Tóm tắt: Ngày 23/10/2026, một công ty thuộc tập đoàn Panasonic công bố rằng thành viên dự án triển khai hệ thống nhân sự đã tải dữ liệu cá nhân của khoảng 334.000 người lên một dịch vụ AI tạo sinh bên ngoài bị cấm theo quy định nội bộ. Mục đích chưa được công bố.
“Khoan, chính người bên trong tải lên à? Định phân tích địa chỉ sao?”
Đó là câu hỏi gây tò mò nhất. Theo thông báo chính thức, đây không phải vụ tin tặc từ bên ngoài xâm nhập, mà là thành viên dự án đưa dữ liệu lên dịch vụ AI trái quy định.[1]
Quy mô thực sự là bao nhiêu?
Dữ liệu thuộc một phần hồ sơ lưu trong hệ thống vào tháng 4/2026: khoảng 75.000 nhân viên đang làm việc, 178.000 cựu nhân viên, 55.000 người thân của nhân viên hiện tại và 26.000 người thân của cựu nhân viên. Tổng cộng khoảng 334.000 người.
Thông tin về nhân viên và cựu nhân viên gồm mã nhân viên, địa chỉ, số điện thoại và email, không có họ tên. Nhưng hồ sơ người thân được đăng ký làm đầu mối liên lạc khẩn cấp lại có họ tên. Nhóm cựu nhân viên bao gồm người nghỉ việc từ năm 1978 đến năm tài chính 2026.[1]
Công ty nói đến việc tải dữ liệu lên, không phải ngồi gõ từng hồ sơ của hơn ba trăm nghìn người vào ô trò chuyện.
Phân tích địa chỉ hay chuyển dữ liệu?
Thông báo không nói mục đích, nội dung yêu cầu gửi cho AI hay tên dịch vụ. [1] Vì vậy, “phân tích nơi ở của nhân viên” chỉ là một giả thuyết, không phải kết luận đã được xác minh.
Khi triển khai hệ thống nhân sự mới, người ta có thể cần ghép các cột từ hệ thống cũ sang hệ thống mới, chuẩn hóa số điện thoại và địa chỉ, tạo quy trình chuyển đổi hoặc so khớp bản ghi. Đây chỉ là ví dụ về công việc có thể phát sinh, không phải những gì đã được xác nhận trong vụ việc này.
Nếu cần hỏi cách xử lý một bảng dữ liệu, những hàng ví dụ hư cấu có thể đủ. Hỏi cách sắp xếp kho hàng mà gửi cả kho tới một bên tư vấn chưa được cho phép thì rõ ràng là chuyện khác.
Có quyền xem không đồng nghĩa có quyền gửi ra ngoài
Người tham gia dự án có thể cần xử lý hồ sơ nhân sự để làm việc. Nhưng quyền truy cập không tự động trở thành quyền chuyển dữ liệu cá nhân cho một nhà cung cấp bên ngoài.
Panasonic xác nhận hành vi vi phạm quy định, song không mô tả chi tiết các biện pháp kỹ thuật ngăn chặn chuyển dữ liệu khi sự việc xảy ra.[1] Những câu hỏi cần xem xét gồm kiểm soát xuất dữ liệu hàng loạt, ngăn gửi tới dịch vụ bị cấm, công cụ AI được phép sử dụng và dữ liệu thử nghiệm không chứa thông tin thật.
Dữ liệu đã bị công khai trên internet chưa?
Công ty báo cáo với cơ quan bảo vệ thông tin cá nhân Nhật Bản ngày 29/9. Sau khi phát hiện sự việc, người liên quan xóa lịch sử trò chuyện AI và dữ liệu trên máy tính làm việc. Nhà cung cấp cho biết tính năng dùng dữ liệu để huấn luyện mô hình đã tắt khi tải lên. Dữ liệu bị xóa vẫn được lưu 30 ngày vì an ninh và tuân thủ, dự kiến ngừng lưu sau ngày 25/10.[1]
Tính đến 24/10/2026, công ty chưa xác nhận có việc công khai dữ liệu hay lạm dụng gây thiệt hại cụ thể; thông báo cũng nói người liên quan hiện không cần thực hiện biện pháp nào. Gửi ra bên ngoài, dùng để huấn luyện AI và công khai cho mọi người là ba tình huống khác nhau.
Rốt cuộc họ hỏi AI điều gì?
Chưa có câu trả lời công khai. Có thể là làm sạch dữ liệu, chuyển hệ thống hoặc một nhiệm vụ khác.
Điểm trớ trêu là AI không tự đi tìm hồ sơ của 334.000 người. Người trong dự án đã mang dữ liệu tới một dịch vụ bị cấm.
“Xem giúp bảng này một chút nhé.” Một chút ấy đột nhiên không còn nhỏ khi bảng chứa dữ liệu liên quan tới cả một thành phố.
- [1] Thông báo chính thức của Panasonic, 23/10/2026: https://holdings.panasonic/jp/information/topics/20261023.html
- [2] ITmedia NEWS, 23/10/2026: https://www.itmedia.co.jp/news/article/2610/23/2000002562/
