ISO/IEC CD 25870とは

ISO/IEC CD 25870とは、AIシステムの事故を報告する際に記録するデータ項目を検討する、開発中の国際規格の委員会原案です。事故の情報を組織や国をまたいで比べやすくするための「記入欄の共通案」と考えると分かりやすいでしょう。名前の「CD」が示すとおり、まだ発行された規格ではありません。

事故報告の何をそろえる案？

AIインシデントは、AIシステムに関わり、害を生じさせた、または生じさせ得た出来事です。実際に被害が出た事故だけでなく、危うく被害につながるところだった事例（ニアミス）も含みます。たとえば社内でAIを使った判断が誤っていたとき、起きた日時、使ったシステム、影響を受けた人、見つけた経緯をばらばらの書き方で残すと、後から原因や再発防止策を比べにくくなります。

ISO/IEC CD 25870が目指すのは、こうした報告に入れる情報の項目をそろえることです。プロジェクト編集者が2026年5月に発表した資料では、当時の作業原案は36の項目を5つの区分に分けていました。管理のための情報、事故の情報、AIシステムの情報、事故の分析、その他の5つで、最も大きいのは、どんな害が起きたかを記す「事故の情報」です。項目の数や区分は、発行までの審議で変わりえます。

対象は、規模や業種を問わず、AIを使う製品・サービスを提供する組織と、それを使う組織です。事故報告の仕組みや対応手順を決める文書ではありません。報告の仕組みをどう作り誰が運営するか、どんな事故を報告すべきかの判断基準、誰が誰へ報告するかは、この案の範囲外と説明されています。

「CD」は発行済みの意味？

CDはCommittee Draft、つまり専門家の委員会で検討する原案です。ISOの公式カタログによると、2025年7月7日に新しい作業項目として承認され、2026年9月17日に委員会原案として登録、9月21日に意見募集が始まりました。この後は国際規格案（DIS）、最終国際規格案（FDIS）を経て発行へ進むのが通常の流れです。編集者の2026年5月の資料は、発行の目標時期を2027年10月としていました。番号が付いていても、内容が確定した国際規格と同じ扱いはできません。

公開カタログで分かるのは題名や開発段階などです。原案の全項目が一般向けに示されているわけではありません。「この項目を書けばISO準拠」「この期限までに行政へ報告する」といった要求を、このカタログから読み取ることはできません。発行までに名称や内容が変わる可能性もあります。

企業は今、何を用意できる？

まずは自社のAI利用先を洗い出し、事故やニアミスが起きたときに記録する欄を点検します。いつ、どのAIシステムで、何が起き、誰にどんな影響があり、誰が確認したか。原因がまだ分からない段階でも、事実と推測を分けて残すと後の調査に役立ちます。これは原案の未公開要件を先取りする作業ではなく、社内の事故記録を整えるための実務的な準備です。

編集者の資料によると、この案はEU AI法やカリフォルニア州のSB 53、医療機器の不具合報告、ソフトウェアの弱点を登録するCVEなど、既存の報告制度の項目とも照らし合わせています。位置づけは、それらを置き換えるものではなく、関わったAIシステムと害の中身を詳しく書く部分で補うものです。調達仕様や社内規程に番号を載せる場合は「開発中の委員会原案を参照」と書き、正式発行後に差分を見直せるようにします。既にあるISO/IEC 42001は、組織のAI管理の仕組みを扱う別の規格です。一方、この原案の焦点は事故報告のデータ項目。管理の枠組み、事故の記録、法律上の報告義務を別々に確かめることが、責任者にとっての判断の要点です。

ISO/IEC CD 25870に関するよくある質問

原案の項目を、今のうちに社内報告書の必須欄として決めてよいですか？

おすすめしません。原案の全文は一般に公開されておらず、項目の数や区分は発行までの審議で変わりえます。社内の様式は後から直せる形にしておき、正式な規格が発行された時点で照合してください。当面の参考には、すでに公開されているOECDの共通報告の枠組みを使う方法があります。

事故の連絡先や法的な報告期限もこの文書で決まりますか？

いいえ。プロジェクト編集者による説明では、誰が、誰へ、どの条件で報告するかはこの文書の対象外です。連絡先と期限は、適用される制度や契約を別に確認する必要があります。