何が起きたか
日本銀行金融機構局が、金融システムレポートの別冊として、金融機関の生成AI利用に関する調査結果を公表した。日付は2026年8月6日。取引先金融機関150先へのアンケートが土台で、金融機関やITベンダー等との意見交換も反映されている。同種の調査は2024年度から数えて3回目にあたる。
利用は9割強に届き、この1年では第二地銀の伸びが目に付く。用途は定型的な事務処理にとどまらず、顧客の情報を扱う中核業務へも入ってきた。ただし、AIの出力を顧客の目に直接触れさせる段階まで踏み込んだ先は多くない。使い始めた後の自己評価としては「業務に利用できるが、改善の余地がある」との回答が多かった。
管理態勢の評価は領域ごとに差が出た。情報管理と現場の実務ルールは相応の先で整備が進む一方、ガバナンス、サードパーティリスク管理、セーフティ・セキュリティについては「『改善の余地がある』または『検討中』という先が多く」と整理されている。今後の課題として並んだのは、事業推進、人材育成、ITインフラとデータの整備、サイバー攻撃対策である。
「業務に利用できるが、改善の余地がある」— 日本銀行
「「改善の余地がある」または「検討中」という先が多く」— 日本銀行
なぜ重要か
読み方を誤ってはならないのは、この文書の主眼が普及率の報告ではないという点である。9割強という数字は、導入の可否がもはや論点でないことを示すだけで、当局の関心は「何を管理項目として置いているか」に移っている。並べられたリスクの分類と管理領域は、そのまま監督側の関心の地図として読める。
整備が進んだ領域と遅れた領域の分かれ方には、規則性がある。情報の取り扱いや現場の運用ルールは、文書を一本作れば形になり、担当部署の中で完結する。これに対して、経営レベルの意思決定への組み込み、外部依存の把握、出力の安全性を継続的に確かめる仕組みは、部門をまたぐ調整と定常的な運用工数を伴う。前者が先に進み後者が残るのは、導入を急いだ組織で広く起きる形であり、金融業界に限った話ではない。
サードパーティ管理の難しさは構造に由来する。生成AIの利用は、モデルの提供者、その下のクラウド基盤、AI機能を後から載せた業務SaaSという多層の依存の上に成り立つ。従来の外部委託管理は契約相手を一段確認すれば足りたが、AIでは自社が関与しないモデル更新が出力の質を動かす。見るべき対象が契約書から挙動へ広がっているのに、管理の枠組みが旧来のままという状態が残りやすい。
日銀は、AIエージェントやフロンティアAIの導入ではリスク管理とガバナンス面の対応が重要だとし、活用を進めるうえでは経営層が便益とリスクの双方を把握して関与・主導することを求めた。あわせて、考査やモニタリング、セミナーを通じた対話を続ける方針を示している。ここで示された水準は、金融機関の委託先審査という経路をたどって、取引のある一般事業会社にも及ぶ可能性が高い。
R&Rの視点
支援の場面でよく出会うのは、規程は整っているのに、どの業務でどのモデルが動いているかを一枚で示せない組織である。規程は法務や企画が短期間で書けるが、台帳は各部門からの申告と更新の運用がなければ維持できない。今回の調査で見えた領域間の差は、この落差と重なる。
もう一つ、棚卸しの単位を間違えている例が多い。数えているのが「稟議を通して導入したAIサービス」だけになっており、既存のSaaSに後から搭載された要約や下書き生成の機能が抜ける。禁止の通達を出しても、実態は把握できないまま残る。数える単位を「業務のどの場面で生成AIに触れているか」に変えると、見落としが表に出る。
内部監査の側も見ておきたい。三線防御の建て付け上、AI利用は第3線が検証する対象になるが、出力の妥当性やモデル変更の影響を評価できる人員を抱える監査部門は多くない。ここは研修か外部レビューの調達費として年度予算に載せる話になる。
経営層への説明は、事故の想定被害額より調達・監査対応の観点から入るほうが通りやすい。取引先から管理態勢の提示を求められる場面は増えることが見込まれ、そのとき何を出せるかから逆算して、台帳、ログ、評価担当の三点を並べるとよい。
実務者が今日やること
- 業務で生成AIに触れる場面を部門横断で洗い出し、稟議を通していないSaaS内蔵機能まで台帳に載せる
- 利用中のAIサービスについて、モデル更新やバージョン変更の通知条件を契約と設定の両面で確認する
- ガバナンス、サードパーティ管理、出力の安全性検証の三点を自社規程と突き合わせ、記述のない箇所を洗い出す
- 生成AIの出力を顧客に直接示す業務があるかを判定し、あるなら人の確認手順と記録の残し方を定める
- 内部監査部門がAI利用を検証できる観点を持つか点検し、不足するなら研修や外部レビューを年度計画に組み込む
