金融機関における「責任あるAI」の実現に向けたガバナンスの要点

生成AIの普及により、大小問わず多くの企業で生成AIの活用に係る検討が活性化しています。金融機関においても、個人作業の支援（メール作成など）から、社内業務の効率化（稟議書の作成など）、さらには重要な意思決定（顧客対応や融資の審査支援など）への活用が検討されています。生成AIの活用は、ビジネス上の重要なテーマとなっています。他方、生成AIの導入に伴い、権利侵害やハルシネーション（幻覚）などの新たなリスクが登場しています。AIに係るリスクが多様化、かつ複雑化しており、各国当局のAIに対する規制・ガイドライン策定の動きも活発化しています。

そのようななか、金融機関においては生成AIの潜在リスク（透明性・安全性・公平性など）に対し、責任を持って安心・安全で説明が可能な態勢を構築する「責任あるAI」（内閣府）の実現が今まで以上に強く求められています。

本稿では、従来のAIと比べた生成AIのリスクの特徴を踏まえ、金融機関において「責任あるAI」を実現するために必要となるガバナンスの要点について解説します。

1．金融機関における生成AIの活用状況
2．従来のAIと生成AIとの違い
3．生成AIの固有リスク
4．AIに係る各国の規制動向
5．金融機関において「責任あるAI」の実現に必要なガバナンスの要点
（1）アジャイル・ガバナンスの構築
（2）ライフサイクルに沿ったリスク管理態勢の整備
（3）業務横断的なリスク管理態勢の整備
6．おわりに

多くの金融機関において、生成AIは個人作業の支援ツール（議事録やメール作成など）としての導入が進んでいます。最近では、社内データを活用した業務効率化（契約書や稟議書のドラフト作成など）の実現に向けて、PoC（実証実験）が進められています。今後は、生成AIをビジネス上の重要な意思決定（融資審査など）への活用が進められると予想されます。

【金融機関における生成AIの活用パターン】

従来のAIの主な機能は、業務ごとに正規化された大量の学習データを用意し、そのデータに基づいて結果を予測することです。また、利用するには前提知識の取得やトレーニングが必要となります。

他方、生成AIの主な機能は、多様な目的のために文章や画像などを生成することです。生成AIには、膨大なデータを事前に学習することで構築された高性能な基盤モデルが備わっています。そのため、各業務にあわせて準備するデータ量は最小限で済みます。加えて、正規化されていない自然言語の投入によるモデリングが可能なため、利用者は最低限のトレーニングで直観的に利用することができます。

これらの違いにより、従来のAIでは導入の障壁であった多大な学習データの準備や、人材育成などに係るコストとスケジュールが、生成AIの発達により大きく低減されました。用途によっては即座に導入可能であるため、社内のあらゆる部門において、生成AIの活用を簡単に検討することができるようになり、将来想定されるユースケースが飛躍的に増加しつつあります。しかし、その生成AIの用途拡大に伴って、検討が必要な潜在リスクも増加しています。

生成AIの主な固有リスクには、以下の4点が挙げられます。
まず1つ目は、出力結果が不正確で、誤った業務判断を引き起こすハルシネーションと呼ばれる「信頼性に係るリスク」、2つ目は、生成AIを用いたサービスにおけるブラックボックス問題により、不測の事態に説明責任を果たせない「透明性に係るリスク」、3つ目は、個人情報や機密情報が漏えいする「堅牢性に係るリスク」、4つ目は、著作権侵害など「法令順守・コンプライアンスに係るリスク」です。
これらのリスクに対する一般的な対応としては、以下のようなコントロールが考えられます。

【生成AIに係る主な固有リスク】

AIに係る法規制は、生成AIが普及してから各国で急激に変化しています。今後、金融機関が生成AIを用いて顧客サービスを提供する場合、その社会的影響は大きく、多くの顧客からリスクが高いサービスであると識別される可能性があります。その場合、当該AIサービスに対しての厳格なリスク管理が求められ、もし違反した場合には厳しい罰則が科せられる恐れがあります。そのため、金融機関において「責任あるAI」を実現するガバナンス態勢の整備は不可欠であると言えます。

【生成AIに係る主な各国の法規制】

生成AIのリスクに対する一般的なコントロールは第3章で記述したとおりですが、これだけでは不十分です。金融機関において「責任あるAI」を実現するためには、生成AIのリスクの特徴を踏まえたうえで対応すべき3つの重要なガバナンスの要点があります。

【生成AIのリスクの特徴と重要なガバナンスの要点】

（1）アジャイル・ガバナンスの構築

1つ目は、生成AIの活用により創出される新規サービスやそれらに伴うリスクについて、近い将来であっても正確な予測が困難であるという特徴です。理由として、生成AIに係る技術や顧客ニーズなど社外の環境変化が激しいことや、導入が容易であるため社内のあらゆる部門において生成AIの活用方法の継続的な試行が可能であることが考えられます。

そのため、社内外の環境変化をタイムリーに捉え、経営層の指示の下で経営ビジョンや自社のAIポリシーと生成AIの用途との整合性を確認することや、企業全体で開発や利用ルールなどの整備・評価・改善を継続的に行うアジャイルなガバナンス管理態勢を構築することが必要です。

（2）ライフサイクルに沿ったリスク管理態勢の整備

2つ目は、生成AIを活用したサービスには多様なステークホルダー（戦略・企画立案者／データ準備者／モデル開発者／利用者など）が関与するため、責任範囲が複雑化し、責任の主体を明確にすることが困難という特徴です。

そのため、企画、業務要件定義、PoC～設計・開発、運用、評価といったサービス利用に係る各ライフサイクルにおけるリスク管理態勢を整備し、適切にモニタリングすることが重要です。ステークホルダーごとの責任を明確にし、各ライフサイクルのリスクとコントロール、リスクのオーナーを整理することが求められます。

（3）業務横断的なリスク管理態勢の整備

3つ目は、生成AIの活用に伴うリスクは、複数のリスク領域に跨りやすいという特徴です。たとえば、生成AIで作成した資料を用いてサービス提供を行う場合、ハルシネーション（誤情報の含有）や、セキュリティ（顧客情報の流出）に係るリスク、著作権侵害（他社情報の流用）に係るリスクの検討も重要です。また、外部の委託先企業のモデルを活用する場合は、既存のサードパーティーリスク管理の枠組みで対応可能かといった考慮も必要になります。

そのため、生成AIのリスクには複数のリスクカテゴリーに対し、ITやDXに係る部門、個人情報やセキュリティに係る部門、規制や倫理に係る部門などの関与による委員会の設立や、ワーキンググループを組成し、業務横断的な態勢で対応することが重要になります。

なお、生成AIのリスクに係る部門の責任範囲を明確にし、実効性を高める際には金融庁が公表した「モデル・リスク管理に関する原則」にて掲げられているモデル・リスク管理の態勢が参考になります。生成AIのモデルを活用するモデル・オーナー部門（1線）が当該モデルの手法や仮定を可視化し、モデルのリスクを評価します。また、可視化されることによりリスク管理部門（2線）や内部監査部門（3線）による当該リスクの客観的な検証が可能になります。

生成AIに対する金融機関の期待は高まり続けています。背景には、国内外の深刻な人材不足や、フィンテック企業など新しい競合との競争激化に伴う、業務の効率化・高度化の要請が進むことが考えられます。加えて、AML（アンチ・マネー・ローンダリング）やサイバーセキュリティ対策など、周辺業務の複雑化も増しており、金融機関において生成AIの活用は不可欠です。他方、多くの金融機関において生成AI活用やリスク管理に係るノウハウの蓄積は途上にあります。

そのため、金融機関は生成AIの活用について業務の優先度と、リスクの重要度の両方を見極めながら、適切に社内のリソースを配分して「責任あるAI」の実現に向けたガバナンス整備の推進が重要になります。

＜参考資料＞
総務省・経済産業省「AI事業者ガイドライン（第1.0版）（2024年4月）」
金融庁「モデル・リスク管理に関する原則（2021年12月）」

KPMGコンサルティング
シニアマネジャー　石田 正悟