海外AIが突然使えなくなる前に考えるAI利用BCP

なぜ海外AIは突然使えなくなり得るのか

AIサービスの継続性を、クラウド障害だけで考えるのは不十分です。政府の命令、輸出規制、制裁、提供企業と政府機関の対立によっても、使える機能や契約の範囲は変わり得ます。

米国で報じられた「AI Kill Switch Act」は、議会が承認した場合、政府当局がAI企業にユーザーアクセスの遮断、特定機能の無効化、システム全体の停止を命じられる内容です。対象には、AIから年間5億ドル以上の収益を得る事業者や、少なくとも1億ドル相当の計算資源を使うシステムが含まれます。命令違反には、1日当たり最大2000万ドルの罰金も想定されています。AI Kill Switch Act would let Trump admin order shutdown of rogue AI systems

これは法案段階の話であり、直ちに日本企業の利用者が一斉に使えなくなることを意味しません。ただし、提供者が政府命令に従ってサービスを減速・停止できる機能まで求める構想は、利用企業が自力で制御できないリスクを示しています。

中国製のオープンソースモデルも例外ではありません。2026年7月21日、米財務長官スコット・ベッセント氏は、知的財産の盗用が確認されれば中国のAI企業に制裁を科す能力があると述べました。中国製モデルの全面禁止を検討しているとの報道には異論もあり、確定事項ではありません。US threatens sanctions against Chinese AI models over IP theft

最初に洗い出すべきは「どの業務が止まるか」

対策の出発点は、契約中のAIサービス一覧ではありません。AIが使えないと誰の仕事が止まり、何時間までなら許容できるかを、業務単位で書き出すことです。

議事録の要約が止まっても、会議そのものは続きます。一方、顧客への回答文案、社内検索、ソフトウェア開発のレビューが特定モデルのAPIに組み込まれていれば、担当者は作業手順を失います。部門ごとの便利な活用と、全社の業務フローに埋め込まれた依存を分けて把握したいところです。

止まる時間で優先順位を付ける

• 当日中に人手の手順へ戻せる業務を整理する。
• 停止が1営業日を超えると、顧客対応や売上計上に影響する業務を特定する。
• 法務、人事、顧客情報を扱う用途は、入力データと保存先を別に記録する。
• API、チャット画面、社内連携ツールのどこでAIを呼び出しているかを明らかにする。

モデル名を知っているだけでは管理になりません。利用部門、用途、入力データ、停止時の責任者まで対応付けて初めて、切替の判断ができます。

軍事・安全保障を巡る対立が、契約にひもづく利用範囲を変える例もあります。Anthropicは、戦争省から国家安全保障上のサプライチェーンリスク指定に関する書簡を受け取り、指定は同省との契約に直接関係する顧客利用に限られるとの見解を示しました。同社は円滑な移行についても協議していました。Where things stand with the Department of War

利用制限は、必ずしもサービス全体の停止という形では来ません。契約、地域、用途、機能のどれが制限されても業務が回る設計が必要です。

代替AIを契約する前に、移行できる設計へ変える

第二のAIを用意するだけでは不十分です。プロンプト、参照データ、出力形式、承認手順が一つの提供者に密着していれば、別モデルを契約しても現場はすぐに使えません。

業務の入出力をサービスから切り離す

AIへ渡す指示文は、業務ごとに保管します。回答を受け取る形式も決めます。たとえば顧客回答の下書きなら、「結論」「根拠」「確認が必要な点」といった項目を固定します。モデルが変わっても、利用者が確認する画面と承認の流れを残せます。

社内文書を検索に使う場合は、原本、更新履歴、アクセス権を自社側で管理します。AIサービスに渡したファイルだけが唯一の保管場所になると、利用停止と同時に情報への到達経路も失われます。

代替策は三層で持つ

1. 同じ用途を別の外部AIサービスで実行する手順を用意する。
2. AIを使わない手作業のテンプレートと担当者を決める。
3. 重要度が高い処理は、自社環境または管理可能な環境で動かせる選択肢を検討する。

三層目は、すべてを内製モデルへ移す提案ではありません。性能、運用負荷、データの扱いを比べ、停止コストが高い業務だけに絞る判断が現実的です。代替先の性能比較より、切替に何日かかるかを測ることが重要です。

BCPは「切替テスト」で初めて機能する

利用停止時の手順書を作ったら、対象サービスのAPIやチャット画面が使えない前提で試します。誰が利用制限を確認し、どの業務を止め、どの代替手順を始めるのか。机上の一覧を、時間順の行動へ変える必要があります。

テストでは、代替サービスへの接続だけを成功条件にしません。過去のプロンプトを使えるか、必要な社内データに正しい権限でアクセスできるか、出力を人が承認できるか、顧客への回答期限を守れるかまで確認します。

経営層は、AI停止をIT部門だけの障害として扱わない方がよいでしょう。調達、法務、情報セキュリティ、業務部門が同じ台帳を見て、契約変更や地政学リスクの兆候を受け取る体制が必要です。停止命令、制裁、提供条件の変更では、それぞれ対応窓口が異なるためです。

まとめ

海外AIのリスクは、性能や料金だけでは測れません。まず優先業務を起点に依存関係を棚卸しし、代替AI、人手運用、データ移行の順で切替手順を整えます。

次のAI導入では、「使えるか」だけでなく、「使えなくなった当日に何をするか」を契約と設計の判断基準に置きたいところです。