--- title: "AIの不具合・事故への備えと対応：平時の準備と、起きたときの流れ｜AI-Ready.jp" url: https://www.ai-ready.jp/guide/ai-incident-management/ description: "AIの不具合や事故には、何を事故とするかの基準、報告の窓口、記録、止める手段を平時に決めておくことで落ち着いて対応できます。起きたときは、止める・影響を確かめる・報告する・原因を調べる・再発を防ぐの順で進めます。" updated: 2026-11-12 publisher: "フロレンティナ株式会社" --- 定着させる[柱：ガバナンスと法令](https://www.ai-ready.jp/about-ai-ready/governance/)[柱：基盤とセキュリティ](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) # AIの不具合・事故への備えと対応：平時の準備と、起きたときの流れ 執筆：[石田誠](https://www.ai-ready.jp/about/authors/#ishida)更新 2026-11-12制度の最終確認 2026-11-12出典 6件[図解 2点](https://www.ai-ready.jp/zukai/) この記事の結論 AIの不具合や事故は、平時に「何を事故とするか」「誰に知らせるか」「何を記録するか」「どう止めるか」を決めておくと、落ち着いて対応できます。起きたときは、止める、影響を確かめる、報告する、原因を調べる、再発を防ぐの順で進めます。 自社の「ガバナンスと法令」の準備度は？[10問・約3分で確かめる（無料・登録不要）](https://www.ai-ready.jp/diagnosis/quick/) AIを業務で使う場面が増えると、誤った回答が顧客に届く、見せてはいけない情報が出力される、AIエージェントが意図しない操作をする、といった出来事への備えが要ります。この記事では、平時の準備と起きたときの流れを整理します。 この記事でわかること - AIの事故（AIインシデント）とは何か、どんな出来事が当てはまるか - 平時に決めておきたい7つの準備 - 事故が起きたときの流れと、個人データが関わる場合の報告の期限 ## AIの事故とは、どんな出来事ですか？ OECD（経済協力開発機構）は2024年5月の報告書で、AIインシデントを、AIシステムの開発・利用・誤作動が、直接または間接に害につながった出来事と整理しています。まだ害は生じていないものの、害につながるおそれがある出来事は「AIハザード」と呼んで区別しています。 業務では、次のような出来事が考えられます。 | 種類 | 出来事の例 | 主な影響 | |---|---|---| | 誤った出力 | AIの回答をそのまま顧客に案内し、誤った手続きを伝えた | 顧客の不利益、信用 | | 情報の流出 | 社内の資料や個人情報が、権限のない人への回答に含まれた | 漏えい、法令上の報告 | | 偏った判定 | 選考や審査の補助に使ったAIが、特定の属性に不利な傾向を示した | 公平性、説明責任 | | 意図しない操作 | AIエージェントが、承認なしにメールの送信やデータの更新をした | 業務の混乱、取引先への影響 | | 停止・費用 | AIのサービスが止まり業務が滞った、利用料が急に増えた | 業務の継続、費用 | AIは同じ入力でも出力が変わることがあり、提供元がモデルを更新すると同じ使い方でも結果が変わることがあります。後から同じ状況を再現しにくいため、**記録を残しておかないと、原因を確かめられない**ことがAIの事故の特徴です。 ## なぜ、平時に備えておくのですか？ 総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIの安全性を損なう事態が生じた場合の対処方法を検討し、速やかに実施できるよう整えておくことを示しています。検証できるようにするため、入出力などの記録を残すことも挙げ、保存の方法や期間は原因の究明や再発の防止を踏まえて決めるとしています。 人工知能戦略本部の「適正性確保に関する指針」も、障害が生じた場合に損害を最小限にとどめ、早く復旧するための事業継続計画を事前に作ることを求めています。取り組みの水準は、会社の規模や立場、AIのリスクに応じたものでよいとされています。 ## 平時に何を決めておけばよいですか？ 次の7つを決めておくと、迷う場面を減らせます。 ① **AIの利用の一覧と責任者**：どの業務で、どのAIを、誰が使っているかを一覧にし、利用ごとに責任者を決めます。 ② **事故とする基準と段階**：どこから事故として扱うかを、影響の大きさで段階に分けます（下の表）。 ③ **報告の窓口と連絡網**：誰に、どの手段で知らせるかを、夜間や休日の連絡先も含めて決めます。 ④ **記録の範囲と保存期間**：入出力、使ったモデルや設定、操作の履歴を、どこまで、いつまで残すかを決めます。個人情報を含む記録は、閲覧できる人を絞ります。 ⑤ **止める手段と判断する人**：AIの機能を止める、人の確認を経てから出す形に切り替える、といった手段と、どの段階で誰が止めるかを決めます。AIエージェントでは停止の仕組み（キルスイッチ）を用意します。業務が止まることを心配して、停止が遅れることがあるためです。 ⑥ **委託先・提供元との取り決め**：不具合のときの連絡、情報の提供、協力の範囲を契約や利用規約で確かめます。 ⑦ **訓練と見直し**：想定した事例で、連絡から利用の停止までを試し、利用の広がりや規程の改定に合わせて見直します。 段階の分け方は、たとえば次のような目安が考えられます。会社の業務に合わせて言葉を直してください。 | 段階 | 目安 | 対応の例 | |---|---|---| | 軽微 | 社内で気づいて正せた。外部への影響はない | 記録し、定期の見直しで扱う | | 中程度 | 一部の顧客や取引先に誤った情報が届いた | 責任者に当日中に報告し、訂正の連絡と原因の調査 | | 重大 | 個人情報の流出、業務の停止、法令に関わるおそれ | 経営層に直ちに報告し、利用を止め、外部への報告を確かめる | 影響の大きさで段階を分ける（目安） - **軽微**：社内で気づいて正せた。外部への影響はない → 記録し、定期の見直しで扱う - **中程度**：一部の顧客や取引先に誤った情報が届いた → 責任者に当日中に報告し、訂正の連絡と原因の調査 - **重大**：個人情報の流出、業務の停止、法令に関わるおそれ → 経営層に直ちに報告し、**利用を止め**、外部への報告を確かめる 段階の分け方は一例です。会社の業務に合わせて言葉を直してください。 読みながら、自社の現在地を確かめませんか クイック診断は10問・約3分・登録不要です。7つの柱ごとの目安と、「ガバナンスと法令」を含めて次に取り組むことがわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/)[結果の解説（30分・無料）](https://www.ai-ready.jp/consult/review/) ## 事故が起きたときは、どう進めますか？ 流れは、セキュリティ事故の対応と大きくは変わりません。IPA（情報処理推進機構）の「中小企業の情報セキュリティ対策ガイドライン」第4.0版の付録「中小企業のためのセキュリティインシデント対応の手引き」も土台として使えます。 ① **気づいて知らせる**：決めておいた窓口に知らせ、画面の写しや入力した内容をそのまま残します。 ② **止めて広げない**：責任者は、AIの機能を止めるか、人の確認に切り替えるかを判断します。AIエージェントでは、権限を外し、実行中の作業を止めます。 ③ **影響を確かめる**：誤った情報が誰に届いたか、どの情報が出力されたか、いつから起きていたかを記録から確かめます。 ④ **報告し、連絡する**：社内の報告に加え、個人データが関わる場合は次の節の報告を確かめます。影響を受けた相手には、わかっている事実と今後の対応を伝えます。 ⑤ **原因を調べる**：入力、設定、参照していたデータ、モデルの更新、利用の手順のどこに原因があったかを調べます。既製のサービスでは、提供元に状況を伝え、公表される不具合の情報や対応状況を確かめます。 ⑥ **再発を防ぎ、振り返る**：使い方のルール、確認の手順、AIに読ませる情報の範囲、権限を見直し、対応の記録を事故の一覧に加えます。 事故が起きたときの流れ - **気づいて知らせる**：決めておいた窓口へ。画面の写しや入力した内容をそのまま残す - **止めて広げない**：AIの機能を止めるか、**人の確認に切り替える** - **影響を確かめる**：誰に届いたか、どの情報が出力されたか、いつからかを記録から確かめる - **報告し、連絡する**：社内の報告。個人データが関わる場合は報告の要否を確かめる。影響を受けた相手に事実と今後の対応を伝える - **原因を調べる**：入力・設定・参照データ・モデルの更新・利用の手順。既製のサービスは提供元に状況を伝える - **再発を防ぎ、振り返る**：ルール・確認の手順・読ませる情報の範囲・権限を見直し、記録を事故の一覧に加える 流れはセキュリティ事故の対応と大きくは変わりません。既存の手順にAIの項目を加える形で使えます。 ## 個人データが関わる場合の報告は、どうなりますか？ AIの出力に個人情報が含まれた、記録が外部から見られる状態になった、といった場合は、個人情報保護法の漏えい等に当たるかを確かめます。個人情報保護委員会によると、次のいずれかに当たる場合は委員会への報告が義務です。 - 要配慮個人情報が含まれる個人データの漏えい等（またはそのおそれ） - 不正に利用されると財産的な被害が生じるおそれがある個人データの漏えい等 - 不正の目的をもって行われたおそれがある行為による漏えい等 - 本人の数が1,000人を超える漏えい等（またはそのおそれ） 報告には、事態を知った後、速やかに（目安は概ね3〜5日以内）行う速報と、事態を知った日から30日以内（不正の目的のおそれがある場合は60日以内）の確報があります。**個人データが関わりそうな時点で、担当者に早めに知らせる流れにしておく**と安心です（「[個人データの漏えい等の対応と報告](https://www.ai-ready.jp/guide/personal-data-breach-response/)」参照）。法令の当てはめに迷う場合は、専門家にご確認ください。 ## AIに特有の準備で、見落としやすい点は何ですか？ 見落としやすいのは、提供元の更新です。モデルや機能の更新で、使い方を変えていなくても結果が変わることがあるため、提供元の更新情報を確かめる担当を決めておきます（「[AIを使い続けるための運用と見直し](https://www.ai-ready.jp/guide/ai-operation-monitoring/)」参照）。AIを止めた間の代わりの手順は、「[事業継続計画（BCP）とAI](https://www.ai-ready.jp/column/ai-and-business-continuity/)」もあわせてご覧ください。 ## チェックリスト ## 関連するひな形・ガイド・用語 ひな形 - [セキュリティ事故の初動チェックリスト](https://www.ai-ready.jp/templates/incident-response-checklist/) - [セキュリティ事故の報告書（社内用）](https://www.ai-ready.jp/templates/incident-report-form/) - [AIの利用記録](https://www.ai-ready.jp/templates/ai-use-log/) ガイド - [セキュリティ事故が起きたときの対応の手順](https://www.ai-ready.jp/guide/security-incident-response/) - [個人データの漏えい等の対応と報告](https://www.ai-ready.jp/guide/personal-data-breach-response/) - [AIを使い続けるための運用と見直し：利用状況・品質・リスクを定期的に確かめる](https://www.ai-ready.jp/guide/ai-operation-monitoring/) - [AIの判断の記録と説明の準備：何を残し、誰にどう説明するか](https://www.ai-ready.jp/guide/ai-records-and-explanation/) コラム - [事業継続計画（BCP）とAI：AIが止まったときに業務を続けるには](https://www.ai-ready.jp/column/ai-and-business-continuity/) 用語 - [AIインシデント](https://www.ai-ready.jp/glossary/ai-incident/) - [インシデント対応計画](https://www.ai-ready.jp/glossary/incident-response-plan/) - [停止の仕組み（キルスイッチ）](https://www.ai-ready.jp/glossary/kill-switch/) - [漏えい等の報告](https://www.ai-ready.jp/glossary/breach-notification/) ## よくあるご質問 QAIの誤った回答も、事故として扱うのですか？ A誤った回答が顧客への案内や社内の判断に使われ、損害や混乱につながった場合は、事故として扱うのが現実的です。社内で確かめて正せた場合は、ヒヤリとした事例として記録し、見直しの材料にします。 Q既製のAIサービスで不具合が起きた場合、自社で何をすればよいですか？ Aまず自社での利用を止めるか、人の確認に切り替えて影響を広げないようにします。そのうえで提供元に状況を伝え、公表される不具合の情報や対応状況を確かめます。 Q個人情報が出力されてしまった場合は、どう対応しますか？ A個人データの漏えい等に当たるかを確かめます。要配慮個人情報を含む場合や本人の数が1,000人を超える場合など、報告の対象となる事態では、個人情報保護委員会への報告が求められます。事態を知った後、速やかに（目安は概ね3〜5日以内）行う速報と、30日以内（不正の目的のおそれがある場合は60日以内）の確報の期限があるため、早めに担当者へ知らせる流れを決めておきます。 QAIの事故対応の手順は、セキュリティ事故の手順と別に作るべきですか？ A既存のセキュリティ事故の手順にAIの項目を加える進め方が扱いやすくなります。人工知能戦略本部の指針も、既存のITのガバナンスの仕組みを生かすことを有用としています。入出力の記録の確かめ方や、利用を止める手段を書き足します。 ## この記事に出てくる用語 - [AIエージェント](https://www.ai-ready.jp/glossary/ai-agent/) - [AIインシデント](https://www.ai-ready.jp/glossary/ai-incident/) - [個人データ](https://www.ai-ready.jp/glossary/personal-data/) - [公平性](https://www.ai-ready.jp/glossary/fairness/) - [モデル](https://www.ai-ready.jp/glossary/model/) - [AI事業者ガイドライン](https://www.ai-ready.jp/glossary/ai-guidelines-for-business/) - [人工知能（AI）](https://www.ai-ready.jp/glossary/artificial-intelligence/) - [適正性確保に関する指針](https://www.ai-ready.jp/glossary/ai-appropriateness-guidelines/) - [停止の仕組み（キルスイッチ）](https://www.ai-ready.jp/glossary/kill-switch/) - [個人情報保護法](https://www.ai-ready.jp/glossary/personal-information-protection-act/) - [個人情報保護委員会](https://www.ai-ready.jp/glossary/personal-information-protection-commission/) - [要配慮個人情報](https://www.ai-ready.jp/glossary/sensitive-personal-information/) - [BCP（事業継続計画）](https://www.ai-ready.jp/glossary/bcp/) - [漏えい等の報告](https://www.ai-ready.jp/glossary/breach-notification/) - [インシデント対応計画](https://www.ai-ready.jp/glossary/incident-response-plan/) ## 「ガバナンスと法令」のほかの記事 [この柱の解説 →](https://www.ai-ready.jp/about-ai-ready/governance/) [広げる／ガバナンスと法令AIで作った名前・ロゴと商標の確認石田誠2026-11-12](https://www.ai-ready.jp/guide/trademark-and-ai-creations/)[広げる／ガバナンスと法令AIで作る広告と景品表示法の注意嵐保憲2026-11-12](https://www.ai-ready.jp/guide/advertising-law-and-ai/)[定着させる／ガバナンスと法令AIのリスク管理の進め方（NIST AI RMF・ISO/IEC 42001）石田誠2026-11-12](https://www.ai-ready.jp/guide/ai-risk-management-framework/) ## 出典 1. [OECD「Defining AI incidents and related terms」（2024年5月）](https://www.oecd.org/en/publications/2024/05/defining-ai-incidents-and-related-terms_88d089ec.html) 2. [経済産業省「AI事業者ガイドライン（第1.2版）」（2026年3月31日）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/20260331_report.html) 3. [AI事業者ガイドライン（第1.2版）本編（PDF）](https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf) 4. [人工知能戦略本部「人工知能関連技術の研究開発及び活用の適正性確保に関する指針」（2025年12月19日、PDF）](https://www8.cao.go.jp/cstp/ai/ai_guideline/ai_gl_2025.pdf) 5. [個人情報保護委員会「漏えい等の対応（民間事業者の場合）」](https://www.ppc.go.jp/personalinfo/legal/leakAction/) 6. [IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版。付録8 中小企業のためのセキュリティインシデント対応の手引き）](https://www.ipa.go.jp/security/guide/sme/about.html) 最終確認日：2026-11-12 ## 次の一歩 [測るAI-Ready診断（無料）いまの準備状況を、7つの柱で確かめられます。](https://www.ai-ready.jp/diagnosis/) [相談する結果の解説（30分・無料）診断の結果をもとに、オンラインでご説明します。](https://www.ai-ready.jp/consult/review/) [窓口ご相談のお申し込み経営・M&A・事業承継・上場・バリューアップはフロレンティナ、AIの導入・開発・データ・セキュリティ・研修はアメリア・テクノロジーがお受けします。](https://www.ai-ready.jp/consult/apply/) 目次 1. AIの事故とは、どんな出来事ですか？ 2. なぜ、平時に備えておくのですか？ 3. 平時に何を決めておけばよいですか？ 4. 事故が起きたときは、どう進めますか？ 5. 個人データが関わる場合の報告は、どうなりますか？ 6. AIに特有の準備で、見落としやすい点は何ですか？ 7. チェックリスト 8. よくあるご質問 この記事が扱う柱 主に「ガバナンスと法令」、あわせて「基盤とセキュリティ」 [ガバナンスと法令の解説](https://www.ai-ready.jp/about-ai-ready/governance/)[基盤とセキュリティの解説](https://www.ai-ready.jp/about-ai-ready/infrastructure-security/) 自社の準備度を確かめる 10問・約3分・登録不要。7つの柱ごとの目安がわかります。 [無料で診断する](https://www.ai-ready.jp/diagnosis/quick/) --- 出典：フロレンティナ株式会社「AIの不具合・事故への備えと対応：平時の準備と、起きたときの流れ｜AI-Ready.jp」 https://www.ai-ready.jp/guide/ai-incident-management/