UAE中央銀行「金融機関向けAIガイダンス」を読む 雑感

Ⅰ　金融・保険領域におけるAI利用の規律

　アラブ首長国連邦（UAE）の中央銀行（Central Bank of the UAE、以下「CBUAE」）が、認可金融機関（Licensed Financial Institutions、以下「LFI」）を対象として、人工知能（AI）および機械学習（ML）の責任ある導入と利用に関するガイダンスノートを公表した〔注1〕。正式名称は "Guidance Note on Consumer Protection and the Responsible Adoption and Use of Artificial Intelligence and Machine Learning by Licensed Financial Institutions in the U.A.E." であり、適用対象には保険会社も明示的に含まれている。融資審査や保険金請求査定といった実務に直接影響を及ぼしうる文書として、その内容を確認しておきたい。

　本ガイダンスはソフトローの性格を持ちながらも、2024年7月公表のUAE AI開発・利用憲章およびUAE AI国家戦略と連携して読まれることが求められており、CBUAEの監督権限の延長線上に位置づけられる。技術の不確実性をどのように制御し、最終消費者の権利を保護するかという問いへの一つの制度的回答として検討する。

Ⅱ　制御可能性とガバナンス構造

1　統制できないモデルの排除

　本ガイダンスが最初に打ち出す要件は、ガバナンスと説明責任の明確化である。LFIの上級管理職および取締役会はAIシステムとその運用結果に対して直接の責任と説明義務を負い、さらに「LFIは自らが制御できないAIモデルを採用してはならない」と明記されている〔注1〕。

　この一文の射程は広い。外部ベンダーのブラックボックスモデルをそのまま活用することは許容されない。説明可能性（Explainability）の要請を、導入の可否を判断する段階の条件として前倒しで担保しようとする規制設計と読める。AIの説明可能性を運用後の開示問題としてのみ捉える立場とは発想の軸が異なる。

2　リスク管理体制への統合

　AIリスクを独立したフレームワークで処理するのではなく、全社的なリスク管理体制に統合することが求められる。監査・リスク委員会、リスク管理部門、内部監査、ITの各部署がAIに特化した役割と責任を持ち、コンプライアンスや内部監査といった既存の統制機能がAI駆動のプロセスを評価して必要に応じて異議を唱えられる体制の構築が要請されている〔注1〕。AIの導入をコンダクトリスクの枠組みのなかに位置づけるこのアプローチは、制度設計の方向性として明確なものがある。

Ⅲ　高影響度決定と人間の関与

1　保険請求を含む「高影響度決定」の定義

　本ガイダンスにおける "High-impact decision" は、「ローン申請や保険金請求といった、顧客の金融商品またはサービスへのアクセスに重大な影響を与えるAIによる決定」と定義されている〔注1〕。消費者に不利な帰結をもたらしうる決定類型を明示し、その類型に対して手厚い保護要件を課す手法は、EUのAI法におけるハイリスクAI分類と同じ発想の軸に立つ。保険金請求査定が定義例として明示されている点は確認しておきたい。

2　人間の関与の三段階と即時停止権限

　人間監督の構造として、ガイダンスは次の三段階を示す。AIが推薦を提供するが最終的な承認・却下権限は人間が保持するモデル、定型業務についてAIが自律的に稼働し人間がアウトカムを監視して必要に応じて介入するモデル、人間の直接関与なくAIが稼働するモデルである。最後の類型は低リスクの非重要プロセスに限定され、適切なコントロールの整備が前提とされる〔注1〕。

　人間の関与の程度は消費者へのリスクと比例関係に置くことが要求されており、形式的な「人間監督」の名目確保ではなく、実質的な判断能力の確保を求めている。さらにいかなる形態であっても、LFIは人間の介入によってAIシステムの使用を即時に停止できる権限を常に保持しなければならない〔注1〕。有事の際に強制停止できる能力の制度的確保は、インフラとしての確実性を担保するうえで妥当な措置といえそうである。

3　透明性とオプトアウト権

　消費者がAIシステムとやり取りしている場合には、そのことを知らされなければならない。高影響度決定については消費者によるオプトアウト権の検討が求められており、開示はアラビア語と英語の双方で平易な言語によることが要請されている〔注1〕。UAEの言語的多様性への明示的な対応は、規制内容の地域適合性という観点から特徴的な点である。消費者が機械による自動決定のみに委ねられる事態を避け、選択の自由を保障するための直接的な保護手段として機能しうる。

Ⅳ　継続的監視と外部委託リスク

1　自動アップデートへの事前検証義務

　AIモデルが学習データに起因する差別的または操作的な出力を生じさせないよう、少なくとも年一回、あるいはモデルのアップグレードや新規導入のたびに偏向テストの実施が義務づけられている〔注1〕。実務的に厳しい要請と考えるのは、AIツールの自動アップデートに対しても実装前のテストを求めている点である。システムの自律的な変容が消費者に不利益をもたらす危険性を重く見て、出力に新たなバイアスが生じないことを確認する人間のプロセスを必須としていると読める。

2　外部委託リスクとプロバイダーの多様化

　高度なAIモデルの多くは外部ベンダーの技術に依存することとなるが、外部委託に関するリスク管理要件も詳細に定められている。プロバイダーへの監査権の確保に加え、単一のAIシステムや特定プロバイダーへの過度な依存を避けるため、可能な範囲で複数のプロバイダーを利用して多様化を図るべきとの指針が示されている〔注1〕。外部委託した機能についても責任はLFI自身が引き続き負うとされており、この点は日本法上の保険募集委託における管理責任の議論と構造的に共通する問題意識を持つ。

Ⅴ　むすびにかえて

　本ガイダンスを読んで筆者が特に注目した点は、「自らが制御できないAIモデルを採用してはならない」という要件の位置づけである。説明可能性の要請を、モデル選定という入口段階の条件として明示的に制度化したこの構造は、事後的な開示規制や苦情対応制度とは異なる規制論理を内包している。

　日本においても金融分野のAI利用に関する議論が続く。高影響度決定の類型化、人間監督モデルの三段階区分、自動アップデートへの事前検証義務といった本ガイダンスの具体的な規定は、国内の制度設計を検討するうえで参照に値する。何かの考えるきっかけになれば幸いである。詳細は原典をご確認いただきたい。

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。
P.S. This is shared for academic discussion only.