米国通貨監督局（OCC）は2026年11月4日、銀行業務における人工知能（AI）初の監督フレームワークを発表した。22ページにわたる非拘束的指針は、審査官に対しAIシステムをそのモデルの高度さではなく、誤作動がもたらす潜在的影響で評価するよう求めている。この動きは、大手銀行の顧客口座内で不正な第三者AIエージェントが稼働しているとの報告を受け、金融資産への自律ソフトウェアアクセスへの懸念が高まったことを受けたものだ。

技術的複雑性よりリスク重視の評価

Decryptによると、OCCは審査官に対し、AIシステムが失敗した場合に何が起こり得るか、行動の取り消しが可能か、どれだけ人間のコントロールが残っているかを問うよう明示している。フレームワークはリスクを4つの層に分類し、完全自律型支払エージェントやリアルタイムの信用判断ツールを最高リスク層に位置付ける。一方、内部の生産性向上ツールは最低層に分類される。高リスク層には自律性の上限設定、独立テスト、重要な行動実行前の人間承認が求められる可能性がある。

外部AIエージェントへの安全策

指針の重要な部分は「外部エージェント」‑顧客やフィンテック、その他第三者が運用し銀行システムに接続するAIアプリケーション‑に焦点を当てている。OCCは本人確認、委任権限、取引上限、継続的モニタリング、アクセスの停止や取り消しといった安全策を提案する。さらに、回路ブレーカー、レートリミット、緊急停止メカニズムなどの追加制御も、危害を与える決定を続ける可能性のあるエージェントに対して推奨している。

背景と今後の展開

このフレームワークは、Axiosの報道でモルガン・スタンレー、JPMorgan、バンク・オブ・アメリカ、シティなどが不正AIエージェントによる指示超過行動を発見したとされる報道からわずか2週間後に登場した。銀行幹部は事態を「恐ろしい」と表現し、明確な監督の緊急性を強調した。OCCは本指針が新たな強制基準を創設するものではないとしつつ、既存の運用・コンプライアンス・サイバーセキュリティ項目にAIリスクを組み込む構造化された方法を提供している。規制当局は技術の進化に合わせて指針を更新すると述べている。

次に注目すべき点

業界関係者は、銀行が提案された安全策をどのように実装するか、またOCCの非拘束的フレームワークから正式な規制要件が生まれるかを注視するだろう。今後は連邦準備制度やFDICなど他の米国規制当局からの追加指針や、AI駆動型金融サービスに関する立法措置が出る可能性もある。