金融庁・EU・米国が AI に求める 3 つの規律── 与信と保険料算定を高リスクに分類した EU、原則ベースで対話を選んだ金融庁、既存法の延長で臨む米国──三者の違いが、金融機関の AI 実装の速度と範囲を決める

01130 社調査が示した日本の現在地 ── 93% が AI を使い、顧客向けはこれから

金融庁が 2024 年 10〜11 月に実施したアンケートでは、回答した金融機関 130 社のうち 93.1% が従来型 AI または生成 AI を業務に導入していた。用途は社内文書の要約・翻訳・FAQ 検索が中心で、与信審査や引受審査への適用はリスク管理の高度化として一部で進んでいるものの、顧客に直接触れるサービスへの展開はまだ限定的だった。

2025 年 3 月に第 1.0 版として公表された AI ディスカッションペーパーは、同年 6〜12 月の AI 官民フォーラムでの議論を経て、2026 年 3 月に第 1.1 版へ改訂された。第 1.1 版は、顧客向け生成 AI サービスのリスクを 4 つの観点で整理し、非公開情報の授受規制の明確化や AI エージェントのユースケースを追加した。特定の対応を義務づける規制文書ではなく、「初期的な論点整理」と位置づけている点が、EU との決定的な違いである。

02金融庁が選んだ「原則ベース＋対話」の意味

金融庁の方法論は、規制を先に作るのではなく、実態把握と業界対話を先行させるものだ。AI DP 1.1 版が AI を金融機関が重要な判断に用いる場合の規範として挙げたのは、(1) AI の性質に応じた対応、(2) 学習データの把握、(3) RAG 等の参照データの記録、(4) プロンプトの管理、(5) 出力結果の記録とモニタリングの 5 項目である。いずれも「何をすべきか」の原則であり、「こう実装せよ」という技術仕様ではない。

この設計には理由がある。日本の金融規制は伝統的に、業態ごとの監督指針と検査マニュアルの組み合わせで運用されてきた。AI は業態を横断する技術であるため、業態別の規制に収めにくい。金融庁が選んだのは、既存の監督体系を維持したまま、AI 固有の論点を対話の中で積み上げる方法だった。2025 年 6〜12 月の AI 官民フォーラムで 7 回の会合が持たれ、銀行・証券・保険の各業態から事例が共有された。

03EU AI 法 ── 信用評価と保険料算定を「高リスク」に指定した

EU AI 法（Regulation (EU) 2024/1689）は 2024 年 8 月に発効した。金融分野で最も影響が大きいのは、附属書 III（Annex III）の高リスク分類である。同附属書は「自然人の信用力の評価または信用スコアの算定」に用いる AI と「生命保険・健康保険の引受におけるリスク評価と料率算定」に用いる AI を、高リスク AI システムに指定した。不正検知に使う AI は対象外とされている。

高リスクに分類されると、提供者（provider）にはリスク管理体制（第 9 条）、データ統治（第 10 条）、技術文書（第 11 条）、ログ管理（第 12 条）、透明性と使用説明（第 13 条）、人間による監視（第 14 条）、精度と堅牢性（第 15 条）、品質管理体制（第 17 条）、適合性評価（第 43 条）の義務が課される。違反した場合の制裁金は最大 1,500 万ユーロまたは全世界年間売上高の 3% のいずれか高い方である。

04Digital Omnibus で高リスク義務は 2027 年 12 月に延期された

EU AI 法の高リスク義務は当初 2026 年 8 月に適用開始の予定だった。しかし EU は 2026 年 5 月に Digital Omnibus on AI の政治合意に達し、同年 7 月に Regulation (EU) 2026/1744 として官報に掲載、7 月 27 日に発効した。これにより、附属書 III の高リスク AI（与信スコアリング・保険引受を含む）の義務適用は 2027 年 12 月 2 日に延期された。附属書 I に掲載された規制対象製品に組み込まれた AI はさらに遅く、2028 年 8 月まで猶予がある。

延期の背景には、産業界からの準備不足の訴えがある。ただし、すでに適用されている義務は変わらない。2025 年 2 月からの禁止行為（第 5 条）、2025 年 8 月からの汎用目的 AI（GPAI）提供者の義務、2026 年 8 月からの透明性・AI コンテンツ表示義務（第 50 条）は予定通り施行されている。延期されたのは高リスク AI の提供者・利用者に課される詳細義務であり、規制の枠組み自体は動いている。

05米国 ── 連邦統一法なし、既存の SR 11-7 と NAIC モデル公報で対応

米国には AI に特化した連邦金融規制法がない。銀行監督機関（OCC・FRB・FDIC）は、2011 年の SR 11-7（モデルリスク管理に関するガイダンス）を AI にも適用する立場を取っている。SR 11-7 は、モデルの開発・実装・利用にわたるリスク管理の枠組みを定めたもので、AI が登場する以前に策定されたが、「モデル」の定義が広いため AI にも適用可能とされている。

GAO（米国会計検査院）は 2025 年 5 月に報告書（GAO-25-107197）を公表し、連邦金融監督機関の AI 対応を検証した。報告書は、金融機関が AI を与信判断・不正検知・アルゴリズム取引・顧客対応に使っている実態を確認し、監督機関が既存のリスクベース検査と既存ガイダンスで対応していると述べた。ただし NCUA（全米信用組合管理庁）については、モデルリスク管理ガイダンスの範囲と詳細が不十分であること、テクノロジーサービス提供者を検査する権限がないことを制度上の穴として指摘し、改善を勧告した。

保険分野では、NAIC（全米保険監督官協会）が 2023 年 12 月に「保険会社による AI の利用に関するモデル公報」を採択した。2025 年 8 月時点で 24 州がこの公報を採用している。公報は、保険会社に対し AI のガバナンスとリスク管理のプログラムを整備するよう求め、引受・料率算定・マーケティング・保険金支払いの各段階で AI がどう使われているかを州の監督官に説明する義務を定めた。連邦法ではなく州ごとの採用であるため、州による温度差が残る。

06与信と保険の AI が規制対象になる理由 ── 個人の生活を左右する判断だから

三極の規制がいずれも与信と保険に注目するのは、これらが個人の経済生活を直接左右する判断だからだ。信用スコアが低く出れば住宅ローンが組めない。保険料が高く算定されれば、生命保険に加入できない人が出る。判断の根拠が不透明なまま AI が結論を出すと、異議を申し立てる手段がなくなる。

EU AI 法が信用評価と生命・健康保険を高リスクに分類した一方で、損害保険（自動車・火災など）を対象外にした点は、この論理と整合している。生命保険と健康保険は、加入拒否が個人の生存や医療へのアクセスに影響する。損害保険はモノに対する補償であり、影響の性質が異なる。金融庁の DP もリスクの度合いに応じた対応を求めており、すべての AI を同列に扱う設計にはなっていない。

製薬・医療との接点もここにある。健康保険の引受 AI が参照するデータには、被保険者の既往歴や遺伝的傾向が含まれうる。生成 AI が診断支援に使われ、その結果が保険引受データに反映される場合、データの出自と精度が保険料の公正さに直結する。EU AI 法の高リスク義務が求める「データ統治」と「人間による監視」は、この連鎖を断ち切るための設計である。

07金融機関が今から整えるべき 3 つの実務

三極の規制の差異はあるが、金融機関が取るべき実務には共通点が多い。

第一に、AI モデルの台帳を整備する。社内で使われている AI モデルを一覧化し、用途・学習データ・更新頻度・責任者を記録する。EU AI 法の技術文書義務も、金融庁 DP の「出力結果の記録とモニタリング」も、まず何があるかを把握する段階から始まる。SR 11-7 のモデルインベントリとほぼ同じ作業である。

第二に、判断の説明経路を設計する。与信判断や保険料算定で AI を使う場合、なぜその結論に至ったかを顧客に説明できる経路を用意する。EU AI 法第 13 条が求める透明性義務は、ブラックボックスの禁止ではなく、利用者が結果の意味を理解できる情報の提供である。日本では金融庁が AI 官民フォーラムで説明可能性の論点を取り上げており、米国では CFPB が貸出差別に関する監視を強めている。

第三に、三極の規制動向を追跡する体制を作る。EU の Digital Omnibus による延期は 16 ヶ月の猶予を与えたが、2027 年 12 月の期限は確定している。金融庁は DP の次の改訂を予告しており、米国では ABA（米国銀行協会）が SR 11-7 の改訂を求めている。規制の形が固まってから対応するのでは遅い。法務・リスク・IT の三部門が共同で追跡する仕組みが要る。