アジア金融におけるAIガバナンスの階層と空白 / OECD報告書（2025年12月）を手掛かりに雑感

0　はじめに

　金融分野におけるAIは、いまさら導入されつつあるなどという生温い段階ではない。機械学習は既に長年にわたり組み込まれてきたし、生成AIの登場は、その実装の速度と射程をもう一段押し広げた。もっとも、AIの社会実装は一様ではない。国によって、業態によって、そして同一国内でも当局と事業者で温度差がある。この「むら」こそが、法とガバナンスの側から見ると、いちばんやっかいで面白い。

　今回は、OECDが2025年12月に公表したアジアの金融セクターにおけるAI利用と政策枠組みのレビュー（19法域のサーベイ等に基づく）を素材に、アジアにおけるAI金融ガバナンスの特徴を層（layering）と空白（gaps）という二つの言葉で整理し、そこから日本の実務・政策に引き寄せて論点を提示する。

1　技術導入の加速と規制の時間差

　OECD報告書が繰り返し強調するのは、アジアの多くの法域でAIの実験・開発・展開が進んでいる一方、採用の強度・成熟度には大きな不均衡がある、という点である。銀行が先導しつつ、証券、資産運用、ノンバンク、保険、FinTechにも広がるが、バングラデシュやラオスなど例外もある。さらに、監督当局自身がSupTechとしてAIを用い始めている。フィリピン中央銀行のサイバーリスク監視プラットフォームや、香港金融管理局のオフサイト監視への応用がその例である。

　この構図は、単なる導入状況の描写ではない。法の側から見れば、技術導入の速度に、把握と整序が追いつかないという、いつもの非対称が露出している。

　しかも金融は、既に高度に規制された領域である。したがって「新しい技術が出たから新しい法律を作る」という単純な話ではなく、既存の技術中立的な枠組みの上に、追加のガイダンスや自己規律を重ねていく――いわば層状にガバナンスを構築する――という動きになりやすい。OECD報告書は、まさにその「層」の形成を、アジア各国の多様な政策アプローチとして描いている。

2　主戦場は与信とオンボーディング

　OECD報告書によれば、アジアで顕著なAI活用領域として、貸付が最頻出であり、次いで顧客オンボーディングやモバイルバンキング周辺が続く。顧客データが大量に生まれ、処理の自動化で効率化が見込める領域ほど、AIが入りやすいのは当然である。

　ここで見逃せないのは、与信が「金融包摂」というポジティブな物語と結びつく一方で、バイアス・差別、説明可能性、データガバナンス等のリスクも同じ速度で増幅する点である。カンボジアではIDカードからのテキスト抽出と顔認証・生存検知を組み合わせたオンボーディングシステムが導入され、インドネシア、パキスタン、タイ、モンゴルでは信用履歴の乏しい個人や中小企業に対し、代替データを用いたAIクレジットスコアリングが行われている。貸付は、いわば「便益が大きいからこそ高リスク」な典型例であり、金融当局がガバナンスを手放しにくい。

　また、AML/CFTや不正検知におけるAI利用も広く報告されている。虚偽陽性を減らしつつ介入を早めるという効用が語られるが、反面、モデルのブラックボックス化、外部モデル依存、サイバー攻撃面での脆弱性など、運用上のリスクが増える。生成AIの普及は、深層偽造や高度な詐欺を低コストで量産可能にするため、攻撃側の生産性向上という、嫌な形の「AIの生産性」が前面化する。

　そして本テーマの関心からすると見逃せないのが、保険分野も価格付け、引受、保険金支払でAI利用が普通に言及されている点である。金融の中でも保険は、モデルが契約条件や差別禁止と直結しやすい。にもかかわらず、政策議論が銀行・証券中心に回ると、保険の論点が後景に退く。OECD報告書は、少なくとも「保険も同じ土俵にいる」ことを淡々と示している。

3　断片化と収斂の狭間で

　OECD報告書の核心部分は、アジアにおける政策アプローチが多様で、なお急速に変化しているという観察である。ここでいう多様性は、単に国ごとに違うという意味ではない。大きく分ければ、拘束力のある横断法制、国家戦略・原則型のソフトロー、金融分野向けガイドライン、自己規律・行動規範、イノベーション促進策が併存し、同一法域の中で同時に走る点に特徴がある。

　日本は2025年9月に「AI関連技術の研究開発及び利用の促進に関する法律」を施行し、AI戦略本部の設置と基本計画の策定を法定した。韓国は「AI基本法」を2026年に施行予定であり、国家レベルでのガバナンス体制を強化する。台湾は「AI基本法」を策定中、ベトナムは「デジタル技術産業法」に加えてAI法案を準備している。タイも「AI法」の原則案を公表し、パブリックコメントを経た。

　この同時並行は、裏返すと、因果関係の特定を難しくする。たとえば、ある国でAIの不祥事が減ったとして、それが法規制の効果なのか、監督当局の運用なのか、業界ガイドラインなのか、単に事業者が慎重だっただけなのか、切り分けは難しい。だが、金融の規制手法としては、そもそも「単一のルールで支配する」よりも、複数の層を重ねて実務を誘導する方が実効的であることが多い。OECD報告書が言う「相互補完的・相互強化的に働く」という評価は、まさに金融規制の文脈に即している。

4　データの空白

　OECD報告書が繰り返す最大の警鐘は、当局がAI利用の実態を十分に把握できていない、という点である。法令上の報告義務がないため、PoCや内部利用は特に不可視になりやすい。そこでサーベイを実施する国が出てくる。日本の金融庁、香港金融管理局、マレーシア中央銀行、インド準備銀行などである。

　この「見えていない」問題は、単なる統計の不足ではない。監督の正当性と実効性の基礎が揺らぐ。見えないままに厳格規制へ振れれば、イノベーション抑制や外部委託のブラックボックス化を招きやすい。逆に、見えないままに放任すれば、事故が起きたときに初めて「実は広範に使われていた」と判明し、過剰反応的な規制が生まれる。

　サイバーリスクと市場操作リスクが最も高い懸念として報告され、次いでモデルリスク・ガバナンス、データ関連リスク、第三者依存リスクが続く。しかし、インドネシアやモンゴルなど、AI関連リスクを正式に特定していない法域もある。結局、金融AIにおけるガバナンスは、第一に観測であり、第二に規範である、という順序が確認される。

5　むすびに

　OECD報告書は、アジアの金融AI政策が、断片化しているようでいて、実は層として組み上がっていく過程にあることを示している。そこでは、技術中立規制が土台となり、その上にAI特有の論点をガイダンス・自己規律・サンドボックス等で重ねる。そして最大のボトルネックは、実態把握の不足である。

　日本に引き寄せれば、第一に、保険を含む金融横断で、AI利用の可視化を制度的に位置づけることが出発点になる。第二に、技術中立規制の射程を確認しつつ、生成AIのハルシネーションや外部モデル依存、サイバーリスクなど、従来のITガバナンスの言葉だけでは捉えにくい部分を、監督上の期待値として明確化する必要がある。第三に、規制の重さは単独法ではなく「層」の設計として決めるべきである。

　単発の新法で世界を救うのは、だいたい無理である。だが、層を丁寧に積めば、世界は案外しぶとく回る。金融は、そういう領域だ。

（参考） 金融とAIまとめ

（マガジン）「AIと法-雑感」

　※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。