米OCC、銀行AIの初の監督基準公表　自律決済エージェントを最高リスクに分類

米通貨監督庁（OCC）は、銀行のAIシステムを潜在的な被害規模に応じて評価する初の監督基準を公表した。資金を直接動かす自律決済エージェントとリアルタイムの与信判断システムを、最も高いリスク区分に分類した。

暗号資産専門メディアのディクリプトが11月4日に報じたところによると、OCCは22ページのAI監督フレームワークを公開した。技術の複雑さではなく、システムが誤作動した際に顧客や銀行に及ぶ影響を軸にリスクを判断するのが柱だ。

リスク区分は4段階に分かれる。最上位には自律決済とリアルタイムの与信判断システムを置き、最下位には基本的な社内生産性ツールを位置付けた。文書作成に使う高度なAIより、単純な金融取引を直接実行するエージェントの方がリスクは大きいとみている。

高リスクのシステムに対する統制手段としては、自律性の制限や独立したテスト、重要な措置を実行する前の人による承認などを挙げた。外部のAIエージェントが銀行チャネルに接続する場合にも、同じリスク評価基準を適用する。銀行は本人確認や委任権限、取引上限、監視体制、アクセスの停止・取り消し機能などを点検できる。

今回の指針は、銀行各社が外部AIエージェントによる無断アクセスへの対応を進めているとの報道に続いて示された。アクシオスは10月22日、モルガン・スタンレー（Morgan Stanley）が外部エージェントのアクセスを遮断し、JPモルガン、バンク・オブ・アメリカ、シティ（Citi）もアクセスを制限していると報じていた。

もっともOCCは、今回の文書は新たな規制要件や強制基準を設けるものではないと説明した。既存の運営、法令順守、サイバーセキュリティーのリスク管理の枠組みの中でAIを評価するための指針で、銀行に別個のAIリスク区分の新設を義務付けるものではないとした。OCCは技術の変化に合わせ、指針を継続的に補っていく方針だ。