AIエージェント / 金融とAI / AIの「エージェント化」と統治コスト / 「法」より先に問われるガバナンス・スタック / Neontri『The AI Outlook 2026』雑感

はじめに

　Neontriの報告書『The AI Outlook 2026』を眺めていると、AIを巡る議論が「導入」から「運用」、さらに「統治」へと移っていることがよく分かる。自動化（automation）から自律性（autonomy）へ、と言い換えてもよい。AIはもはや実験的なPoCの玩具ではなく、企業活動の基礎能力（core business capability）として扱われ始めた、と同報告書は言う。実際、少なくとも一つの業務機能でAIを利用している組織は78%であり、前年の55%から急増したとされる（注1）。この速度感は、法科が好む段階的な移行の対極にある。

　同報告書は、経済的インパクトの推計も並べる。分析系AI（機械学習・深層学習を含む）が2040年までに9.4〜15兆ドルの経済価値を生み、生成AIはさらに年2.6〜4.4兆ドルを上乗せし得る、という（注1）。数字の精度は原典の精査が必要であるが、少なくとも「AIはコスト削減ツール」という理解が古びつつあることは確かである。AIは、社内の一機能ではなく、組織の価値創出の回路そのものに入り込んでくる。

1　AIの「エージェント化」がもたらすもの

　いわゆるAgentic AI（エージェント型AI）は、単に質問に答えるのではなく、複数のタスクを分解し、計画し、外部ツールを呼び出して実行し、結果を評価して次の手に進む。人間の側から見るとデジタルな同僚めいた存在であり、うまく回れば生産性の伸びは大きい。他方で、法的な側面から見ると、責任配分を支えてきた前提が崩れやすい。従来の自動化は「入力―処理―出力」の線形モデルで理解できたのに対し、エージェント化は「仮説―試行―修正」のループを内蔵し、逸脱の仕方が増えるからである。

　ここでありがちな誤解は、エージェント型AIを「意思決定主体」（法人格）に見立てたくなることである。法的には、AIは権利義務の帰属主体ではなく、人格もない。にもかかわらず、実務上は、AIが作った提案がそのまま決裁され、AIが生成した説明がそのまま対外説明として流通し、AIが組み立てた手続がそのまま顧客対応の標準手順になる。このとき、責任の所在は形式的には人間（ないし法人）に残るが、実質的には「判断の生成過程」が機械側へ移っていく。ここに、責任の空白（というより、責任の中抜き）が生じやすい。

（参考）

2　金融・保険で露出する「統治コスト」

　金融・保険は、AIの実装が進みやすい領域である。大量のデータ、定型的な判断、処理のスケール、そしてリアルタイム性の価値が揃っている。他方で、ここは「統治コスト」も高い。説明責任、顧客保護、差別・不公正の統制、個人データの取扱い、外部委託管理、監督当局対応がワンセットで付いてくる。

　保険分野に限っても、AIの利用場面は広い。引受（アンダーライティング）でのリスク分類、募集でのパーソナライズ、保全での顧客対応、保険金請求での不正検知や支払査定などである。ここでの法務の勘所は、AIの「精度」ではなく、精度を支えるデータと、精度が社会に与える帰結である。IAIS（保険監督者国際機構）のApplication Paperは、監督上の論点として、リスクベース監督と比例性、ガバナンスとアカウンタビリティ、頑健性・安全性、透明性・説明可能性、公正性・倫理・救済などを明示する（注2）。要するに、モデルの性能だけを見ていても監督はできない、ということである。

　実務では、ここにさらにサプライチェーンが絡む。生成AIや基盤モデルの多くは外部提供であり、クラウド、API、学習データ、評価基盤が分断されている。自社の「利用」が、他社の「提供」に依存し、その提供がさらに別の第三者へ依存する。責任が拡散する構造が、はじめから埋め込まれている。

3　「人間が確認する」は免罪符ではない

　そこで持ち出されるのがHuman in the loop（人間の関与）である。人間が最終判断をする、という建付けは一見まっとうに見える。しかし、関与の設計を詰めない限り、それは「免罪符」に堕しやすい。人間が確認すると言いながら、実際には確認できない速度で処理が流れ、確認しても反証に必要な情報が出ず、結局は追認になる。関与が形式化したとき、責任だけが人間に残る。

　この点、EUのAI法（AI Act）は高リスクAIに対して人間の監督（human oversight）を制度的に求め（注3）、NISTのAI RMFも、AIのリスク管理において人間の役割・責任・測定可能性を強く意識させる（注4）。だが、ここでの本質は「人間を置けばよい」ではなく、関与が機能する条件を設計せよ、ということである。具体的には、①誰が止める権限を持つか、②どの指標で逸脱を検知するか、③説明の粒度をどこまで出せるか、④ログと証跡をどう残すか、⑤苦情・異議申立ての導線をどう用意するか、が最低限の論点になる。

（参考）

　また、関与の設計は、内部統制だけでは終わらない。顧客に対する説明（なぜこの結論になったのか）、監督当局への説明（なぜその統制で足りるのか）、裁判所への説明（注意義務を尽くしたのか）という、異なる審級の説明要求に耐える必要がある。ここで必要になるのは、技術的説明ではなく、統治の説明である。

4　結局、「法」より先に「ガバナンス・スタック」が問われる

　AIガバナンスを「どの法律を守るか」として把握する限り、議論はたいてい空転する。法令は重要であるが、法令だけでは現場の挙動を縛れないからである。OECDのAI原則も、各国の制度を貫く参照枠として「信頼できるAI」を掲げつつ、実装は各主体の責任と能力に依存する構造を前提にしている（注5）。日本の「AI事業者ガイドライン」も同様で、法的拘束力のある規制というより、ライフサイクル全体での自律的取組を促す足場として設計されている（注6）。

（参考）

　結局、企業に必要なのは、条文の解釈よりも、統治の設計図である。大雑把に言えば、最低でも三層が要る。第一に、原則と責任の層（誰が何を守るのか）。第二に、プロセスの層（開発・調達・運用・廃止のループをどう回すのか）。第三に、基盤の層（データ、ログ、評価、ベンダー管理、権限管理をどう支えるのか）。この三層が揃って初めて、Human in the loopは「スローガン」から「装置」になる。

おわりに

　AIが企業価値の中枢に入ってくるとき、法務が直面するのは「AIの法規制」ではなく、「AIを含む組織の統治可能性」である。AIは魔法でも悪魔でもなく、ただの技術である。しかし、ただの技術が基盤化した瞬間、統治の失敗は事業の失敗になる。2026年に向けて問われているのは、AIを導入するか否かではなく、AIが暴走したときに止められる組織であるか、という一点に尽きるように思う。

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。