FINMAの監督上の期待
Risk Monitor 2023からガイダンス08/2024へ
スイス金融市場監督機構（FINMA）は、人工知能（AI）に関する通達を発出していない。FINMAは、原則に基づき技術中立的であるという自らのアプローチに沿って、ガバナンスおよびリスク管理の既存の枠組みの中で自らの期待を示すことを選択した。Risk Monitor 2023において、FINMAは四つの期待領域を示した。すなわち、ガバナンスと責任、堅牢性と信頼性、透明性と説明可能性、そして平等な取扱いである。FINMAは、AIが生成した結果を人間が理解または説明できないこと、誤りや不平等な取扱いが気付かれないまま入り込むこと、そしてAI主導の決定に対する責任が不明確なままとなることを懸念していると説明した。2023年第4四半期から、FINMAはAIを広範に、または監督上重要な分野で利用している機関に対して、実地検査および監督上の対話を実施した。1
2024年12月18日、FINMAは人工知能の利用におけるガバナンスとリスク管理に関するガイダンス08/2024を公表した。このガイダンスは、監督から得られたFINMAの所見をまとめたものであり、大半の機関はまだ初期段階にあり、ガバナンスおよびリスク管理の体制はなお構築中であると述べている。ガイダンスは、オペレーショナル・リスク、とりわけ堅牢性、正確性または説明可能性の欠如やバイアスといったモデル・リスクを特定している。また、セキュリティ、品質および可用性に関するデータ関連リスク、ITおよびサイバー・リスク、第三者への依存の増大、ならびに法的リスクおよびレピュテーション・リスクを挙げている。2
ガイダンスの内容
ガイダンスは、FINMAが適切と考え、監督において機関を評価する基準となる措置を記述している。機関は、AIの開発、導入、モニタリングおよび利用について責任を明確に定めたガバナンスを確立することが期待される。機関は、組織内で使用されているAIシステムの一覧を作成し、それをリスクに応じて分類すべきである。多くのアプリケーションではモデルの選択よりもデータの品質の方が重要であるため、データの品質が確保されなければならない。システムは導入前に試験され、包括的で容易にアクセスできる文書化に支えられて継続的にモニタリングされるべきである。顧客、従業員または監督当局に対して決定を正当化しなければならない場合には説明可能性が確保されなければならず、適切な場合には独立したレビューが実施されるべきである。最後に、AIが適切かつ倫理的に利用されるよう、スタッフを訓練しなければならない。FINMAはこれらすべてを比例原則に従って位置付けている。すなわち、措置の強度は、AIシステムの重要性と、関連するリスクが顕在化する蓋然性に応じて決まるべきであるとしている。3
ガイダンスの二つの特徴は強調に値する。第一は第三者の取扱いである。機関が外部事業者のモデル、ハードウェアまたはクラウド・サービスを利用する場合でも、機関はリスクについて責任を負い続け、FINMAはアウトソーシング規則の論理に従った統合的なアプローチを期待している。第二は文書の法的性質に関するものである。FINMAのガイダンスは拘束力のある法ではないが、機関が適切な組織およびリスク管理という法定要件を満たしているかどうかを評価する際にFINMAが適用する監督実務を記述している。ガイダンスから逸脱する機関は、自らのアプローチがなぜ同等の保護を達成するのかを説明できなければならない。実務上、監査人およびFINMAが最初に求めるのは、一覧、リスク分類および試験の文書化である。
2024年以降の監督上の優先事項
FINMAのRisk Monitor 2025は、人工知能をそれ自体として主要なリスクに挙げていない。同モニターは九つの主要なリスクを挙げており、そのうちアウトソーシング、サイバー攻撃および情報通信技術の複雑性がAIに直接関連している。FINMAは、重要な機能のアウトソーシングに対するより堅固な統制を求め、報告されたインシデントのほぼ半数に第三者が関与していたと指摘した。4 この分類は論理的である。監督の観点からは、AIのリスクの大半はオペレーショナル・リスク、アウトソーシング・リスクまたはサイバー・リスクとして顕在化するため、既存のカテゴリーの中で捕捉することができる。機能不全に陥ったAIモデルはオペレーショナル・インシデントであり、データを漏洩させたモデルはサイバーおよびデータ保護の問題を提起し、言語モデルを提供する単一の米国事業者への依存はアウトソーシングおよび集中リスクである。したがって、FINMAのアプローチはAIをスイスの機関が既に熟知している枠組みの中に位置付けるものであり、これは不確実性を低減するが、同時に関連する規則が複数の手段に分散していることも意味する。
注
- FINMA, “Künstliche Intelligenz: Die FINMA formuliert ihre Erwartungen”（フィンテック特集）, https://www.finma.ch/en/documentation/dossier/dossier-fintech/kuenstliche-intelligenz/（2026年9月閲覧）. 同特集によれば、業界はFINMAの技術中立性とリスクベースのアプローチを歓迎した。 ↩
- FINMA, “FINMA guidance on governance and risk management when using artificial intelligence”, 2024年12月18日のプレスリリース, https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
- Pestalozzi, “FINMA guidance on governance and risk management when using AI”, https://pestalozzilaw.com/en/insights/news/legal-insights/finma-guidance-on-governance-and-risk-management-when-using-ai/（2026年9月閲覧）。FINMAガイダンス08/2024を要約したもの。 ↩
- FINMA, “FINMA Risk Monitor 2025: accentuated geopolitical risks – cyber and real estate risks continue to grow”, 2025年11月17日, https://www.finma.ch/en/news/2025/11/20251117-mm-risikomonitor/. ↩
本記事は一般的な情報提供のみを目的としています。法律上または税務上の助言を構成するものではなく、個別案件に関する助言に代わるものでもなく、弁護士と依頼者との間に委任関係を生じさせるものでもありません。本記事は2026年10月時点の法的状況を反映しています。