Geen hacker, geen phishingmail: het grootste AI-gerelateerde datalek van deze week begon bij een eigen medewerker. Bij Panasonic heeft een lid van een intern project een deel van de personeelsdatabase in een AI-dienst van buiten het bedrijf gezet. Dat gebruik was binnen Panasonic juist verboden. Het Japanse concern maakte het lek op 23 oktober openbaar via dochterbedrijf Panasonic Operational Excellence.

Wie er in het bestand stond

Het ging om een momentopname van de personeelsgegevens uit april 2026, geüpload tijdens de invoering van een nieuw personeelssysteem. Volgens Panasonic gaat het om ongeveer 334.000 mensen, allemaal verbonden aan Panasonic-bedrijven in Japan die hetzelfde systeem gebruiken:

  • ongeveer 178.000 oud-medewerkers die tussen 1978 en 2026 vertrokken;
  • ongeveer 75.000 huidige medewerkers;
  • ongeveer 55.000 familieleden die als noodcontact stonden geregistreerd;
  • ongeveer 26.000 familieleden van mensen die sinds 2016 zijn vertrokken.

Van (oud-)medewerkers gingen personeelsnummer, adres, telefoonnummer en e-mailadres mee, maar geen namen. Bij familieleden stonden de namen er wel bij. Welke AI-dienst het was, zegt Panasonic niet.

Drie weken stil

De medewerker wiste na de ontdekking de chatgeschiedenis en de bestanden op de werkcomputer. Panasonic meldde het lek al op 29 september bij de Japanse privacytoezichthouder, maar ging pas ruim drie weken later naar buiten. Volgens Panasonic gebruikte de aanbieder van de AI-dienst de gegevens niet voor training, en verdwijnen de gewiste gegevens na een bewaartermijn van 30 dagen op 25 oktober ook bij die aanbieder. Aanwijzingen voor misbruik zijn er volgens het bedrijf niet. Dat zijn claims van Panasonic zelf; onafhankelijk bevestigd zijn ze niet.

Wrang detail: Panasonic geeft zijn medewerkers sinds 2023 een eigen AI-assistent, PX-AI, juist om dit soort lekken te voorkomen. Het bedrijf scherpt nu zijn regels aan en geeft extra uitleg aan personeel.

Ook in Nederland een bekend patroon

Gebruik van AI buiten het zicht van de werkgever, ook wel shadow AI genoemd, is geen Japans probleem. Volgens het onderzoek Alert Online 2026 gebruikt bijna de helft van de Nederlandse werknemers wel eens een privé-AI-account voor werk, terwijl een minderheid weet welke tools de werkgever toestaat. De Autoriteit Persoonsgegevens waarschuwde al in 2024 dat het invoeren van persoonsgegevens in een chatbot buiten de afspraken van de werkgever om als datalek geldt, en dat dus gemeld moet worden.

Het geval Panasonic laat zien dat een eigen AI-tool plus een verbod niet genoeg is. Juist bij projecten die met gevoelige gegevens werken, zoals een migratie van personeelsdata, ligt de verleiding om "even snel" een externe chatbot te gebruiken voor de hand. Bedrijven die AI-gebruik willen beheersen, doen er goed aan om technische blokkades en duidelijke werkafspraken te combineren, en medewerkers een goed werkend alternatief te geven. Hoe snel het mis kan gaan met gegevens die je met een AI deelt, bleek deze week ook bij de deellinks van Meta's Muse.