EU銀行のAIガバナンス、重なり合う監督当局、ますます細則的になる監督上の期待

欧州の銀行は、世界で最も細則主義的なAIガバナンスの枠組みに直面している。EU銀行は、複数の重複する規制体系のもとで生じる義務を同時に満たさなければならない。すなわち、規制対象製品としてのAIを対象とするEU AI法、CRR 3/CRD VIによる自己資本およびプルーデンス規制、単一監督メカニズム(SSM)を通じたECB銀行監督の期待、アウトソーシング、内部ガバナンス、オペレーショナル・レジリエンスに関するEBAガイドライン、ICTの第三者リスクを対象とするDORA(デジタル・オペレーショナル・レジリエンス法)、個人データの取扱いを対象とするGDPR、そして所管当局(competent authorities)による各国レベルの監督上の期待である。その結果として生じるのは、AIガバナンスをこれらすべての規制体系を同時に満たすよう設計しなければならない、重層的なコンプライアンス環境である。

ECBの内部モデルに関する監督ガイド(2025年7月)、大きな転換

2025年7月25日、欧州中央銀行(ECB)は、内部モデルに関する監督ガイドの最新版を公表した。このガイドはEU銀行に大きな転換をもたらした。すなわち、モデルリスク管理の期待は、規制上の内部モデル(バーゼルIRB)だけでなく、金融機関が用いるすべてのモデルにまで及ぶことになった。プライシングモデル、ストレステストのモデル、ALM(資産負債管理)シミュレーション、AIおよびMLのモデルは、いずれもMRM(モデルリスク管理)の対象となる。従来の二層構造のガバナンス手法、すなわち規制モデルには強力な統制を、それ以外のすべてには軽めのその都度対応の統制を置くという手法は、もはや明確に許容されない。

2025年版ガイドの第9章は、とりわけ機械学習モデルに焦点を当てている。ECBはMLベースの手法を歓迎しつつも、従来型のモデルよりも高い基準を満たすことを求めている。すなわち、訓練データを含む明確な品質基準を備えた堅牢なデータガバナンス、欠損値やバイアスに対処するための非構造化データや合成データに対する追加的なチェック、より高い計算需要に対応できるITインフラ、文書化されたハイパーパラメータの調整、モデルドリフトのモニタリング、そしてモデルの目的に応じた説明可能性である。多くのEU銀行にとって、これは大幅な水準の引き上げを意味する。ノートブック(notebook)はもはや十分な文書とは言えず、監督当局は監査可能なモデル開発プロセスを期待している。

ECBのAIワークショップと監督上の所見(2025年)

ECBは2025年を通じて、欧州9か国の銀行とともにAIワークショップを実施し、その所見は2025年11月に公表された。主な所見は次のとおりである。銀行は与信判断や不正検知において、従来型のモデルと並行してAIを組み込んでいる。銀行は、不正検知AIがEU AI法のもとで低リスクに分類されると見込んでいる(ECBはこの立場を指摘しているが、是認はしていない)。開発期間、コスト、信頼性の課題を理由に、与信スコアリングでGenAI(生成AI)を利用していると報告した銀行はなかった。ガバナンス体制は、主にAIを既存の方針に組み込むか、専門のAIガバナンス機能(委員会やAI部門)を新設することによって整備されつつある。AIに関するデータガバナンスの統合は、多くの場合、実質的には「いまだ確立されていない」。AIモデルは、内部で開発される一方で、クラウドサービス事業者(cloud service providers)によってホストされる傾向がある。

ECBが表明した2026年の重点は、生成AIの活用、第三者への依存および集中リスクのより踏み込んだ評価、そしてDORAを土台としたオペレーショナル・レジリエンスの取組みの強化にある。2024年から2025年にかけて実施された的を絞ったレビュー(targeted reviews)や立入検査は、ECBが既存の監督手段を用いてAIガバナンスを直接に精査し続けることを示している。

EU AI法のEU銀行への適用

銀行に関係するEU AI法のハイリスク分類には、次のものが含まれる。自然人の信用度評価に用いられるAI(附属書IIIのハイリスク)、生命保険および医療保険におけるリスク評価と保険料算定に用いられるAI(ハイリスク)、重要インフラの安全部品として用いられるAIシステム(銀行が運営するインフラが該当する場合)、雇用に関する判断に用いられるAI、そして生体認証によるカテゴリー分類システムである。提供者(provider)または利用者(deployer)としてハイリスクAIを導入する銀行は、EU AI法の枠組み、すなわちリスク管理、データガバナンス、技術文書、人間による監督、利用者への透明性を遵守しなければならない。附属書IIIの大半の義務は、2026年5月7日のデジタル・オムニバス(Digital Omnibus)合意のもとで、2027年12月2日から適用される。

国際的に事業を展開する銀行は、EU AI法の要件(より厳格である)を満たす単一のグローバルな枠組みを採用するか、地域ごとの差異を維持するかという問いに直面する。EUの主要銀行の大半は、EUの基準を満たすグローバルな枠組みを採用している。

DORA、AIに重なるオペレーショナル・レジリエンスの上乗せ規制

デジタル・オペレーショナル・レジリエンス法(DORA)は、2025年1月17日から適用され、EUの金融事業体(financial entities)にICTの第三者リスクに関する要件を課している。AIベンダーは、DORAのもとでICTの第三者提供者(ICT third-party providers)に該当する。銀行は次のことを行わなければならない。ICTの第三者との取決め(AIベンダーを含む)に関する登録簿を整備すること、ICTの第三者との取決めを結ぶ前にリスク評価を実施すること、契約条項がDORAの定める要件(サービスの記述、所在地、セキュリティ上の義務、監査権、退出戦略)を満たすことを確保すること、所管当局への報告を伴うICT関連のインシデント管理を維持すること、ICTの事業継続および災害復旧の演習を実施することである。

クラウドサービス事業者へのクラウドサービスのアウトソーシングに関するECBのガイド(2025年7月公表)は、クラウドの文脈において、ECBが銀行に対しDORAをどのように遵守することを期待しているかを説明しており、通常はクラウドプラットフォームを通じて提供されるAIサービスも対象に含めている。優れた実務(good practices)には、ベンダーロックインのリスクを低減すること、クリティカルまたは重要な機能を支えるクラウドサービスについて検証済みのコンティンジェンシー(緊急時対応)の選択肢を備えておくこと、そして契約条件がDORAに適合した退出および移行を支えるようにすることが含まれる。

EBAガイドライン、ガバナンスとアウトソーシング

内部ガバナンスに関するEBAガイドライン(EBA/GL/2017/11)、アウトソーシングの取決めに関するガイドライン(EBA/GL/2019/02)、およびSREP(監督上の検証・評価プロセス)に関するガイドライン(EBA/GL/2022/03)は、いずれもEU銀行におけるAIの導入に適用される。IRB手法のもとでの格付システムの検証に関するEBAの監督ハンドブック(EBA/REP/2023/29)は、信用リスクのモデリングにML(機械学習)の手法が用いられる場合に適用される。バーゼル銀行監督委員会の臨時ペーパー第24号(2025年9月)「監督当局はいかに説明可能性に対処しうるか」(How supervisors can address explainability)は、EU銀行に直接関係する国際的な監督上の視点をさらに提供している。

EU銀行のAIガバナンス・プログラムにとっての真の課題

大規模なモデルインベントリ。大手のEU銀行は数千のモデルを抱えており、その多くは第三者のソフトウェアに組み込まれている。各モデルの目的、種類、MRMの階層、AI法の分類を整理した完全なインベントリを構築し維持すること自体が、大きな取組みとなる。

基盤モデルにおける集中リスク。企業のAIの能力の大半は、少数の基盤モデル(foundation model)提供者に依存している。EU銀行は、従来型のベンダー分散では容易に対処できない集中リスクに直面している。GPT-4クラスやClaudeクラスの代替提供者は多くないからである。ECBはこの集中を明示的に指摘している。

説明可能性と性能のトレードオフ。従来の手法を上回る性能を示すMLモデルは、多くの場合、説明が難しい複雑なパターンを捉えることによってそれを実現している。モデルの目的に見合った説明可能性というECBの期待は、銀行に対し、性能面の向上と説明可能性の制約とを均衡させることを求める。とりわけ、不利益処分の理由説明(adverse action explanations)が必要となる与信判断においてそうである。

訓練データの来歴とバイアス。データガバナンスに関するEBAの期待は、AIの訓練データにも及ぶ。データの来歴(データリネージ)の確立、バイアスの検証、そしてモデルのライフサイクル全体にわたる継続的な公平性のモニタリングには、多くの銀行がこれまで構築してこなかった能力が必要となる。

EU銀行のAIガバナンス・プログラムが2026年末までに備えるべき事項

AI/MLを含むすべてのモデルを網羅し、MRMの階層とAI法の分類を付した完全なモデルインベントリ。第9章のML固有の要件を含め、ECBの内部モデルに関する監督ガイド(2025年7月)と整合した最新のMRMの枠組み。リスクアペタイトと整合し、取締役会が承認して毎年見直す、文書化されたAI戦略。監査権、インシデントの通知、退出支援を含め、DORAの基準に合わせて更新されたAIベンダー契約。2027年12月2日から適用されるハイリスク義務に向けた実施計画を伴うEU AI法のギャップ評価。クラウドサービスのアウトソーシングに関するECBのガイド(2025年7月)と整合したクラウドサービス事業者との取決め。顧客に影響を及ぼす判断に用いられるAIについて、規制上の検査と不利益処分の通知の双方の目的に足る説明可能性の文書。文書化された検証手順を伴うバイアスと公平性のモニタリング。リスク委員会および取締役会へのAIリスクの報告。

さらに読む:EU AI法の全文

関連する読み物

さらに読む:EU AI法の全文