SR 26-2 が生成 AI を除外した理由── 従来型モデルの検証手法は生成 AI に通用しない──金融庁・FRB・EU が模索する新しいガバナンスの形

01SR 26-2 は生成 AI を適用範囲から外した

2026 年 4 月 17 日、FRB・OCC・FDIC の三機関は SR 26-2 を共同で発行した。2011 年の SR 11-7 以来 15 年ぶりの全面改訂であり、SR 11-7 と 2021 年の SR 21-8 を同時に置き換えた。SR 26-2 は、モデルの定義を「統計的・経済的・金融的理論を適用して入力データを定量的推計に変換する複雑な定量手法・システム・アプローチ」と定め、単純な四則演算や決定論的ルールベースの処理を除外した。重要度に応じて検証の深さと頻度を変える「マテリアリティ」の概念を導入し、資産 300 億ドル超の銀行を主な適用対象とした。

しかし生成 AI とエージェント型 AI は、この定義の外に置かれた。指針は「novel and rapidly evolving」であることを理由に適用範囲外と明記し、各行の既存のリスク管理実務で統制するよう求めた。つまり、最も急速に導入が進む技術について、連邦レベルの統一的な検証基準がまだ存在しない。

02従来型モデルの検証は「正解との比較」で成り立っていた

SR 11-7 が 2011 年に確立した検証の枠組みは、三つの柱で構成されていた。第一に概念的健全性の評価、第二に継続的なモデル性能のモニタリング、第三にアウトカム分析である。与信スコアリングモデルであれば、実際の貸倒率とモデルの予測値を突き合わせ、乖離が許容範囲に収まっているかを定期的に確かめる。検証は「正解が定義でき、予測と比較できる」ことを前提にしている。

SR 26-2 はこの枠組みを継承しつつ、マテリアリティの導入で検証の粒度に柔軟性を持たせた。重要度の高いモデルは深く、頻繁に検証する。低いモデルは簡素化してよい。従来型の AI・ML モデル、たとえば不正検知の分類モデルや信用リスクの回帰モデルは、入力と出力の対応が明確であり、この枠組みに収まる。

03生成 AI の検証が難しいのは正解が一つに決まらないからだ

生成 AI が SR 26-2 の範囲から除外された技術的な理由は、検証の前提が成り立たないことにある。生成 AI の出力はテキストや画像といった非構造データであり、同じ入力に対しても毎回異なる結果を返す。「正解」を一つ定義して、それとの距離を測る従来の検証手法が直接適用できない。

具体的には、三つの困難がある。第一に、出力の再現性がない。同じプロンプトを同じモデルに与えても、温度パラメータやサンプリングの影響で異なるテキストが生成される。第二に、ハルシネーションの検出に外部の知識ベースとの照合が必要であり、照合そのものの正確性が検証対象になる再帰的な問題が生じる。第三に、モデルの内部状態が数百億のパラメータで構成されており、特定の出力がなぜ生成されたかを追跡することが実質的に不可能である。

04金融庁の 8 原則は AI を含むモデル全般をカバーする

金融庁は 2021 年 11 月に「モデル・リスク管理に関する原則」を公表した。8 つの原則は、ガバナンス、モデルの特定とインベントリ管理、モデル開発、モデル承認、継続モニタリング、モデル検証、ベンダー・モデルと外部リソースの活用、内部監査で構成される。SR 11-7 と同様の体系だが、AI・ML モデルを排除する文言はない。

2024 年 12 月に公表されたプログレスレポートは、原則公表から 3 年間の対話と実態把握の結果をまとめた。全対象金融機関がモデル・リスク管理の枠組み構築を完了し、モデル・ライフサイクル管理の実務を本格化させるフェーズに入ったと報告している。ただし、AI・ML モデルのインベントリ登録やリスク格付の付与は金融機関ごとに進捗が異なり、特に外部ベンダーの大規模言語モデルをどう位置づけるかが課題として残った。

05EU AI 法は高リスク AI に説明可能性と人間監視を義務づけた

EU AI 法（Regulation (EU) 2024/1689）は、与信の信用評価と生命・健康保険の引受に用いる AI を高リスクに分類した。高リスク AI の提供者には、第 9 条のリスク管理体制、第 10 条のデータ統治、第 13 条の透明性義務、第 14 条の人間による監視が課される。第 13 条が求めるのは、利用者が出力の意味を理解できる十分な情報の提供であり、モデルの内部構造の完全な開示ではない。

Digital Omnibus（Regulation (EU) 2026/1744）により高リスク義務の適用は 2027 年 12 月に延期されたが、禁止行為（第 5 条、2025 年 2 月施行）や汎用目的 AI の義務（2025 年 8 月施行）はすでに動いている。金融機関にとっての実務上の論点は、与信スコアリングに生成 AI を組み込んだ場合に、第 13 条の透明性義務をどう満たすかである。従来の統計モデルなら変数の寄与度を示せるが、大規模言語モデルが中間処理に入ると、説明の経路が途切れる。

06製薬の AI 検証にも同じ構造の問題がある

モデルリスク管理の難しさは金融に限らない。FDA と EMA は 2026 年 1 月に「医薬品ライフサイクルにおける AI の良き実践のための 10 原則」を共同で公表した。10 原則は、リスクに応じた検証、使用目的の明確な定義、データ統治、ライフサイクルを通じた性能モニタリング、AI の限界の透明な伝達を求めている。

金融の SR 26-2 が求める検証の三本柱と、FDA・EMA の 10 原則が求める検証の構造は似ている。いずれも「意図した使用目的に対して、モデルが許容範囲内の性能を維持しているか」を問う。違いは対象の性質にある。金融では与信判断の誤りが経済的損失につながり、製薬では品質管理や安全性評価の誤りが患者の健康に影響する。しかし検証の方法論、つまり正解の定義、再現性の確保、ドリフトの検出、説明可能性の担保という課題は、領域を超えて共通する。

07生成 AI のモデルリスク管理で今から整えるべき実務

SR 26-2 が生成 AI を範囲外にしたことは、検証しなくてよいという意味ではない。指針は「既存のリスク管理実務で統制せよ」と述べており、各行に自前のガバナンス構築を求めている。

第一に、生成 AI を含むモデル台帳を整備する。金融庁の原則 2 が求めるインベントリ管理は、生成 AI にもそのまま適用できる。用途、入力データの種類、出力の利用先、責任者、更新頻度を記録する。外部ベンダーの大規模言語モデルは、バージョン変更の通知と影響評価の手順を契約に含める。

第二に、出力の品質評価基準を設計する。正解が一つに定まらない以上、品質を複数の軸で測る。事実の正確性、禁止表現の不在、形式の準拠、利用者の意図との整合といった観点ごとに合否基準を定め、定期的にサンプル評価を行う。人間の評価者による判定と、別のモデルによる自動検査を組み合わせる方法が実務では広がっている。

第三に、説明の経路を業務プロセスに組み込む。生成 AI の内部構造は説明できなくても、「なぜこの AI の出力を採用したか」という人間側の判断根拠は記録できる。EU AI 法第 14 条が求める人間による監視は、モデルそのものの説明可能性ではなく、人間がモデルの出力を理解し、必要に応じて却下できる体制を指している。