2026.11.13 AI

金融AIの導入判断：不正検知・審査・生成AIの適用範囲と規制要件の整理

金融AIは、日本銀行の2026年度調査で9割強の金融機関が生成AIを利用・試行する段階に入りました。一方で、生成AIの出力をそのまま顧客に見せている先はまだ少数です。本記事では、不正検知・与信審査・コールセンターといった業務ごとに求められる要件の違いを整理し、金融庁のAIディスカッションペーパー、FISC安全対策基準第14版、個人情報保護法で何を確認すればよいかをまとめました。後半では、AI開発を外部に委託するときに仕様書と契約へ書く項目と、導入を見送る場面まで言い切ります。

まとめ：金融AIは業務のリスク区分で導入順を決め、規制要件を委託仕様に落とす

金融機関のAI導入は、技術の新しさではなく「AIの出力が誰に届くか」で順番を決めると失敗が減ります。社内の文書要約や情報検索から始め、次にコールセンターの回答候補や稟議書ドラフトのように人が確認してから顧客に届く使い方へ広げ、生成AIが顧客に直接回答する使い方は最後に回します。

規制面で新しい法律が増えたわけではありません。金融庁は既存の法令・監督指針・ガイドラインに沿った対応をまず求めており、実務で効くのは個人情報の入力管理、外部ベンダーの管理、モデルの検証記録の3領域です。これらは後から足すと作り直しになるため、開発委託の仕様書と契約の段階で書き込んでおきます。

不正検知と与信審査は従来型AIの守備範囲で、生成AIに置き換える理由はほとんどありません。判定根拠を説明できない設計なら、精度が高くても現場では使われなくなります。

金融機関のAI導入の現状：日銀と金融庁の調査で見る利用割合と用途の広がり

金融AIの議論は、公的な調査の数字から入ると論点がぶれません。ここでは日本銀行と金融庁が公表した2つの調査を、発注側が判断に使う観点で読み解きます。

日銀2026年度調査の9割強と、顧客への直接提示が少数にとどまる理由

日本銀行が2026年8月6日に公表した「金融機関における生成AIの利用状況とリスク管理―2026年度アンケート調査結果から―」は、取引先金融機関150先を対象にした3回目の調査です。9割強が生成AIを利用・試行中と回答し、用途は汎用的な事務処理から顧客情報を使うコア業務へ広がっています。

ただし、生成AIの出力を顧客に直接提示する先は少数にとどまりました。リスク管理の面でも、情報管理や実務ルールの整備は進んでいる一方、ガバナンス、サードパーティリスク管理、セーフティ・セキュリティは「改善の余地がある」「検討中」と答えた先が多い結果です。

つまり、社内で使うところまでは横並びで進み、顧客に届く手前で各社が止まっています。これから参入する金融機関が競合と差をつけられるのは、この「止まっている地点」の統制を先に設計できるかどうかです。

従来型AIの4用途と、生成AIの社内・間接・直接という3類型の違い

金融庁が2025年3月に公表したAIディスカッションペーパー（第1.0版）は、2024年10月3日〜11月15日に実施したアンケート（預金取扱機関・金融商品取引業者・保険会社など130社が回答）をもとに、用途を次のように分けています。

従来型AI：業務効率化（OCR・情報検索）、対顧客サービス（チャットボット・マーケティング）、リスク管理の高度化（不正検知・与信審査・コンプライアンス違反の抽出）、市場予測（為替・金利予測など）
生成AI①社内利用：文書要約・翻訳、文書の添削、社内FAQの検索、システム開発・テスト
生成AI②対顧客サービスへの間接利用：コールセンター業務支援、稟議書のドラフト、対外公表文書のドラフト
生成AI③対顧客サービスへの直接利用：同ペーパーでは「極めて限定的」

回答先の9割以上が従来型AIか生成AIのどちらかを既に使っており、約半数は汎用の生成AIを社内データと組み合わせずにそのまま使っていました。この分類は、本記事の後半で導入順を決める軸としてそのまま使えます。

業務別に見る金融AIの適用範囲：不正検知・与信審査・コールセンターの要件差

同じ「金融AI」でも、業務によって必要な精度の考え方と説明責任の重さが変わります。外注先に要件を伝える前に、自社の対象業務がどこに当たるかを確認してください。

不正検知とAML/CFT：誤検知と見逃しのどちらを減らすかで決まる設計

不正検知やマネー・ローンダリング対策の取引モニタリングでは、怪しい取引を止めすぎると正常な顧客の取引が滞り、止めなければ被害が出ます。モデルの精度を1つの正解率で評価するのではなく、「誤検知1件にかかる確認工数」と「見逃し1件の損失」を金額で比べ、どちらを優先して減らすかを先に決めます。

多くの場合、AIは既存のルールベースのシナリオを置き換えるのではなく、アラートの優先順位付けに入れるほうが成果が出ます。担当者が確認する順番を並べ替えるだけでも、確認工数は下がるからです。不正送金の手口の推移や業界共同のAIスコアの動きは、金融システムの技術トレンドを整理した記事の不正検知とAMLの章で扱っています。

与信審査・引受審査のAIスコアリングで判定根拠の列を残す理由

与信審査や保険の引受審査にAIを入れる場合、問われるのは精度より説明可能性です。AIディスカッションペーパーは、営業店にAIが推奨した推進先リストを渡しても、理由が分からないと使われなくなる例を挙げ、対策として推奨リストに判定根拠の列を追加した取組みを紹介しています。

審査でも同じ設計が有効です。スコアだけを返すのではなく、スコアに寄与した上位の特徴量（例：直近6か月の入出金の変動、延滞履歴の有無）を画面に並べ、審査担当者が否決理由を自分の言葉で書ける状態にします。公平性の観点から、性別や年齢など属性ごとの承認率の差を定期的に出す集計も、最初の要件に入れておきます。

コールセンターと稟議書ドラフトへの生成AIは人の確認を挟む間接利用から

コールセンターでの通話要約や回答候補の提示、稟議書のドラフト作成は、生成AIの出力を人が確認してから顧客や決裁者に届ける「間接利用」です。誤りが出ても担当者の段階で止められるため、金融機関が生成AIを業務に入れる最初の対象として選ばれやすい領域です。

通話要約・回答候補・社内規程を参照させる仕組みの具体的な作り方と誤回答対策は、コールセンターの生成AIの業務適用と誤回答対策で詳しく解説しています。金融機関の場合はこれに加えて、オペレーターが回答候補を採用したか修正したかを記録し、修正率を品質指標として月次で見る運用を最初から組み込みます。

業務	主に使うAI	出力が届く相手	最初に決める要件
不正検知・AML	従来型AI	社内の確認担当	誤検知と見逃しのコスト比較
与信・引受審査	従来型AI	審査担当→顧客	判定根拠の表示と属性別の承認率
コールセンター支援	生成AI（間接）	オペレーター→顧客	回答候補の修正率の記録
稟議書ドラフト	生成AI（間接）	起案者→決裁者	参照した社内文書の明示
顧客向けチャット回答	生成AI（直接）	顧客	人への切替えと会話ログ保存

表の下に行くほど、AIの誤りが人のチェックを通らずに顧客へ届きます。統制の量もそれに比例して増えると考えてください。

金融AIで確認する規制とガイドライン：金融庁・FISC・個人情報保護法の範囲

金融AIに特化した法律は2026年11月時点でありません。確認すべきは、金融庁の考え方、業界の自主基準、個人情報保護法の3つです。

金融庁AIディスカッションペーパー第1.1版が示す顧客向けAIの4局面

金融庁は2026年3月3日にAIディスカッションペーパー（第1.1版）を公表しました。2025年6〜12月の「金融庁 AI官民フォーラム」での議論を反映したもので、顧客向けサービスのリスク低減策を、①設計と事前検証、②顧客への説明・注意喚起、③検証・モニタリング、④それらを支えるガバナンスの4局面に整理しています。

具体策として挙がっているのは、RAGによる回答範囲の制限、生成AIによる回答であることと誤りがありうることの注意喚起、顧客がいつでも人の対応へ移れる設計、会話ログの保存とモニタリング、推奨ロジックの文書化と第三者レビューなどです。金融庁が相談・照会に対応する際の参照先として整理されたものなので、顧客向けAIを作るならこの4局面をそのまま要件定義の章立てに使えます。

同じ第1.1版では、証券会社がシステム子会社にAIシステムの開発を委託する際に、非公開情報を含む顧客との会話データを提供しうるという考え方も示されました。グループ内委託でデータを渡せるかどうかは、従来は各社が慎重に判断していた論点です。

FISC安全対策基準第14版のAI対応と、法令ではない基準の扱い方

金融情報システムセンター（FISC）は2026年3月25日に「金融機関等コンピュータシステムの安全対策基準・解説書」（第14版）のPDF版を公表しました。改訂の柱の1つが「AIの安全対策」で、官公庁や各協会・団体が公表したAI・生成AIのガイドラインやレポートを分析して基準に反映したと説明されています。耐量子計算機暗号（PQC）への対応も同じ版で加わりました。

安全対策基準は法令ではなく自主基準ですが、金融機関のシステム監査で参照されるため、委託先の開発会社も対応状況の説明を求められます。全項目に一律で準拠するのではなく、対象システムの重要度に応じて適用範囲を決めるのが実務の進め方です。基準の構成と範囲の決め方はFISC安全対策基準の第14版の改訂点と金融システム開発での対応範囲にまとめています。

個人情報保護法と生成AI：入力データの再学習防止と海外サーバーの確認

個人情報保護委員会は2023年6月に生成AIサービスの利用に関する注意喚起を出し、個人データを含むプロンプトを入力する場合は利用目的の範囲内か確認し、入力した個人データが応答以外の目的で扱われないことを確かめるよう求めました。金融機関は顧客の資産・取引情報を扱うため、この確認は契約書と設定画面の両方で行います。

AIディスカッションペーパー第1.0版でも、学習データに個人情報を使う場合の利用目的の明確化、外部ベンダーへの開発委託が「個人データの第三者提供」に当たるか、海外にサーバーを置く生成AIプラットフォームを使う場合の対応が論点として並んでいます。取組事例として挙がっているのは、顧客情報の入力をシステムで自動的に制限する仕組みと、入力データが再学習に使われないよう専用環境を設けたり契約を結んだりする措置です。金融庁へのアンケートでは、規制の明確化を求める論点として個人情報保護が最も多く挙がりました。

金融AIの開発を委託するときに仕様書と契約へ書き込む項目と確認の順番

ここからは受託開発会社の立場で、金融機関が外注先と決めておくべき項目を順番に並べます。後から追加すると作り直しになる項目ほど先に置いています。

データ整備と学習データの品質：約半数が課題とする前提を先に確かめる手順

AIディスカッションペーパーのアンケートでは、約半数の金融機関が「十分な学習データの確保」や「学習データの品質管理」を課題に挙げました。モデルの選定より前に、使えるデータがあるかを確かめる工程を委託範囲に入れます。

対象業務で過去に発生した事象（不正取引、延滞、問い合わせ）の件数を年単位で数える
正解ラベル（不正だったか、延滞したか）がシステム上に残っているかを確認する
勘定系・情報系・コールセンターのどこにデータがあり、どの形式で取り出せるかを洗い出す
個人情報を含む項目を特定し、マスキングや仮名化の要否を決める
取り出したデータでPoCの評価用セットを作り、本番データとの差を記録する

手順2で正解ラベルが残っていないと分かった場合、教師あり学習のモデルはそこで作れません。PoCの評価指標の決め方と本番移行の判断基準はAI PoCで精度目標とデータ準備を決める記事で扱っています。

外部ベンダー依存とモデルの知的財産権：委託契約で帰属と再学習を決める条文

AIディスカッションペーパーは、外部事業者への過度な依存を課題に挙げ、取組事例として3つの対策を紹介しています。既存のサードパーティリスク管理の枠組みを当てはめてセキュリティチェックを行うこと、特定ベンダーへの依存を避けるためにオープンソース基盤でモデルを開発すること、社内データを提供して開発を委託する際にモデルの知的財産権が自社に帰属するよう契約することです。

受託開発の契約に落とすと、最低限決めるのは次の4点になります。学習済みモデルと学習用コードの権利の帰属、委託先が預かったデータを他の案件の学習に使わない旨、利用する外部LLMのデータ保持期間と学習利用の有無、契約終了時のデータ削除と削除証明の提出です。一創の生成AI開発・AI受託開発でも、見積りの段階でこの4点を確認してから開発範囲を決めています。

ハルシネーション対策：RAGの参照元とHuman in the loopの確認工程

生成AIが誤った情報をもっともらしく出す「ハルシネーション」について、AIディスカッションペーパーは、RAGを使っても業務設計が適切でないと参照元の選定が不十分になり精度が上がらないと指摘しています。対策として挙がっているのは、人の関与を前提にした業務プロセス（Human in the loop）と、根拠となる文書を回答に含めて裏付けを確認できるようにする設定です。

実装では、参照させる文書を「最新版の社内規程と商品概要書だけ」のように限定し、改訂前の版を検索対象から外す運用を最初に決めます。回答には参照した文書名と版数を必ず添え、根拠が見つからない質問には「該当する規程が見つかりません」と返す設計にします。RAGの仕組みとファインチューニングとの違いはRAGの仕組みとLLM・ファインチューニングとの違いを参照してください。

同ペーパーは、AIに「絶対に誤ってはならない」水準を課すのは適切ではないとも述べています。誤りをゼロにする努力より、誤りが出たときに人が気づける位置に確認工程を置くほうが、費用対効果は高くなります。

金融AIの導入順と見送りの判断：社内利用から始め顧客への直接回答を後に回す基準

最後に、どの業務から着手し、どの場面では導入しないかを判断として言い切ります。

最初の1件は社内利用か間接利用から選び、効果の指標を先に固める進め方

最初の1件は、出力が社内で完結する業務から選びます。具体的には、規程・マニュアルの検索、稟議書のドラフト、通話要約のいずれかです。この段階で効果の指標（1件あたりの作業時間、修正率、問い合わせの一次解決率など）を決めて計測し、数字が出てから顧客に近い業務へ広げます。

AIディスカッションペーパーは、投資対効果が見通しにくく社内の合意形成に時間がかかる点を課題に挙げ、収益化の目途が立つまでは特性に応じたKPIを置いて計画と比べることを選択肢として示しています。外部の生成AIは従量課金が多く、使うほど費用が増える点も同ペーパーによる指摘の対象です。最初の1件で1回あたりの推論費用を実測しておけば、全社展開の予算を根拠を持って出せます。

金融AIを導入しないほうがよい場面と、既存のルールで足りるケース

次の条件に当てはまる場合、AIの導入は見送るか、範囲を絞り直すべきです。

正解ラベルが残っておらず、評価用データを作る予算もない不正検知・審査モデル
判定根拠を顧客や監査に説明する必要があるのに、根拠を出せないモデルしか選べない審査業務
人への切替え手段と会話ログの保存を用意できない状態での、顧客向け生成AIチャット
年間の対象件数が数百件程度で、担当者が目視で処理しても負担になっていない業務

最後の条件は見落とされがちです。件数が少ない業務では、モデルの開発費と検証・監視の運用費が削減できる工数を上回ります。既存の業務ルールやRPAで十分に回る業務まで、AIに置き換える必要はありません。

反対に、アンケートでは「既存の枠組みで概ね対応可能」とする声も少なくありませんでした。社内規程を新しく作り込む前に、既存の情報セキュリティ規程と外部委託管理規程にAI固有の項目（入力禁止情報、出力の確認者、モデルの再検証頻度）を追記する形から始めれば、規程整備で着手が遅れることを避けられます。

金融AIの導入でよくある質問：利用状況・規制・委託契約と中小金融機関の対応

金融機関のAI導入を検討する担当者から多く寄せられる質問に答えます。

金融機関で生成AIはどの程度使われていますか？

日本銀行の2026年度調査（2026年8月6日公表・150先）では、9割強の金融機関が生成AIを利用・試行中でした。用途は文書要約や情報検索といった汎用的な事務処理から、顧客情報を使うコア業務へ広がっています。ただし、生成AIの出力を顧客に直接提示している先は少数です。多くの金融機関は社内利用と、人が確認してから顧客に届く間接利用の段階にあります。

金融AIに関する法律や規制はありますか？

2026年11月時点で、金融分野のAIだけを対象にした法律はありません。金融庁はAI利用の有無にかかわらず適用される既存の法令・監督指針・ガイドラインに沿った対応をまず求めています。実務で確認するのは、金融庁のAIディスカッションペーパー（第1.1版）、FISC安全対策基準（第14版）、個人情報保護法と個人情報保護委員会の注意喚起の3つです。

銀行の不正検知に生成AIを使うべきですか？

不正検知や与信審査の判定そのものは、取引データから学習する従来型AIの守備範囲です。生成AIに置き換える理由はほとんどありません。生成AIが役立つのは、アラートが出た取引について担当者が調査メモを書く作業や、過去の類似事案を検索する作業のように、判定の周辺にある文書作業です。判定と文書作業を分けて設計すると、説明責任の範囲も明確になります。

金融AIの開発を外部に委託するときの注意点は何ですか？

契約で決めておくのは、学習済みモデルと学習用コードの権利の帰属、預けたデータを他案件の学習に使わないこと、利用する外部LLMのデータ保持と学習利用の有無、契約終了時のデータ削除の4点です。加えて、委託先がFISC安全対策基準への対応状況を説明できるか、個人データの扱いが第三者提供に当たらない形で設計されているかを確認します。

中小の金融機関でもAIは導入できますか？

中小の金融機関でも導入は可能です。最初は規程やマニュアルの検索、稟議書のドラフトのように、出力が社内で完結する業務から始めると、統制の負担を抑えられます。AIディスカッションペーパーも、小規模な金融機関は個社での対応に限りがあるため、官民の連携や業界団体での知見共有が有効になりうると述べています。新たに大きな規程を作るより、既存の外部委託管理規程にAI固有の項目を足す形が現実的です。