今回は、日本銀行金融研究所が設置した「金融機関における AI の利用を巡る法律問題研究会」報告書の内容を整理し、自身の学びとしてまとめました。
金融機関の AI 利用に伴う私法上のリスクとその管理について分析されています。
1. はじめに
AI技術の急速な進展に伴い、金融分野でもAIの導入が進んでいます。欧州では2024年5月にAI Actが制定され、日本でも2025年5月に「人工知能関連技術の研究開発及び活用の推進に関する法律」が成立しました。日本は、生成AIを含むAIのリスクに対し、イノベーション促進と安全・安心な環境確保のため、ソフトローによるAIリスク対応を進めています。
本報告書では、金融機関のAI利用を巡る法的な課題を明らかにし、AI利用に伴う法的論点に対する解釈論または立法論による解決可能性を検討することを目的とされています。AIは技術の進展が非常に速いため、法的論点についても不断に見直しを行う必要性が高いとされています。
2. 検討の対象
本報告書では、金融機関のAI利用に関連する多岐にわたる法的論点のうち、特に利害関係者間の責任の所在という私法上の論点に焦点を当てています。これは、AIが不正確な情報を生成し、損害発生につながる場合に、誰が何を根拠に誰に対して責任追及しうるかという問題です。検討の対象とするAIは生成AIを含むAI一般であり、AI技術が抱えるブラックボックス問題、バイアス問題、ハルシネーション問題といった特有の問題を包括的に検討することが適当と考えられています。
金融機関を含む事業者は、AI利用に伴うリスク管理の必要性（AIガバナンス）を認識する必要があり、会社法のもとでは、取締役には内部統制システム構築義務の一内容としてAIガバナンス体制構築義務が求められると考えられています。金融機関におけるAIの利用態様は、総務省・経済産業省の「AI事業者ガイドライン」を前提に、以下の3つの類型に整理されています。
- ① 汎用的 AI サービス利用型: 事業者A（AI利用者）が事業者C（AI開発者・AI提供者）の提供する汎用的AIサービスを利用する類型です。
- ② カスタマイズ型: 事業者Cの汎用的AIサービスを利用する事業者B（AI利用者）が、AI提供者となって事業者A（AI利用者）向けに改良・調整し、事業者Aが利用する類型です。
- ③ 新規開発型: 事業者A（AI利用者）が事業者C（AI開発者・AI提供者）と提携して独自のAIモデルまたはシステムを開発・利用する類型です。
3. 金融機関の AI開発者・AI提供者に対する責任追及
金融機関がAIモデルまたはシステムを利用したサービスにおいて、AIが生成した不正確な情報によって損害が発生した場合に、AI開発者・AI提供者に対してどのような請求ができるかを分析しています。システム・ソフトウェア開発委託契約は、一般的に請負契約または準委任契約が選択されます。
請負契約の場合、開発者は完成義務を負い、契約不適合責任を問われる可能性があり、準委任契約の場合、開発者は善管注意義務を負い、その義務違反を理由とする債務不履行責任を問われる可能性があります。
法的不確実性を回避するためには、契約責任の成立範囲を明確化するため、性能保証や具体的な評価指標を開発契約で定めておくことが望ましいとされています。
4. AI顧客に対する金融機関の責任
金融機関がAIを利用したサービスをAI顧客に提供している局面で、AIの不正確性等に起因した損害が発生した場合の金融機関の責任について分析しています。
AIの利用形態を、人間が最終意思決定を行う「支援型」と、AIが自律的に判断・決定を行う「自律型」に分けて考察しています。
支援型のAI利用は既存の債務を必然的に変更させるものではないため、個別の契約締結は必ずしも必要ではないと考えられています。
しかし、自律型の利用形態では、紛争予防のために金融機関がAI顧客に対し、AIによる判断に服することの合意（AIサービス利用契約）を求める必要があり、その際のリスク説明が重要であると指摘されています。
5. 組織内部におけるリスク管理
金融機関の取締役には、内部統制システム構築義務の一内容としてAIガバナンス体制構築義務が認められており、AI利用における組織内の最終的な責任を負うとされています。金融庁が公表した「モデル・リスク管理に関する原則」（MRM原則）がAIガバナンス体制の内容検討の参考になります。MRM原則でいう「モデル・リスク」には、AIの不正確性（ハルシネーション等）が含まれると考えられています。リスク管理方法の一試案として、まずAIのリスクに関する社内教育の徹底と社内ルールの整備が必要とされています。
おわりに
今回、金融機関におけるAI利用という具体的な領域での法的リスクとガバナンスに関する報告書を読み解くことを通じて、技術の導入が既存の法的枠組みにどのような影響を与え、新たな課題を生じさせるかを改めて認識させられました。
特に、AI開発者・提供者と利用者、そしてエンドユーザーという複数のステークホルダー間での責任分界点を、契約によっていかに明確化していくかという視点は、非常に重要であると感じました。
この動向からは、私たちが直面するリスクが常に進化しており、技術的な側面だけでなく、法制度や組織体制といった多角的な視点から対策を講じる必要性を再確認する機会となりました。
今後も、本報告書で得られた知見を基に、技術と社会制度との相互作用について、さらに学びを深めていきたいと思います。
