Den enorma cachen var synlig på nätet några dagar i april, men motororganisationen sade att den inte innehöll någon "känslig" information.
Men en säkerhetsforskare som analyserade läckan sa att han hittade detaljer som e-postadresser, namn och delar av betalkortsnummer.
Han sa att det var en "mycket allvarlig incident" som AA behövde ta itu med.
AA president Edmund King sa att det först fick reda på problemet med data som används för sin webbutik den 22 april. Kort efter upptäckten fick firman som driver butiken för AA:s räkning veta om problemet.
"De identifierade sårbarheten och frågan löstes den 25 april", sade han.
En server "felkonfiguration" skylldes på att ge tillgång till två backup-filer som innehöll information om beställningar av kartor och andra produkter från återförsäljare och vissa kunder.
AA sade att det undersökte, tog prover på uppgifterna och, eftersom det inte var känsligt och bara fick tillgång till några gånger, avslutade undersökningen.
Motorgruppen har inlett en oberoende undersökning av överträdelsen och har också informerat den brittiske kommissionsledamoten med ansvar för information om den.
"Vi tar alla data frågor otroligt allvarligt och vill försäkra våra AA Shop kunder att deras betalningsuppgifter inte har äventyrats," sade Mr King.
Säkerhetsforskaren Troy Hunt varnade BBC för läckan förra veckan.
På den tiden, AA sade det relaterade till butiksorder och innehöll ingen känslig information.
Mr Hunt, som driver en webbplats för dataintrång som heter Har jag blivit Pwned, envisas med sin utredning, fick en kopia av back-ups och utsatte dem för en djupare analys.
Han hittade 117.000 unika e-postadresser i dem samt namn, nettoadresser samt kreditkortstyper, utgångsdatum och kortens sista fyra siffror.
En separat analys av forskaren Scott Helme för Moderkortswebbplatsen hittade samma data i cachen.
"Jag har bekräftat med många Har jag varit Pwned abonnenter i data och de har bekräftat att det är korrekt," sade Mr Hunt. "De är kunder till AA och de fick aldrig en anmälan om dataexponeringen.
"Vid något tillfälle erkänner deras uttalande allvaret i de exponerade data eller att de misslyckades med att meddela kunder när man lär sig av exponeringen," sade han.
Han tillade att diskussionerna med informationskommissionären kan ta en "avgjort annorlunda ton" när den fick information om kunddata i cache.
Förra veckan tvingades AA att be om ursäkt efter ett misstag som ledde till att det utfärdade e-postmeddelanden som sade till några medlemmar att uppdatera sina lösenord.
AA har kritiserats för hur man har hanterat ett dataintrång som omfattar 13 gigabyte data.