金融庁AIディスカッションペーパー第1.1版の公表

金融庁は2026年3月3日、「AIディスカッションペーパー（第1.1版）」を公表しました。2025年3月の第1.0版公表後に開催された「金融庁AI官民フォーラム」の議論を反映した改訂で、顧客向けAIサービスのリスク低減に向けた取組事例の整理と、規制の適用関係についての考え方の提示が主な追加点です。

本ペーパーは金融機関等を読者とする文書ですが、後述のとおり、対顧客AIサービスの設計や個人情報保護法の当てはめに関する整理は業種を問わず参考になります。

文書の位置づけ

本ペーパーは、モニタリング上の目線や金融機関等に求める具体的対応を示すものではなく、金融庁が2024年10月から11月にかけて実施したアンケート調査（金融分野の幅広い業種から130社が回答）やヒアリング、国際的な議論の進展を踏まえた「初期的な論点整理」です。第Ⅳ章で多くの課題を挙げつつも、言及された課題に全て対応しなければAIを導入してはならないという趣旨ではないことが明記されています。

全体としては、利活用を後押しする書きぶりです。

リスクへの対応が重要であることは論を俟たないが、AIはリスクを大きく上回る便益をもたらす可能性が高いとの指摘もあり、技術革新に取り残されて中長期的に良質な金融サービスの提供が困難になる「チャレンジしないリスク」も十分に認識されるべきである。
出典: 金融庁「AIディスカッションペーパー（第1.1版）」Ⅰ.はじめに

あわせて、金融庁の基本スタンスは技術中立であり、既存の法令等はAIなど特定の技術を利用しているか否かに関わらず適用されること、規制の適用関係の明確化等を通じてセーフハーバーの提供に努めることが述べられています。

第1.1版への改訂の経緯

金融庁は第1.0版の公表後、2025年6月から12月にかけて「金融庁AI官民フォーラム」を開催し、AI利活用の状況、リスクマネジメント・ガバナンスの取組事例、規制の適用関係の明確化を必要とする場面について情報共有とディスカッションを行いました。その結果として本ペーパーが挙げるのは次の2点です。

• 2024年11月の実態調査時点ではほとんど行われていなかった顧客向けサービスへのAIの利用が、範囲・条件を絞ったサービス提供またはその検討の段階に至っている
• リスクマネジメント・ガバナンスの手法について、試行錯誤の中で一定の実務が形成されつつある

この進展を反映する形で、顧客向けサービスを念頭としたリスク低減の取組事例、諸法令・規制の考え方、AIエージェントに関する記述などが追加されました。

顧客向けサービスのリスク低減の4つの局面

改訂の中心は、顧客向けサービスへのAI活用を検討する金融機関の取組事例を、4つの局面に分けて整理した点です。

局面	主な取組例
設計と事前検証	RAGによる回答制御、フィルタリング、段階的な適用拡大
説明・注意喚起	生成AIである旨の明示、理解確認ステップ、根拠の明示
検証・モニタリング	会話ログの保存、偏った勧誘の検証、第三者レビュー
ガバナンス	全社的体制、リスクベースの審査、アジャイル・ガバナンス

個別の取組みには実務的なものが多く含まれます。サービス導入期にはAI対応と人間対応を利用者が選択できるようにする、対話にフェーズを設けて顧客の理解を確認できない限り次に進まない設計とする、リスクの高い場面を中心に会話ログを保存して不適切な回答がないかモニタリングし必要に応じてフォローアップの連絡を行う、AIが特定の金融商品に偏った勧誘を行っていないかを客観的な数字で検証する、といった内容です。

この整理は単なる事例紹介にとどまりません。本ペーパーは、AIの利活用に係る相談や照会が金融機関から寄せられた際には、これらの取組事例を参照しながら対応を行うと述べています。拘束力のない文書ではあるものの、実務上は重要な参照材料になると考えられます。

体制面では、事業部門（一線）と管理部門（二線）がアジャイルに連携しつつ、リスクを最初にキャッチする一線のリスク感性を育てる必要性や、社内の業務効率化のようなリスクの低い利用はチェックリストに基づく現場判断に委ね、顧客向けのようなリスクの高い利用は専門部署で事前審査を行うリスクベースの運用例が紹介されています。セキュリティの文脈では、定期的な脆弱性診断やペネトレーションテストに加え、リスクに応じて内部監査部門による監査を実施するなど統合的な対応の必要性が指摘されています。

規制の適用関係の考え方

第1.1版では「規制対応」の節が新設され、証券会社が顧客との会話データ等を生成AIに入力して営業支援や商品推奨に活用する場面を例に、3つの論点への考え方が示されました。

第1に、証券会社がシステム関連の子会社にAIシステムの開発を委託する際の、非公開情報の授受規制（金融商品取引業等に関する内閣府令153条1項7号）との関係です。同号トの例外が定める「電子情報処理組織の保守及び管理」にはシステム開発も含むと従前より解釈されていることから、開発に必要な会話データ等から非公開情報を事前に除外しておく必要は必ずしもないとの考え方が示されています。ただし、同号トの適用には、当該部門から非公開情報が漏えいしない措置が的確に講じられていることが前提となります。

第2に、法人関係情報が含まれうる会話データを分析する担当者（データサイエンティスト等）へのアクセス権限の付与です。権限を付与することをもって直ちに管理態勢が不適切と判断されるものではなく、利活用の目的や態様、情報管理手続等を具体的に特定した上で個別に判断されるとしています。

第3に、生成AIが顧客に直接金融商品の推奨等を行う場合の「勧誘」該当性です。勧誘とは一般に金融取引への誘引を目的として特定の利用者を対象として行われる行為と解されており、AIを活用する場合も同様の考え方が妥当するとした上で、該当性は個別具体的な事案に即して実質的に判断されるとしています。

第2・第3の論点については個別具体的な判断が必要とされており、今後ユースケースが具体化する中で解釈の提示やプラクティス形成を進めるという枠組みです。金融庁は、重大な規制上のギャップが特定された場合も、法令による規制は事業者の自主的な努力による対応が期待できないものに限定するという政府方針を踏まえ、まずは原則やガイドライン等の改定を検討するとしています。個別の相談窓口としては、FinTechサポートデスクや、書面での回答を求める場合のグレーゾーン解消制度が挙げられています。

個人情報保護の4つの論点

生成AIにより対応が難しくなったと感じる課題として金融機関の回答が最も多かったのが個人情報保護です。第1.1版では、AI官民フォーラムで専門家から示された見解として、規律の適用関係が4つの場面に分けて整理されました。

プロンプト入力を委託と整理する考え方は、個人データをクラウドストレージに格納する場面の整理と対比すると分かりやすいところです。個人データのクラウド環境への格納と個人情報保護法で整理したとおり、単なる格納であれば事業者がデータを取り扱わないことを前提とする整理（いわゆるクラウド例外）もありえます。一方、本ペーパーは、通常の生成AIサービスでは入力された情報を用いて分析等の処理を行うため、個人データを入力する場合には提供者を委託先として管理する必要があると整理しています。この4論点の整理は金融機関向けの文脈で示されたものですが、論点の構造は業種を問わず同じであり、生成AIの利用規程を整備する際の参照材料になります。

AIエージェントへの言及

第1.1版は、AIエージェント（特定の目標を達成するために自律的に行動するAIシステム）に関する記述を新設しました。複数のエージェントが相互に作用しながら処理を繰り返すエージェンティックAIが実現すれば金融分野の数多くのプロセスを自動化できる可能性への期待とともに、顧客向けサービスへの拡大や人手不足対応の観点から業務への実装を考える必要性が指摘されています。

管理面では、AIエージェントの広がりを見越して、パフォーマンスの監視、ライフサイクルとコスト管理、インベントリー管理、権限管理の4つを統合的に管理するプラットフォームの構築を進めている金融機関の事例が紹介されています。エージェントは従来のチャットボットと異なり自ら処理を実行するため、権限管理を含むこの4点の整理は、金融機関以外でも導入時の検討項目としてそのまま使える内容です。

データマネジメントの文脈では、質の高いデータが回答の有用性に直結するため目的を持ったデータ整備が重要であること、組織内のデータをデータレイクに集約するか、MCP（Model Context Protocol）などの技術進展を踏まえ個々のデータベースをAIから参照できるようにするかを見極めた上で設計・運用すべきことが指摘されています。

ロジットパートナーズ法律会計事務所のサービス

当事務所では、AIガバナンス構築において、AI利用の実態把握とリスク評価、顧客向けAIサービスの設計・検証プロセスの整備に対応しています。本ペーパーが示す4つの局面のような枠組みを自社のAI利用規程やチェックリストに落とし込む作業や、AIの利用状況を対象とする内部監査の枠組みの検討も、あわせて扱います（規程・ポリシー整備、内部監査支援）。個人情報保護法や業法の適用関係を書面の形で整理することも扱っています（法律意見書）。