金融安定理事会（FSB）は2026年10月15日、報告書「人工知能の責任ある導入のための健全な実践」の最終版を公表し、世界の金融機関に向けた12の実践を示すとともに、各機関の取締役会と経営陣が自社のAIガバナンス、リスク管理、内部統制の枠組みをこのリストと照らし合わせることを強く推奨した。最終版は2026年6月に公表された市中協議案を受けたもので、FSBは同日、協議への意見の概要も公表した。
新しい法律ではないが、各国監督当局が物差しにできる
FSBは24の国・地域の金融当局の作業を国際的に調整する機関であり、自ら執行権限を持つわけではない。12の実践も、拘束力のある国際基準を構成しない。公式の位置づけは、機関の規模やリスク特性に応じて調整し、サイバーや第三者リスクの既存の枠組みに組み込める「実践的なツールキット」である。重みがあるのは、加盟する監督当局が同じテーブルに着いているからだ。自国の監督当局が検査や取締役会への質問を行う際に、このリストを項目ごとに照合する可能性がある。従わなくても今日FSBから罰金が科されることはないが、自国の規制当局に答えられない事態になりかねない。シンガポール通貨庁（MAS）が2026年10月7日に確定したAIリスク管理ガイドラインとも異なる。あちらは一つの法域が自国の金融機関に向けた監督ガイドラインであり、FSBの文書はグローバルで、銀行、保険会社など幅広い金融機関を対象とし、統一した遵守期限も設けていない。
最初の4項目は取締役会に問い、残り8項目はライフサイクル全体を管理する
第1グループの4項目は機関全体のガバナンスである。取締役会と経営陣はAI導入を事業モデル、リスク選好、戦略と整合させること、ガバナンスの役割と責任を明確に定めること、AIリスクを既存のリスク管理の枠組みに組み込み、AIの利用箇所を文書化すること、技術の変化に応じて学び続け適応することである。第2グループの8項目は、個別のユースケースを着手から廃止まで追う。着手時とその後の重要性・リスク評価、タスクに適した技術の選定、学習・テスト・運用データの正確性、完全性、信頼性、安全性を保つデータガバナンス、説明可能性が限られる場合のより説明可能な手法や補完的統制の検討、リスクに応じた性能評価、テスト、継続的モニタリング、適切で実効的な人による監督、AI関連のサイバー・ICTリスクの管理、そして性能、透明性、データ品質、サプライチェーンの集中、事業継続を含む第三者AI依存のリスク管理である。
最終版で最も大きく変わったのは、エージェントへの「承認ゲート」
ロイターの最終版に関する報道によれば、FSBは6月の協議を経てエージェント型AIに関する部分を強化した。ユースケースのリスクが高いほど人による監督を手厚くし、エージェントがどの行為の前に人の承認を得なければならないかを、リスクに基づく明確なトリガーとして事前に定めるべきだという。また最終版は、AIを「合成従業員」のように扱う考え方を取りやめ、AIエージェントは人間のようには推論せず、あらかじめ定められた目標を予期しない形で解釈する可能性があると機関に注意を促している。論理は単純だ。自ら行動できるシステムの権限の境界は、原則の中だけに置くのではなく、具体的な承認トリガーとして書き込む必要がある。
金融機関が今すぐ補うべき4つのこと
第一に棚卸しである。機関内のAIユースケース、データの出所、第三者への依存を登録し、実践が求める利用記録の不足を埋める。第二にエージェントの格付けである。重要性とリスクに応じて、自動で実行してよい行為と必ず人の承認が要る行為を分け、トリガーを会議の議事録ではなくシステム設定に書き込む。第三に説明可能性の負債の返済である。仕組みを説明できない高リスクモデルは、より説明可能な手法に切り替えるか、人によるレビューや上限設定などの補完的統制を加え、対象ごとに適した透明性を示す。第四に第三者リスクを自社のリスクとして扱うことである。ベンダーの性能、データ品質、集中度を定期的に見直し、契約には監査と撤退の取り決めを残す。銀行や保険会社にAI製品を売る供給側も備えが必要だ。顧客のデューデリジェンスの質問票はこの12項目に沿って長くなる可能性が高く、データガバナンスと人による監督に答えられなければ、商談はコンプライアンスの段階で止まる。
