일본 파나소닉그룹에서 약 33만 4,000명에 해당하는 개인정보가 회사에서 사용을 금지한 외부 생성형 AI 서비스에 입력된 사실이 확인됐습니다. 파나소닉 오퍼레이셔널 엑설런스는 2026년 10월 23일 공식 발표를 통해 인사정보시스템 도입 프로젝트에 참여한 직원이 내부 규정을 어기고 관련 데이터를 업로드했다고 밝혔는데요.
이번 사건은 외부 해커의 침입으로 발생한 사고가 아닙니다. 업무 담당자가 외부 AI 서비스에 데이터를 직접 올린 사례입니다. 다만 개인정보가 AI 서비스에 입력됐다는 사실과 인터넷에 공개되거나 범죄에 악용됐다는 사실은 구분해야 합니다. 회사는 현재까지 일반 공개나 구체적인 부정 이용 피해를 확인하지 못했다고 설명했습니다.
개인정보 33만 4,000명분, 누구의 정보였나
문제가 된 자료는 2026년 4월 기준 파나소닉그룹의 공통 인사정보시스템에 등록된 데이터 일부입니다. 대상은 일본 내 해당 시스템을 이용하는 그룹사의 현직 직원 약 7만 5,000명, 퇴직자 약 17만 8,000명, 현직 직원 가족 약 5만 5,000명, 퇴직자 가족 약 2만 6,000명으로 집계됐습니다.
현직 직원과 퇴직자에 관한 자료에는 사원번호, 주소, 전화번호, 이메일 주소가 포함됐지만, 회사 설명에 따르면 이 구분의 자료에는 이름이 포함되지 않았습니다. 반면 가족 정보에는 긴급 연락처로 등록된 가족의 이름과 주소, 전화번호, 이메일 주소가 들어 있었습니다.
이처럼 정보 항목은 대상자 구분에 따라 다릅니다. 따라서 모든 사람의 이름과 연락처가 동일한 형태로 입력됐다고 해석해서는 안 됩니다.
인사시스템 구축 과정에서 발생한 규정 위반
파나소닉 오퍼레이셔널 엑설런스는 자회사 파나소닉 디지털과 함께 인사정보시스템 도입 프로젝트를 진행하고 있었습니다. 이 과정에서 프로젝트 관계자가 회사가 사용을 금지한 외부 생성형 AI 서비스에 개인정보를 포함한 데이터를 업로드했습니다.
회사는 이번 일이 외부의 부정한 조작이나 시스템 침입 때문이 아니라 담당자의 사내 규정 위반으로 발생했다고 명확히 설명했습니다. 다만 공식 발표에는 해당 생성형 AI 서비스의 이름이나 구체적인 입력 목적, 최초 업로드 날짜가 기재되지 않았습니다. 확인되지 않은 특정 AI 제품을 이번 사건과 연결할 근거는 없습니다.
사건을 파악한 직후 담당자는 AI 서비스의 채팅 기록과 업무용 컴퓨터에 있던 대상 데이터를 삭제했습니다. 회사는 9월 29일 일본 개인정보보호위원회에 보고했고, 10월 23일 관련 사실과 대응 상황을 공개했습니다.
AI에 입력한 정보가 다른 사람의 답변에 나타날까
생성형 AI에 개인정보를 입력하면 그 정보가 반드시 AI 학습에 사용되는 것은 아닙니다. 서비스 종류와 계약 조건, 데이터 처리 설정에 따라 취급 방식이 달라지는데요. 이번 사건에서도 이 부분이 중요한 확인 대상이었습니다.
파나소닉이 해당 AI 서비스 운영사에 문의한 결과, 데이터를 업로드할 당시 AI 학습에 이용하는 기능은 꺼져 있었다는 답변을 받았습니다. 운영사는 해당 정보가 다른 이용자의 질문에 대한 답변에 사용되지 않는다고 설명했습니다.
그렇다고 데이터를 입력한 순간 아무런 문제가 없었다는 뜻은 아닙니다. 승인받지 않은 외부 서비스에 개인정보를 전달한 것 자체가 회사의 관리 규정을 위반한 행위이기 때문입니다. 기업이 AI 활용의 편리함뿐 아니라 데이터의 전달 경로와 보관 정책을 확인해야 하는 이유이죠.
채팅 기록을 삭제해도 30일 동안 남는 이유
회사 발표에 따르면 이용자가 데이터를 삭제하더라도 AI 서비스 운영사는 보안 및 법령 준수를 목적으로 삭제일로부터 30일간 자료를 보관합니다. 해당 자료는 엄격하게 접근이 통제되며 감사 등의 필요가 있는 경우를 제외하면 열람되지 않는다는 설명입니다.
파나소닉은 이번 자료가 10월 25일 이후에는 서비스 운영사에도 보관되지 않는다는 답변을 받았다고 밝혔습니다. 다만 10월 24일 현재 이 날짜는 아직 지나지 않았으므로 실제 보관 종료를 확인한 결과로 표현해서는 안 됩니다.
이 사례는 사용자가 채팅창에서 삭제 버튼을 눌렀다는 사실과 서비스 운영사의 보관 기간이 끝났다는 사실이 서로 다를 수 있음을 보여줍니다. 생성형 AI에 업무 자료를 입력할 때는 학습 설정뿐 아니라 삭제 및 보관 조건까지 살펴봐야 합니다.
현재까지 확인된 피해와 회사의 대응
파나소닉은 자체 조사와 AI 서비스 운영사 확인 결과를 바탕으로, 대상 개인정보가 일반에 공개됐거나 부정하게 사용돼 구체적인 피해가 발생한 사실은 확인되지 않았다고 밝혔습니다. 이는 피해가 발생했다고 확인된 상황은 아니라는 뜻이며, 향후 추가 사실이 발견될 가능성까지 배제하는 표현은 아닙니다.
회사는 개인정보 취급 규정과 생성형 AI 이용 관리 체계를 재검토하고 관련 직원 교육을 강화하겠다고 발표했습니다. 또한 이번 공지를 개인정보보호법에 따른 당사자 통지의 대체 조치로 공개했으며, 현재 대상자에게 별도로 요구하는 조치는 없다고 안내했습니다.
퇴직자와 가족을 위한 문의 창구도 마련돼 있습니다. 자신이 해당 인사정보시스템의 대상인지 확인하고 싶다면 파나소닉의 공식 공지에 게시된 문의 방법을 이용하는 것이 좋습니다.
기업의 생성형 AI 사용에 남긴 과제
이번 사건에서 주목할 부분은 AI가 스스로 정보를 탈취한 것이 아니라, 사람이 편의를 위해 외부 도구에 민감한 업무 자료를 입력했다는 점입니다. 일본 개인정보보호위원회도 기업이 개인정보를 생성형 AI에 입력할 때 서비스 제공자의 학습 이용 여부 등을 충분히 확인하도록 주의를 당부해 왔습니다.
기업 입장에서는 AI 서비스의 사용 가능 여부를 명확히 정하고, 직원이 어떤 데이터를 입력할 수 있는지 구체적으로 안내할 필요가 있습니다. 기술적인 접근 제한과 교육이 함께 이뤄지지 않으면 사용 금지 규정만으로 모든 사고를 막기는 어렵습니다.
10월 24일 현재 확인된 사실은 약 33만 4,000명분의 정보가 승인되지 않은 외부 AI에 입력됐고, 회사가 삭제와 운영사 확인 등의 조치를 취했다는 것입니다. 일반 공개나 구체적인 악용 피해는 확인되지 않았으며, 보관 기간 종료와 추가 조사 결과는 이후 발표를 통해 확인할 필요가 있습니다.
참고 자료: 파나소닉 공식 발표 · ITmedia NEWS · 일본 개인정보보호위원회
