金融とAI / 英国下院財務委員会報告書を読む / 金融AI規制における既存ルールの限界と重要第三者指定の遅滞 雑感

Ⅰ　金融実務におけるAI導入と規制当局の現状維持姿勢

　英国の金融機関におけるAI利用は急速に拡大しており、下院財務委員会が2026年1月に公表した報告書によれば、すでに同国の金融サービス企業の75パーセント以上がAIを導入している〔注1〕。とりわけ保険会社や同国内で事業を展開する国際的な銀行において導入が先行しているとされる。AIによるサービス迅速化やサイバー防御の強化といった利益が期待される反面、信用評価や保険の意思決定における不透明さ、AIを利用した金融商品のカスタマイズによる不利な消費者の排除リスク、ChatGPT等の無規制のAI金融助言、そして詐欺の増加といった深刻な消費者被害のリスクも顕在化している〔注2〕。

　これに対し、金融行動監視機構（FCA）およびイングランド銀行は、AIに特化した新法を制定せず、既存の規制枠組みを通じて監督する方針を維持している〔注3〕。FCAのChief Data, Information and Intelligence OfficerであるJessica Rusuは、シニアマネジャー・認定制度（Senior Managers and Certification Regime、以下SMCR）とコンシューマー・デューティの組合せにより、AIに関する新たな規則を策定する必要はないとの見解を述べた〔注4〕。イングランド銀行のTom Muttonも、規制当局の役割は事態発生時の影響に対処することであると説明している〔注5〕。

　筆者がこの報告書に注目する理由は、この「既存枠組みの転用」というアプローチが実際に機能しているかどうかを、議会の委員会が正面から問うた点にある。報告書の結論は率直である。FCA、イングランド銀行、財務省の三者は、AIが金融サービスにもたらすリスクの管理において十分な対応をしておらず、wait-and-seeアプローチをとることで消費者と金融システムを潜在的に深刻な損害にさらしている、と断じた〔注6〕。

1　実務現場における法的予見可能性の欠如

　既存の枠組みに依存する事後対応的なアプローチに対し、業界および学術関係者の多くが、現在のFCAの監督姿勢は企業に実践的な明確性をほとんど与えていないと指摘した〔注7〕。法律事務所Fox Williams LLPのOmar Salemは、FCAのアプローチの帰結として、企業がFCAのハンドブックや規則を自ら検討して、それらがAIにどう適用されるかを独力で解明しなければならない負担を強いられていると述べている〔注8〕。筆者も、法規制が技術の変容に対応しているとする当局の認識と、現場が直面する法的予見可能性の欠如との間には看過できない乖離が存在すると考える。

　とりわけ問題視されているのが、SMCRの下での説明責任のあり方である。FCAのDavid Gealeは、SMCRにより金融サービス企業内の個人がAIを通じた消費者への損害について責任を負うと説明した〔注9〕。しかし業界団体Innovate Financeは、AIモデルの説明可能性の欠如と、SMCRが上級管理者に求める「自己の責任領域のリスクを理解しコントロールしていることの立証」とが直接に矛盾すると反論している〔注10〕。Gealeはこれに対し、技術の仕組みを理解できなかったという弁明は通用せず、新たな上級管理者機能の創設は不要であると再反論した〔注11〕。

　規範的にはGealeの立場は正しいかもしれない。しかし、深層学習ベースのAIモデルはその判断過程を人間が完全に把握することが技術的に困難な場合がある。理解しようにも技術的に理解し得ない場合にまで同じ論理が妥当するかは別の問題であると筆者は考える。FCA自身も企業側に説明責任への懸念があることを認めており、この混乱がセクター内の高度なAI導入を萎縮させているとの不満が業界から噴出している〔注12〕。

　The Centre for Protecting Women Onlineが指摘する問いは、この困難を端的に表している。AIシステムが不公正な結果を生じさせた場合、開発者、導入企業、データ提供者のいずれが責任を負うのか〔注13〕。企業が真に求めているのは、新しい法規の束ではなく、手元にある技術に既存のルールをどう適用し、経営陣がどこまで責任を負うべきかという具体的な境界線の提示である。委員会は、FCAに対し2026年末までに、既存の消費者保護規則のAI利用への適用と、SMCRの下での上級管理者の説明責任の水準に関する包括的かつ実践的なガイダンスを公表するよう勧告した〔注14〕。

2　未知の市場ショックに対するストレステストの不在

　消費者保護にとどまらず、金融システム全体の安定性という観点からも課題が提示されている。英国の金融サービスセクターが少数の米国テクノロジー企業のAIおよびクラウドサービスに過度に依存していること、AIを活用した市場取引がハーディング行動を増幅し最悪の場合に金融危機を引き起こしうること、そしてAIがサイバーセキュリティ上の脆弱性を高めていることが、それぞれ証拠として提出された〔注15〕。

　イングランド銀行とFCAはサイバー・ストレステストを実施しているが、AI固有のサイバーまたは市場のストレステストは行っていない〔注16〕。金融政策委員会（FPC）の外部委員であるJonathan Hallは、AI固有のストレステストは有益であり得ると述べ、将来のシステムワイドな市場ストレステストにAI駆動のシナリオを適用することを検討すべきだとした〔注17〕。委員会は端的に、AI特有のストレステストの実施をイングランド銀行とFCAに勧告している〔注18〕。事後的な対応にとどまらず、当局が自らリスクシナリオを構築して金融機関の対応力を検証する体制の構築が急務であると筆者は解する。

Ⅱ　外部インフラへの依存と重要第三者制度の遅滞

　報告書が指摘するもう一つの構造的な脆弱性は、少数の米国テクノロジー企業が提供するクラウドやAIインフラに対する過度な依存である。

1　権限行使の停滞

　英国では2023年の金融サービス・市場法（Financial Services and Markets Act 2023）により、2000年金融サービス・市場法に第312L条以下が挿入され、金融部門に不可欠なサービスを提供する非金融企業に対して規制当局が直接の調査および執行権限を行使できる重要第三者制度（Critical Third Parties Regime）が新設された〔注19〕。2024年11月にはイングランド銀行とFCAが詳細な運用規則を公表している〔注20〕。

　ところが、同制度の適用対象を決定する権限を持つ財務省は、制度設立から2年以上が経過した報告書公表時点においても、一社も重要第三者として指定していない〔注21〕。そしてまさに報告書の作成作業が進行していた2025年10月20日、Amazon Web Services（AWS）が大規模な障害を起こし、ロイズ・バンキング・グループを含む多数の企業に影響が及ぶ事態が発生した〔注22〕。委員会は同日、経済担当次官（Economic Secretary to the Treasury）に書簡を送り、AWSその他の主要クラウド・AIプロバイダーがなぜ制度の適用対象とされていないのかを問うた〔注23〕。

　経済担当次官Lucy Rigby KC MPの回答は歯切れが悪い。市場への影響を理由として指定検討中の企業名は開示しないとし、初回指定まで12か月以内との見込みを示すにとどまった〔注24〕。財務省副部長James Fairburnに至っては、最初の指定が完了するまでプロセスについてコメントしないとの姿勢を示した〔注25〕。他方、AWSとGoogle Cloudの双方が、自社が制度の適用対象となることを見込んでおり、Google Cloudはその準備を進めているとさえ述べている〔注26〕。

2　指定期限の明示とFPCの役割

　議会が法律を制定し、規制当局が詳細規則を整備し、被指定候補企業が制度への参加を覚悟しているにもかかわらず、財務省が指定権限を行使しない。委員会はこの現状に強い不満を表明し、2026年末までに主要なAIおよびクラウドプロバイダーを重要第三者として正式に指定するよう財務省に勧告した〔注27〕。加えて、FPCに対しても、制度の進捗を監視し、必要であれば財務省への勧告権限を行使して迅速な実施を確保するよう求めている。

　法制度を整えることと、それを実際の市場参加者に適用して実効性を持たせることは全く別の作業である。制度の器は整っているのに中身が伴わないという事態は、立法趣旨の空洞化と呼ぶほかない。

Ⅲ　むすびにかえて

　英国下院財務委員会の報告書は、AI規制における「既存枠組みの転用」アプローチの限界を、消費者保護と金融安定性の両面から浮き彫りにしている。抽象的な規範が存在するだけでは実務の不確実性は払拭されず、かえって適切なリスク管理を阻害する。消費者保護の側面では、SMCRの説明責任構造とAIの技術的不透明性との間の矛盾が法的不確実性を生み、結果としてAI導入そのものを萎縮させるという逆説的な状況が生じている。金融安定性の側面では、少数のクラウドプロバイダーへの集中リスクに対応するために創設された重要第三者制度が、2年以上にわたり一社も指定されないまま休眠状態にある。

　英国が採るアプローチは、EU AI規則のような包括的立法とは対照的であるが、それ自体が問題というわけではない。問題は、既存枠組みの転用で対処可能だと言いながら、その転用の具体的な方法を明示しないこと、そして新たな権限を創設しながらそれを行使しないことにある。

　報告書も指摘する通り、保険分野はAI導入が最も進む領域の一つである〔注28〕。アルゴリズムによる自動化された意思決定で損害が生じた場合の責任分配は、業界全体が直面する不可避の課題といえる。外部インフラへの依存という課題も含め、法規範を実態にどう適応させるかという英国の試行錯誤は、他国の金融法制にとっても有益な先行事例となる。報告書の勧告に法的拘束力はないが、議会の委員会が規制当局と政府の双方に対して正面から不備を指摘したことの政治的意味は小さくない。2026年中にFCAのガイダンス公表と重要第三者の初回指定がどこまで進むかが、英国のAI金融規制の実効性を測る一つの指標となる。

（参考）英国AIガバナンスまとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。