オーストラリアの金融サービスにおけるAIと二重規制の課題
オーストラリアの銀行、保険会社、退職年金(スーパアニュエーション)基金は、二重の規制構造の下で事業を行っており、これが重層的なAIガバナンス義務を生み出しています。APRA(オーストラリア健全性規制庁)は健全性、すなわち規制対象事業体の財務面および業務面のレジリエンスを規制します。ASIC(オーストラリア証券投資委員会)は市場行為、すなわち事業体が顧客をどのように扱い、利益相反をどのように管理し、自社の商品やサービスをどのように説明するかを規制します。両規制当局はいずれもAIに適用される既存の権限を有しており、またいずれも、AIガバナンスは独立した技術上の事項として扱うのではなく、事業体のガバナンス枠組みに統合されるべきであるとの期待を示しています。
APRAのAIガバナンスに関する期待
CPS 230「オペレーショナルリスク管理」: 2025年に発効したAPRAのオペレーショナルリスク管理基準は、重要な事業活動で使用されるAIシステムに直接適用されます。CPS 230は、事業体がAIを含むテクノロジーに関連するオペレーショナルリスクを特定し、評価し、管理することを求めています。事業体は適切な統制を維持し、事業継続性を検証し、第三者のテクノロジーサービス提供者を管理しなければなりません。これはAIプロバイダーやモデルベンダーにも関係します。
CPS 234およびCPG 234「情報セキュリティ」: 拘束力を持つ義務は健全性基準CPS 234「情報セキュリティ」であり、事業体は直面する脅威に見合った情報セキュリティ能力を維持し、情報資産をその重要性と機微性に応じて特定し分類することを求められます。CPG 234はCPS 234の遵守方法に関するAPRAの健全性実務ガイドであり、実務ガイドとして良好な実務についてのAPRAの見解を示すものであって、それ自体が執行可能な要求事項を課すものではありません。そこで扱われる資産管理、アクセス制御、インシデント管理、第三者評価は、いずれもAIシステムに直接当てはまります。AIモデルは情報資産であり、CPS 234の下で情報資産として分類し保護すべきです。
CPS 220およびSPS 220「リスク管理」: APRAの業態横断的なリスク管理基準であるCPS 220は、ADI(預金取扱金融機関)、損害保険会社、生命保険会社およびフレンドリー・ソサエティ、ならびに民間医療保険会社に適用されます。RSEライセンシーには適用されず、退職年金の受託者は同等の基準であるSPS 220の適用を受けます。いずれも、新興リスクを含むすべての重要なリスクを網羅した包括的なリスク管理枠組みを求めています。AIリスクは新興リスクであり、APRAは事業体のリスク枠組みにおいてこれが特定、評価、管理されていることを期待しています。AIリスクに対する取締役会および上級経営層の説明責任は、適用される基準のアカウンタビリティ要件から導かれます。
モデルリスク管理: モデルリスクに関するAPRAの監督上の焦点は、伝統的な統計モデルからAI/MLモデルへと拡大しています。APRAは、既存のモデルリスク管理の枠組み、すなわち検証、文書化、モニタリング、エスカレーションが機械学習モデルにも適用されることを期待しています。APRAは2026年4月30日の業界宛書簡において、AIシステムを独立して評価するための第2線の能力やツールが限られていることなど、アシュアランスの実務がAIの導入に追いついていないと指摘しました。既存のMRM枠組みの多くは、機械学習モデルが提起する解釈可能性および分布ドリフトの課題に適用した場合、ギャップを抱えています。
ASICのAIに関する行為規制上の期待
責任ある貸付義務: AI主導の与信審査、書類確認、融資判断は、国家消費者信用保護法における責任ある貸付義務を遵守しなければなりません。ASICは、AIの利用によってこれらの義務の実質が変わることはなく、プロセスが自動化されているか否かにかかわらず、貸し手は合理的な調査と検証について責任を負い続けることを明確にしています。
最善利益義務(金融アドバイス): AIを活用した金融アドバイスや、アドバイスに近接するデジタルツールは、会社法(Corporations Act)における最善利益義務を遵守しなければなりません。デジタルアドバイスに関するASICのガイダンスは、自動化の程度にかかわらず同義務が適用されることを明確にしています。
RG 271「内部苦情処理(IDR)」: RG 271にAI固有の規定はありませんが、その義務は苦情そのものに結び付いており、その基礎となる判断を何が行ったかによりません。したがって、AI主導の判断に関する苦情も同じIDRの要求事項の対象となります。事業者が苦情を全部または一部拒否する場合、IDR回答は、提起された論点を特定してこれに応答し、重要な事実問題についての判断を示すことにより、その理由を明らかにしなければなりません。組織は、自動化を理由として苦情処理手続を拒否したり、不利益な判断について不十分な説明しか行わなかったりすることはできません。
ロボデットがオーストラリアのAIガバナンスに与えた影響
ロボデット(Robodebt)王立委員会の調査結果は、APRAやASICを含むオーストラリアの規制当局が自動意思決定にどう向き合うかに実質的な影響を与えました。自動化されたシステムが体系的に違法な結果を大規模に生み出しうること、そして組織がそうした結果を認識できず、あるいは対応できないことがあるという指摘は、AIガバナンスの失敗に対するオーストラリアの規制当局の感度を高めました。このことは、監督上の対話においてAIへの注目を強めるAPRAの姿勢や、AIと行為規制上の義務についてのASICの明示的な表明に見て取れます。
2026年5月の最新動向:APRAとASICがAIガバナンスへの期待を引き上げ
2026年4月末から5月初めにかけて、APRAとASICの双方がAIに関する重要な新たなガイダンスを公表し、オーストラリアの金融サービス事業者に求められるガバナンス水準を実質的に引き上げました。
APRAが2026年4月30日に公表した業界宛書簡は、APRAとして初めて公表されたAI固有の期待を示すものです。2025年後半に実施した大手銀行、保険会社、退職年金基金の受託者を対象とする重点レビューに基づき、APRAは、ガバナンス、リスク管理、アシュアランス、オペレーショナルレジリエンスの実務がAIの導入速度に追いついていないと結論づけました。APRAは現在、少なくとも次の事項を期待しています。AIガバナンスのための正式な枠組みと報告経路、設計から廃止までAIライフサイクル全体にわたるオーナーシップと説明責任、すべてのAIツールおよびユースケースの一覧、高リスクの判断における人の関与と説明責任、そして体系的な従業員研修です。APRAはまた、ベンダーの集中度の高さも重要な懸念事項として指摘しました。多くの事業体が単一のAIプロバイダーに依存し、撤退や代替の戦略が限られており、これはCPS 230の要求事項に直接関わります。
ASICが2026年5月8日に公表した公開書簡は、フロンティアAIモデルが既存のサイバー脅威を著しく強め、攻撃の速度、規模、有効性を高めていると警告しています。サイモーン・コンスタント委員は、すべてのAFS(オーストラリア金融サービス)ライセンス保有者および市場参加者に対し、サイバーレジリエンスの基礎を直ちに強化するよう求めました。ASICはこの姿勢を、サイバーセキュリティ上の不備を理由とするFIIG Securities Limitedに対する250万ドルの法執行措置によって裏付け、サイバーリスク管理が不十分な場合にはライセンス保有者に責任を問う方針を示しました。ASICは、取締役会が統制の有効性についての証拠、すなわちテスト結果、独立した監査の指摘事項、実際のインシデントから得られた教訓を求めることを期待しており、経営陣の保証だけでは足りないとしています。
これら2つの書簡は、同じリスクの表裏を描いています。APRAは組織が内部でAIをどのように導入し統治するかに焦点を当て、ASICはAIが外部の脅威環境をどのように変えるかに焦点を当てています。いずれも、より強固なガバナンス、より明確な説明責任、そして統制が実際に機能しているという証拠を求めています。
一次情報源: AIに関するAPRAの業界宛書簡、2026年4月30日 | ASICメディアリリース 26-092MR、2026年5月8日