Datalek bij Panasonic: medewerker zette gegevens van 334.000 mensen in verboden AI-dienst

Foto: Brecht Corbeel via Unsplash

Een medewerker van Panasonic heeft persoonsgegevens van ongeveer 334.000 mensen geüpload naar een externe AI-dienst die binnen het bedrijf verboden is. Het gaat om huidige en oud-medewerkers in Japan en hun familie. Panasonic maakte het datalek op 23 oktober 2026 bekend en benadrukt dat er geen hacker aan te pas kwam.

Het lek ontstond bij een project om een nieuw personeelssysteem in te voeren, meldt de verklaring van dochterbedrijf Panasonic Operational Excellence. Een projectlid zette daarbij een deel van de personeelsdatabase, met de stand van april 2026, in een AI-dienst van buiten het bedrijf. Welke AI-dienst dat was, zegt Panasonic niet.

Dit komt niet door een aanval van buitenaf. Een projectlid heeft de regels overtreden en de gegevens geüpload.

Panasonic Operational Excellence, in de verklaring van 23 oktober 2026 (vertaald uit het Japans)

Adressen en telefoonnummers van 334.000 mensen gingen naar de AI-dienst

Het grootste deel zijn oud-medewerkers: ongeveer 178.000 mensen die tussen 1978 en 2026 bij Panasonic vertrokken. Daarnaast gaat het om ongeveer 75.000 mensen die er nu werken. Van hen gingen het personeelsnummer, adres, telefoonnummer en e-mailadres mee, maar geen namen.

Van familieleden lekten juist wel de namen. Het gaat om ongeveer 55.000 familieleden die medewerkers als noodcontact hadden opgegeven, en ongeveer 26.000 familieleden van mensen die sinds 2016 zijn vertrokken. Van hen gingen naam, adres, telefoonnummer en e-mailadres mee.

De Japanse zakenkrant Nikkei zette het nieuws dezelfde dag op X. In het onderstaande bericht schrijft de krant dat Panasonic gegevens van afgerond 330.000 mensen naar een verboden AI-dienst stuurde:

パナソニックHD、利用禁止の生成AIに従業員らの情報送出　33万人分https://t.co/BXlcArykwy

— 日本経済新聞 電子版（日経電子版） (@nikkei) October 23, 2026

Alleen Panasonic-bedrijven in Japan die hetzelfde personeelssysteem gebruiken, vallen eronder. Opvallend is dat Panasonic zijn medewerkers sinds 2023 een eigen AI-assistent geeft, PX-AI. Externe AI-diensten zijn juist verboden om dit soort lekken te voorkomen.

Panasonic meldde het lek op 29 september bij de Japanse privacytoezichthouder

Direct na de ontdekking wiste de medewerker de chatgeschiedenis en de gegevens op de werkcomputer. Panasonic meldde het lek op 29 september bij de Personal Information Protection Commission, de Japanse privacytoezichthouder. Pas ruim drie weken later kwam de openbare verklaring.

Volgens de aanbieder van de AI-dienst stond het trainen op gebruikersgegevens uit. Andere gebruikers krijgen de gegevens dus niet terug in hun antwoorden. Wel bewaart de aanbieder gewiste gegevens nog 30 dagen voor beveiliging en wettelijke plichten. Vanaf 25 oktober zijn ze ook daar weg.

Panasonic heeft geen aanwijzingen dat de gegevens openbaar zijn gemaakt of misbruikt. Het bedrijf past de regels voor AI-gebruik aan en geeft medewerkers extra uitleg. Wie toegang krijgt tot welke AI, is een vraag die ook hier speelt, schreven we eerder in ons stuk over klantdossiers en AI.

Bijna de helft van de Nederlandse werknemers gebruikt privé-AI voor werk

Dit risico is in Nederland niet kleiner. Volgens het onderzoek Alert Online 2026 gebruikt 49 procent van de werknemers soms, vaak of altijd een privé-AI-account voor werk. Maar 39 procent weet welke AI-tools de werkgever toestaat. AI-gebruik buiten het zicht van de werkgever heet ook wel shadow AI. Dat lees je in ons artikel over privé-AI op het werk.

De Autoriteit Persoonsgegevens waarschuwde in augustus 2024 al voor datalekken via AI-chatbots. Zo zette een medewerker van een huisartsenpraktijk medische gegevens van patiënten in een chatbot. Bij een telecombedrijf ging het om adressen van klanten. Volgens de AP is dat een datalek als het buiten de afspraken van de werkgever gebeurt.

Ook de gemeente Eindhoven ontdekte vorig jaar dat medewerkers in dertig dagen cv’s, jeugdzorgdossiers en interne verslagen in openbare chatbots hadden gezet. Volgens de AP kwamen er in 2025 meer van zulke meldingen binnen dan in 2024.

Wij zien in dit lek vooral dat een verbod alleen niet genoeg is. Panasonic had een eigen AI-assistent én een verbod op externe diensten, en toch ging het mis bij een project dat juist over personeelsgegevens ging.

Bronnen: Panasonic Operational Excellence (23 oktober 2026), Nikkei, Kansai TV, Alert Online 2026, Autoriteit Persoonsgegevens (augustus 2024), FD (december 2025).