事業継続計画（BCP）とAI：AIが止まったときに業務を続けるには

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

AIを使う業務が増えると、AIのサービスが使えなくなったときに、仕事が止まってしまうおそれがあります。地震や水害だけでなく、クラウドの障害、サイバー攻撃、提供元の方針の変更なども、AIが使えなくなる原因になります。このコラムでは、BCPの考え方を使って、AIが止まったときに備える方法を整理します。

BCPとは何ですか？AIとどう関わりますか？

中小企業庁の「中小企業BCP策定運用指針（第2版）」は、BCP（事業継続計画）を、緊急時に行うべき行動や、緊急時に備えて平常時に行うべき行動を、あらかじめ整理して取り決めておく計画として説明しています。特別なものではなく、日々の経営の延長として考えるものとしています。

指針では、緊急時にどの事業を優先して続け、復旧させるのか（中核事業）を特定すること、事業を再開・復旧させるまでの目標の時間（目標復旧時間）を決めること、代わりの手段を前もって準備することが挙げられています。代わりの手段には、操業に欠かせないIT機器が使えない場合の代わりの方法も含まれています。

AIも、業務に組み込まれれば、この「欠かせないIT」の一つになります。BCPの考え方は、そのままAIへの備えに当てはめられます。

AIが止まるのは、どんなときですか？

AIが使えなくなる原因は、災害だけではありません。

• サービスの障害や保守： クラウドで提供されるAIのサービスが、障害や保守で一時的に使えなくなることがあります
• 通信の不具合： 社内のネットワークや回線に問題があると、クラウドのAIに届かなくなります
• サイバー攻撃： ランサムウェアなどの被害で、社内のシステムやデータが使えなくなることがあります。備え方はランサムウェアへの備えでまとめています
• 提供元の変更： 提供元の方針で、機能やモデルが変わったり、提供が終わったりすることがあります。変わった後に、これまでと同じ品質の出力が得られるとは限りません

AIが文書の下書きを手伝う程度なら、止まっても人が書けば済みます。一方、問い合わせへの自動の回答や、書類の読み取りの流れの一部をAIが担っている場合は、止まると業務そのものが滞ります。

AIに頼る業務には、どう備えればよいですか？

BCPの考え方にそって、次の順で整理します。

1. AIに頼る業務を洗い出す： どの業務で、どのAIのサービスを使っているかを書き出します。社内で使っているサービスの一覧があれば、それを手がかりにします
2. 止まったときの影響を見積もる： それぞれの業務について、AIが止まったときにどのくらい困るのか、どのくらいの時間なら待てるのかを考えます。影響が大きく、待てる時間が短い業務から優先して備えます
3. 代わりの手段を決める： 手作業に戻す手順、別のツールで代わりにする方法、人が対応する体制などを決めます。手作業に戻すための手順書や、AIを使う前の業務の流れを残しておくと、戻しやすくなります
4. 復旧の目標を決める： いつまでに元の形に戻すのかの目標を決め、復旧の手順と担当者を決めます
5. 定期的に見直す： AIを使う業務は変わっていきます。使うサービスや業務が変わったら、計画も見直します

あわせて、AIが使うデータと設定を守ることも大切です。IPA の「中小企業の情報セキュリティ対策ガイドライン」は、第4.0版で、はじめに取り組んでほしい「情報セキュリティ5か条」に「バックアップを取ろう」を加え、「情報セキュリティ6か条」としています。AIに読ませる社内の文書や、プロンプト、設定なども、バックアップの対象に含めておくと、復旧がしやすくなります。バックアップの考え方はバックアップと復旧の計画の立て方、事故が起きたときの手順はセキュリティ事故が起きたときの対応の手順をご覧ください。

特定のサービスに深く依存していると、そのサービスが止まったときの代わりが見つけにくくなります。切り替えやすい作りにしておくことも、備えの一つです。考え方はベンダーロックインを避ける考え方でまとめています。