 24일 기준, 공개 유포나 구체적인 악용 피해는 확인되지 않았다. 그렇다고 외부 전송이 없었던 것은 아니다. 회사는 대상자에게 당장 요구하는 조치는 없다고 안내했다.
결국 AI에 무슨 부탁을 했을까
답은 공개되지 않았다. 주소 분석이었는지, 시스템 이전을 위한 정리였는지 단정할 수 없다.
더 큰 아이러니는 AI가 33만 명의 개인정보를 찾아 나선 게 아니라, 내부 업무를 수행하던 쪽에서 금지된 서비스로 자료를 들고 갔다는 것이다.
“이거 잠깐 확인해 줘.” 그런데 ‘이거’의 주인이 33만 명이면 잠깐이 아니다.
- [1] 파나소닉 오퍼레이셔널 엑설런스, 공식 발표, 2026-10-23: https://holdings.panasonic/jp/information/topics/20261023.html
- [2] ITmedia NEWS, 2026-10-23: https://www.itmedia.co.jp/news/article/2610/23/2000002562/
