シンガポール、金融機関向けAIリスク管理指針を策定　適用期限は2027年と2028年

二つの期限、金融業界にAI監督体制の整備迫る

シンガポールの金融機関は、人工知能（AI）の監督に関する基本的な監督上の期待事項を2027年10月7日までに満たす必要がある。より広範な管理体制、能力、インフラについては、2028年10月7日が期限となる。シンガポール金融管理局（MAS）は2026年10月7日、すべての金融機関とあらゆる形態のAI技術を対象とする「人工知能リスク管理ガイドライン」を公表した。

この枠組みの対象は、チャットボットや職員の文書作成を支援するソフトウェアにとどまらない。従来型の機械学習、コンテンツを生成する生成AI、さらに接続されたツールを通じて判断や行動を実行できるAIエージェントも含まれる。MASは、ツールにアクセスできるエージェントが誤った行動や許可されていない行動を自律的に実行する恐れがあると警告しており、回答の正確さと同様に、行動を実行する権限の管理も重要だとしている。

規制当局のAIリスク管理ガイドラインは、すべての企業に同じ技術要件を課す別個の法律ではなく、監督上の期待事項を定めたものだ。中核となる原則は比例性にある。金融機関はAIの利用状況を把握し、各用途の重要性とリスクを評価したうえで、そのリスクに応じた管理策を導入すべきだとしている。

そのため、規制の対象範囲は広い一方、すべての用途を一律に扱うわけではない。投資助言や顧客のリスク評価に影響するシステムには、社内メールの校正に使うツールとは異なる水準の精査が求められる。違いを決めるのは、製品にAIの表示があるかどうかではなく、顧客や他の金融機関への損害を含む潜在的な影響だ。

対象となる金融機関

対象には銀行、ファンドマネジャー、金融アドバイザー、保険会社、決済機関、取引所、清算機関、カストディアン、信用格付け機関、資本市場商品を取り扱う企業が含まれる。免許が免除されている先物および店頭デリバティブの仲介業者も、明示的に対象に含まれている。

あらゆるAI技術が対象となるため、この枠組みは生成AIだけを対象とする規則集でも、最大手銀行のみを念頭に置いた措置でもない。MASは、AI利用の規模や性質を含め、各機関のリスク特性に合わせた導入を認めている。

このガイドラインは、「公平性、倫理、説明責任、透明性」を意味するFEATなど、既存のMASの要件や原則を補完するものでもある。金融サービスにすでに適用されている幅広い義務に取って代わるのではなく、AIリスク管理の枠組みを追加する。

必要な対応の範囲を判断するうえで重要なのは、対象範囲の広さと管理策の強度を区別することだ。対象となるからといって、すべての企業が同じガバナンス体制を構築する必要はない。一方、各機関には、AIをどこで利用しているか、またシステムの性能低下や利用不能が起きた場合に何が起こり得るかを、根拠をもって把握することが求められる。

2028年10月までに求められる対応

今回の公表に先立ち、2025年11月に意見募集が開始された。MASは2026年8月の議会答弁で、ガイドライン案を近く最終化すると述べ、エージェント型AIも対象に含まれると確認した。10月の発表では、導入を二段階に分ける方針が示された。

• 2025年11月：MASがAIリスク管理ガイドライン案に関する公開意見募集を開始。
• 2026年8月5日：議会答弁で、エージェント型AIを含む金融機関のすべてのAI利用が提案の対象になると確認。
• 2026年10月7日：MASが最終版ガイドラインを公表。
• 2027年10月7日：ガイドラインが発効し、第3節と第4節の期待事項が適用開始。
• 2028年10月7日：金融機関は第5節と第6節の期待事項を満たす必要がある。

この日程では、公表から1年間で中核となる監督、リスク管理、方針の枠組みを整備し、その後の1年間でより広範な運用体制を整える。後の期限まで枠組み全体の適用が延期されるわけではない。

短い報告書では発効日を年の記載なしで10月7日としている。MASの公表文と発表は明確で、発効日は2027年10月7日、段階的な導入は2028年まで続く。

新たな委員会を設けなくても、取締役会が責任を担う

MASは、取締役会と経営幹部にAIリスクを効果的に監督するよう求めている。責任の明確化、リスク許容度の設定、リスク管理の枠組み・方針・手順の整備が含まれる。リスク許容度とは、金融機関が受け入れる用意のあるリスクの水準と種類を指す。

規制当局の発表文は、意見募集で示された実務上の懸念に対応している。既存のガバナンス体制で関連部門をまたぐ十分な監督と調整ができるなら、企業はその体制を活用できる。要件を満たすためだけにAI専門委員会を設置する必要はない。

実施にあたって重要なのは、この区別だ。求められるのは実効性のある説明責任であり、特定の委員会名や組織図ではない。既存の体制でも要件を満たし得るが、AIリスクを監督し、担当者間の調整を行えることが条件となる。

金融機関は、組織全体と個々の用途という二つのレベルでリスクを管理しなければならない。個別には管理可能に見える用途でも、AI利用の拡大に伴い、組織全体でより広い監督体制、技能、インフラが必要になることがある。そのためMASは、導入の拡大に合わせて能力を高めるよう求めている。

利用台帳でリスク評価を具体化

金融機関はAIの利用状況を把握し、適切な詳細度で利用台帳を維持すべきだ。台帳は、どの用途が特に重要かを評価し、必要な管理策を決めるための土台となる。これがなければ、経営幹部は機関のリスクへの曝露を確実に把握できない。

MASは、用途ごとにリスクの重要度を評価することも求めている。平たく言えば、システムの障害、性能低下、利用不能が、金融機関や顧客、他の金融機関を含む利害関係者に重大な影響を及ぼし得るかを判断することだ。

この枠組みは、財務、業務、コンダクト、金融犯罪、評判に関するリスクを挙げている。生成AIには、セキュリティやプライバシー、外部プロバイダーに関連するリスクもある。そのため評価の対象は、モデルが通常正確な回答を出すかどうかの確認にとどまらない。

AIサービスの性能低下や利用不能が重大な影響を及ぼす可能性が低い場合、MASは基本的な方針や手順で対応することを認めている。リスクへの曝露が大きいほど、より高度な管理策が必要となる。実務上の判断基準は、技術の新しさではなく、障害が起きた場合の影響だ。

AI導入後も管理策の継続が必要

ガイドラインは、AIのライフサイクル全体にわたり、リスクに見合った管理策を求めている。ライフサイクルとは、開発・試験から導入、利用、その後の変更に至るまでの各段階を指す。MASは、データガバナンス、試験、人間による監督、サイバーセキュリティ、モニタリング、変更管理を管理策として挙げている。

データガバナンスは、情報の管理や利用のあり方に関するものだ。試験では、システムが想定された目的に適しているかを確認する。モニタリングは運用中の性能を確認し、変更管理は動作やリスクを変え得る改変に対応する。これらは導入前の一度きりの承認ではなく、相互に関連する責任だ。

人間による監督もこの枠組みの一部だ。金融上の判断に影響を与えたり、判断を実行したりできるAIシステムでは、人が出力を読めるかどうかだけが論点ではない。金融機関は、用途のリスクやシステムが実行できる行動に照らし、監督をどう組み込むかを検討しなければならない。

MASは、AIの利用拡大や技術の進化に応じて、管理策を定期的に見直すよう求めている。文章を作成するツール向けに設計した体制も、後にツールが行動を実行できるシステムにアクセスできるようになれば、再評価が必要となる場合がある。ガイドラインは、自律型エージェントの利用拡大に伴う定期的な見直しを明示している。

AIを購入しても説明責任は移転しない

金融機関は、外部企業が開発、運用、提供するシステムを含め、提供するサービスで使われるAIについて引き続き責任を負う。技術を外部委託しても、それが生むリスクへの責任まで委託できるわけではない。

MASは、プロバイダーから十分な保証を得るとともに、そのAIが想定用途に適しているかを評価するよう求めている。実務上の制約や保証の不足がある場合、金融機関は補完的な管理策を適用すべきだ。これは、望ましい保証や管理策を得られないときにリスクを低減するための措置を指す。

規制当局は、そうした措置でも不十分な場合の対応も示している。リスクを金融機関のリスク許容度の範囲内に抑えられないなら、AIサービスの利用制限、一時停止、または置き換えを検討すべきだ。プロバイダーの商業的魅力や、システムがすでに業務に組み込まれていることだけを理由に、利用を続けることは正当化されない。

これは、製品やサービスに組み込まれたAIをめぐる、意見募集での別の懸念にも対応する。重要なのは、金融機関がその機能をどう利用し、結果をどう管理するかであり、モデルを自社で開発したかどうかではない。評価では、プロバイダーの保証と、金融機関が実際に想定する用途を結び付ける必要がある。

追加指針を待たずにエージェント型AIも対象に

エージェント型AIは、回答を生成するだけではない。ツールを使ってタスクを進め、より自律的に行動することがある。金融サービスでは、誤った行動や許可されていない行動のリスクを管理するうえで、権限設定、介入、意思決定の記録が重要となる。

8月の議会答弁で、シンガポール副首相兼貿易産業相、MAS会長のガン・キムヨン氏は、提案されたガイドラインがエージェント型AIを含む金融機関のすべてのAI利用を対象とすると確認した。この答弁は、スンバワン選挙区選出のマリアム・ジャーファー議員が、自律型エージェントと想定される監督要件について尋ねたことに答えたものだ。

ガン氏は、業界と開発した実務的なリソースについても説明した。プロジェクト・マインドフォージの下で、業界は金融機関によるガイドライン導入を支援するAIリスク管理ツールキットを開発した。「金融分野におけるエージェント型AIの実行時保護策（SAFR）」の枠組みは、エージェントの行動を承認し、人間による監督を有効にし、重要な意思決定ごとの経過を記録するためのアプローチ案を示している。

これらのリソースは、監督枠組みとは異なる役割を持つ。ツールキットは導入を支援し、SAFRは運用上のアプローチ案を示すものだ。議会答弁は、SAFR自体を義務化すると発表したものではない。

MASは2027年に、エージェント型AIに関してどのような追加指針が有用か、金融業界と協議する予定だ。具体的な協議日程は示しておらず、協議後に策定する指針の内容も発表していない。エージェントはすでにガイドラインの対象であり、協議が予定されているからといって、リスク管理を先送りする理由にはならない。

規制の明確化と、許容できるリスクの限界

MASは、この枠組みをAIの禁止ではなく、責任ある導入を後押しするものと位置付けている。意見募集では、原則に基づきリスクに応じた管理策を講じるアプローチが支持された一方、既存のガバナンス体制や製品に組み込まれたAI、基本的な方針で十分となる場合について明確化を求める声が上がった。最終版は、主な期待事項を維持しつつ、こうした懸念に対応している。

MAS副専務理事のホー・ハーンシン氏は、AIの潜在的な利点と、能力が高まるシステムを金融機関が理解する必要性との関係に言及した。同氏は次のように述べた。

こうした利点を持続的に実現するには、金融機関がますます高性能化するAIシステムに伴うリスクを理解し、管理する必要がある

この発言は、ガイドラインの中心にある均衡を示している。金融機関は生産性の向上、リスク管理の強化、新たなサービスの創出を追求できるが、それらの提供に使うシステムへの責任を負い続けなければならない。

次の確定した節目は、2027年10月と2028年10月の導入期限だ。エージェント型AIに関する追加協議は2027年に予定されており、MASは必要に応じて監督上の期待事項を継続的に見直し、更新するとしている。新たなエージェント型AI要件について、別の期限は発表されていない。

要点

• MASは2026年10月7日、すべての金融機関とAI技術を対象とするAIリスク管理ガイドラインを公表した。
• 第3節と第4節の中核的な期待事項は2027年10月7日から適用され、第5節と第6節は2028年10月7日までに実施する必要がある。
• 取締役会と経営幹部には効果的な監督が求められるが、AI専門委員会の設置は必須ではない。
• 金融機関はAIの利用状況を台帳にまとめ、リスクの重要度を評価し、潜在的な損害に応じた管理策を適用すべきだ。
• 外部プロバイダーが提供するAIについても金融機関が責任を負い、容認できないリスクがあるサービスの利用制限や置き換えを検討すべきだ。
• エージェント型AIはすでに対象となっている。MASは追加指針の可能性について2027年に改めて協議する予定だ。