摘要： 2026年10月23日，松下集团披露，一名参与人事系统导入项目的成员将包含约33.4万人个人信息的数据上传到了公司禁止使用的外部生成式AI服务。上传目的尚未公布。
“等等，是内部人员自己传上去的？想分析住址吗？”
这才是最令人好奇的地方。官方将事件描述为项目成员违反公司规定上传数据，而不是外部黑客入侵。资料里装着的是成千上万名真实员工、离职员工及家属的联系信息。[1]
官方确认了什么
事件发生在人事信息系统导入项目中，涉及2026年4月时系统登记数据的一部分。
人数分别为：现职员工约7.5万人、离职员工约17.8万人、现职员工家属约5.5万人、离职员工家属约2.6万人，合计约33.4万人。员工及离职员工的数据包含工号、地址、电话和电子邮箱，不包含姓名；作为紧急联系人的家属数据则包含姓名及联系方式。离职员工记录覆盖1978年至2026财年。[1]
官方说的是“上传数据”，不能据此想象成有人逐个手动输入33万多条资料。
是住址分析，还是清洗表格？
官方没有披露使用目的、具体提示词或AI服务名称。 [1] 所以“拿去分析大家住哪儿”只能算疑问，不能写成事实。
如果是在迁移人事系统，可能涉及旧字段对应新字段、统一地址或电话号码格式、生成数据转换程序、检查迁移前后是否一致等工作。但这些只是常见技术场景，不是本案已查明的行为。
表格格式要统一，可以拿虚构样本请AI演示。为了问几个公式，把所有真实联系信息一起上传，就像问搬家公司箱子怎么摆，结果把整栋仓库寄了过去。
有权限查看，就能传给外部吗？
不能混为一谈。业务上有权接触人事信息，并不意味着获得向外部AI服务传输它们的许可。公司确认存在违规上传，却没有在公告中详细解释技术性外传控制为何未能阻止事件。[1]
因此除了员工培训，也值得追问：大批量导出如何管控？禁止的服务能否被识别并拦截？是否提供经批准的工具和脱敏测试数据？这些是应当调查的问题，不能把猜测包装成既有调查结论。
是否等于已经在网上公开？
公司于9月29日向日本个人信息保护委员会报告。问题被发现后，成员删除了聊天记录和工作电脑中的相关数据。服务商称上传时数据用于训练模型的功能处于关闭状态，删除后的数据因安全与合规原因保留30天，预计在10月25日之后停止保留。[1]
截至2026年10月24日，公司尚未确认信息被公开传播或遭到具体滥用。公告称相关人员目前无需采取措施。“发送到外部”“被用于训练”“在网上公开”是三个不同概念。
所以他到底问了AI什么？
答案仍然是：没有公布。也许是系统迁移，也许是数据清理，也可能是其他工作。
真正荒诞的地方在于：这次不是AI主动去寻找33万人的信息，而是内部项目成员把资料送到了被禁止的AI门口。
一句“帮我快速看下这个”，当“这个”涉及33万人时，就一点也不小了。
- [1] 松下集团官方公告，2026-10-23：https://holdings.panasonic/jp/information/topics/20261023.html
- [2] ITmedia NEWS，2026-10-23：https://www.itmedia.co.jp/news/article/2610/23/2000002562/
