Resumo: Em 23 de outubro de 2026, uma empresa do grupo Panasonic revelou que um integrante de um projeto de sistema de RH enviou dados pessoais de cerca de 334 mil pessoas a um serviço externo de IA generativa proibido pelas regras internas. A finalidade não foi divulgada.
“Peraí: alguém de dentro subiu isso? Era para analisar endereços?”
É a dúvida mais interessante da história. Segundo o comunicado, não foi uma invasão externa: o envio ocorreu no contexto de um projeto de implantação de sistema de informações de pessoal.[1]
O que entrou nesse conjunto de dados
Os registros eram parte das informações cadastradas em abril de 2026. Foram afetados aproximadamente 75 mil funcionários atuais, 178 mil ex-funcionários, 55 mil familiares de funcionários atuais e 26 mil familiares de ex-funcionários: cerca de 334 mil pessoas.
Para funcionários e ex-funcionários, havia número funcional, endereço, telefone e e-mail, sem o nome. Já os familiares registrados como contatos de emergência tinham nome e dados de contato. Os ex-funcionários incluídos haviam saído entre 1978 e o ano fiscal de 2026.[1]
O anúncio fala em envio de dados, não em digitar centenas de milhares de cadastros um por um.
Queriam fazer análise de endereços?
A finalidade, o texto enviado à IA e o nome do serviço não foram revelados. [1] Portanto, não dá para apresentar uma brincadeira como se fosse a motivação comprovada.
Em uma migração de sistema de RH, tarefas possíveis incluem adaptar colunas, padronizar endereços e telefones, preparar rotinas de conversão e comparar registros antes e depois da mudança. São cenários de trabalho plausíveis, não fatos apurados sobre este caso.
Se a dúvida era só como organizar uma tabela, exemplos fictícios poderiam ilustrar o problema. Pedir ajuda para organizar as prateleiras e mandar o depósito inteiro ao consultor não autorizado é outra história.
Poder acessar é diferente de poder transmitir
Um integrante do projeto pode precisar consultar registros de RH. Isso não concede automaticamente autorização para enviá-los a uma empresa externa.
A Panasonic confirmou a violação de regras, mas não detalhou quais mecanismos técnicos de bloqueio existiam. Daí surgem perguntas úteis: como se controla a extração em massa? É possível bloquear serviços proibidos? Há ferramentas aprovadas e bases de teste sem dados reais?[1]
A resposta não pode se resumir a “faltou atenção” sem avaliar o desenho do processo.
Os dados ficaram públicos?
A companhia comunicou o caso à autoridade japonesa em 29 de setembro. Após a descoberta, foram apagados o histórico da conversa e os dados relevantes no computador de trabalho. O fornecedor declarou que o treinamento com aqueles dados estava desabilitado. Também informou que dados apagados ficam retidos por 30 dias para segurança e conformidade, com previsão de encerramento após 25 de outubro.[1]
Até 24 de outubro de 2026, não havia confirmação de publicação aberta ou uso indevido concreto. A empresa disse que as pessoas afetadas não precisavam tomar providências naquele momento. Enviar, usar para treinar e publicar são três coisas diferentes.
Afinal, o que pediram para a IA?
A pergunta segue sem resposta pública. Pode ter sido limpeza ou migração de dados; pode ter sido outra coisa.
O detalhe absurdo é que a IA não foi atrás dos registros de 334 mil pessoas. Os registros foram levados até um serviço proibido por alguém do projeto.
“Só dá uma olhadinha nessa planilha.” Com 334 mil pessoas dentro, a olhadinha virou um problema gigantesco.
- [1] Comunicado oficial da Panasonic, 23/10/2026: https://holdings.panasonic/jp/information/topics/20261023.html
- [2] ITmedia NEWS, 23/10/2026: https://www.itmedia.co.jp/news/article/2610/23/2000002562/
