米通貨監督庁（OCC）は、銀行で使われるAIを審査する担当者向けに、初の監督枠組みを示しました。性能の高さだけでなく、自律性、誤作動した際の影響、処理を元に戻せるか、人が統制できるかを評価し、完全に自律した決済エージェントを最高リスクに置きます。
- OCCが銀行AI向け初の監督枠組みを提示
- 自律決済エージェントを最高リスクに分類
- 4段階の例示区分と人の承認を提示
- 外部AIの権限制限と緊急停止を検討
AIの性能よりも自律性と誤作動時の影響をみる枠組み
米通貨監督庁（OCC）は、銀行におけるAIの利用を審査する担当者向けに、初の監督枠組みを示しました。審査では、AIモデルの性能だけでなく、誤作動した場合に何が起きるか、処理を元に戻せるか、人がどの程度コントロールできるかを評価軸としています。
この枠組みは、AIの技術的な高度さと利用時のリスクを同じものとして扱いません。社内文書の作成に用途を限った高度なAIよりも、送金を開始できる単純なAIエージェントの方が、大きな影響を及ぼす場合があると整理しています。AIが担う処理と、その処理が失敗した場合の影響を結び付けて評価する考え方です。
自律的な決済と外部AIエージェントに対する安全策
例示的なリスク区分は4段階で、完全に自律した決済エージェントやリアルタイムの与信判断システムを最も高い区分に置きます。一方、社内の基本的な生産性向上ツールは低い区分とされています。高リスクのシステムでは、自律的に動ける範囲を狭めること、独立したテストを行うこと、重要な処理の前に人の承認を求めることなどが対策として示されました。
顧客、フィンテック企業、他の事業者が運用する外部のAIエージェントについても、銀行がその仕組みを直接管理していない場合にリスクが生じ得るとされています。本人確認、委任する権限の範囲、取引額の上限、監視、接続の停止・取り消しが、審査で検討する措置に挙げられました。AIが有害な判断を続ける事態に備え、処理を遮断する仕組み、実行回数の制限、権限の限定、緊急停止の手段も想定されています。
既存のリスク管理で評価する非拘束的な指針
この枠組みは新たな規制要件や法的拘束力のある基準を設けるものではありません。銀行は、業務運営、法令順守、サイバーセキュリティーに関する既存のリスク管理の枠組みの中でAIを評価し、AI専用のリスク区分を新設する必要はないとされています。
対象には決済、不正検知、顧客対応などの銀行業務に使うAIのほか、銀行の経路に接続する外部AIエージェントも含まれます。技術の発展に合わせて指針を更新する方針が示される一方、現時点の例示的な区分では、テストで良好に動作していても、完全に自律した決済エージェントは最高リスクに置かれます。
