インシデント報告：AI が下書きし、人が届け出る

法域別の届出ルール

何が届出対象になるかには独自の定義があり、オーストラリアの州・準州にはそれぞれの規制当局があって、モデル法の採用状況も異なります。所管の規制当局のガイダンスを読んでください。このページはその代わりにはなりません。

インシデントは記録も生みます。米国では、従業員が10人を超える雇用主は OSHA 様式 300、300A、301 を保管します（一部の業種は適用除外）。オーストラリアの建設業では、セーフ・ワーク・オーストラリアによると、関連するリスクアセスメント、WHS 計画、作業安全手順書（SWMS）を「インシデントの後二年間」保管します。

データ侵害は別の種類のインシデントです。オーストラリアでは「データ侵害通知制度」（NDB）により、制度の対象となる組織は、侵害によって深刻な被害が生じるおそれがある場合、影響を受ける個人と OAIC（オーストラリア情報コミッショナー事務局）に通知しなければなりません。同じ原則が当てはまります。評価と通知は人が行います。

最初の一時間：AI を重要な経路に入れない

「直ちに」「可能な限り最速の手段で」とは、人が認識した時点ですぐに、電話または規制当局所定のチャネルで連絡することを意味します。届け出る前に AI の下書きを待つべきではありません。理にかなった体制は次のとおりです。

• インシデント手順書で誰がどのように届け出るかを定め、その手順がいかなるソフトウェアの稼働にも依存しないようにする。
• Teams やテキストメッセージで尋ねられたとき、AI は手順書と規制当局の連絡先をすばやく見つける手助けができる。
• 担当者が届け出ている間に、他の人は判明した事実を順次 AI に伝えられる。何が、いつ、どこで、誰に起き、何をしたか。AI は伝えられた内容をタイムスタンプ付きで記録する。
• 規制当局から書面での追加報告を求められたら、AI がそのメモから下書きを作り、責任者が確認する。

届出の後：報告書、台帳、是正措置

インシデントに関する事務の大半は、その後の数日から数週間に発生します。Microsoft 365 の AI ワーカーが真価を発揮するのはここです。

• インシデント報告書の下書き。提供されたメモ、写真、供述をもとに、Word の自社テンプレートで作成します。
• 台帳への記載。インシデント台帳（Excel または SharePoint リスト）への記載案を作り、お客様の承認を得ます。
• 記録の保全。建設案件の SWMS、リスクアセスメント、WHS 計画など、インシデントに関連する書類をまとめて保存し、上書きしないようリマインドします。
• 調査のフォローアップ。目撃者や監督者に供述を依頼し、届くまでリマインドします。
• 是正措置。担当者と期日付きのリストを作り、期日が近づくとリマインドし、管理策が変わる場合はリスク台帳と危険源台帳に注記します。
• 年次記録。OSHA の記録を保管している米国の雇用主の場合、その年の記載内容が、報告カレンダー上の年次サマリーと電子提出につながります。

The Everything は重要なものを送る前に確認を求めるため、規制当局、保険会社、家族に対して、人の承認なしに何かが送られることはありません。

人に残ること

• 応急手当、緊急対応、現場の安全確保。常に最優先です。
• 届出対象かどうかの判断。AI は保存されている定義を示せますが、判断するのはお客様です。
• 届出を行うこと。手順書で指名された人が、電話または規制当局のチャネルで行います。
• 報告書の内容。下書きは出発点にすぎません。事実を確認して署名するのは責任者です。
• 負傷した作業者とその家族との対話。これは決して AI の仕事ではありません。

始める前に

The Everything は、権限を厳密に絞った形でお客様の Microsoft 365 テナント内で動作しますが、AI 処理のためにデータはテナントの外に送られます。プライバシーポリシーでは、AI プロバイダーとして Microsoft（Azure OpenAI）と OpenAI を挙げ、プロバイダーがお客様の国外で情報を処理する場合があるとしています。公開サイトでは SOC 2 や ISO 27001（情報セキュリティの規格）などの認証を主張しておらず、ホスティング国も明示していません。

インシデント記録には、健康情報や負傷者の詳細が含まれることが多く、企業が保有するデータの中でも特に機微なものです。AI ツールにアクセスさせる前に、プライバシー、労災補償、記録保管の義務を確認し、アクセスを必要なフォルダーとリストに限定してください。

よくある質問