ASICが銀行のAI利用を重点分野に——顧客対応AIで何を残すか

規制当局の計画文書は、たいてい短いものです。

短いということは、読み手が自分の見方を投影できる余白が大きいということでもあります。

オーストラリア証券投資委員会（ASIC）が2026年8月26日に公表した2026–27年度のコーポレートプランで、銀行のAI利用について本文が述べているのは、実質的に一つの項目だけです。

その一行から実装上の示唆を得ようとするなら、同じ当局が過去に何を具体的に指摘してきたかまで遡る必要があります。

本稿では、その読み解きの手順と、そこから導ける設計上の論点を整理します。

コーポレートプラン本文が、銀行のAIについて書いていること

コーポレートプランは五つの戦略的優先課題を掲げており、その第一「消費者と中小企業の成果を改善する」の重点領域の一つに「AI利用の影響」が置かれています。

その配下で、銀行のAIに触れた取組みは次の一項目です。

Use of AI — We will monitor increased use of AI by banks to identify harms or risks to consumers.

日本語にすれば、銀行によるAI利用の増加を監視し、消費者への害またはリスクを特定する、という内容です。

コーポレートプラン本文が銀行のAIについて述べているのは、ほぼこれがすべてです。

検査項目、ログの要件、顧客層ごとのテスト、説明責任者の置き方といった具体は、本文には書かれていません。

なお同じページの末尾には、別段の記載がない限り想定期間は1年を超えるという注記が付いており、単年度の検査計画というより複数年の監視方針として置かれた項目だと読めます。

もう一か所、環境認識を述べた節では、AIがASICの監督環境を変えていること、そして情報品質の低下、説明責任の弱まり、AI技術によって、誤解を招く信頼性の低い金融情報に消費者が接する可能性が高まりうる、と述べられています。

ただしこの記述が名指ししているのは「従来の金融機関の経路の外で流通する情報」です。

金融機関自身の顧客対応AIに限った話ではないため、この節をそのまま「銀行の顧客対応AIへの要求」として読むのは踏み込みすぎになります。

市場の健全性を扱う第五の優先課題の配下には、AIによる市場操作・ディープフェイク・誤情報のリスクに対処するという別の項目もありますが、これは顧客対応AIとは別の論点です。

同日のメディアリリースが加えたこと

コーポレートプランと同日に、ASICはメディアリリース「ASIC sets plan to be easier to deal with, harder to avoid」（26-200MR）を公表しています。

そこではAIへの注力を高めるとして、銀行が顧客向けサービスでAIをどう使っているか、AIが消費者・投資家にどう影響しうるか、AIによる市場操作・ディープフェイク・誤情報が市場の健全性にどう影響しうるか、の三つが挙げられています。

コーポレートプラン本文にはない「顧客向けサービス（customer-facing services）」という限定が出てくるのは、このメディアリリースです。

Sarah Court委員長の発言として、AIはサービス・生産性・意思決定を改善しうるが、その利用が説明責任や消費者・投資家保護を弱めてはならない、という一文も掲載されています。

計画文書とリリースを合わせても、ここまでが一次資料から確認できる範囲です。

コーポレートプランが書いていないこと

発表を受けた第三者の解説記事のなかには、銀行は自社のAIサービスが誤解を招く情報を出さないこと、説明責任を隠さないこと、特定の顧客層を不利に扱わないことを示す必要がある、という三点に整理したものがあります。

分析としては妥当な内容ですが、この三点セットはコーポレートプラン本文にも同日のメディアリリースにも、その形では記載されていません。

このため本稿では、ASICの一次資料に明記された内容と、そこから導くMIFの分析を区別して扱います。

もう一つ、混同しやすいのが文書の性格です。

コーポレートプランは監督上の重点と活動方針を示す計画文書であり、それ自体が新たなAI固有の義務を作ったわけではありません。

ASIC自身が2024年のReport 798で、金融サービス・信用の規制枠組みは技術中立であり、事業者はAIを導入する前に既存の規制上の義務を検討する必要がある、と明記しています。

つまり読み方としては「新しい規制が来た」ではなく、「既存の義務の下で、どこを重点的に見るかが示された」になります。

Report 798まで遡ると見えてくる論点

実装上の具体論まで確認するには、コーポレートプランの一行を、同じ当局が過去に公表した一次資料と突き合わせる必要があります。

ASICは2024年10月29日に、Report 798「Beware the gap: Governance arrangements in the face of AI innovation」を公表しています。

23の金融サービス・信用ライセンス保有事業者から集めた624件のAIユースケースを対象にしたレビューです。

同報告書は、AIが消費者にもたらしうるリスクとして、偏った学習データやアルゴリズム設計による不公平・意図しない差別、商品やサービスについて誤った情報が提供されること、消費者心理の操作や行動バイアスの利用、データプライバシーとセキュリティの侵害、そして説明可能性・透明性・異議申立て可能性の欠如による信頼の毀損を挙げています。

ASICの関心は、AIの出力精度だけに限られてはいません。

レビューで見つかったギャップも具体的です。

AIリスクに合わせてリスク管理の方針や手続きを更新していたのは23社中およそ半数でした。

公平性や差別・バイアスのリスクに言及したAI関連の文書を持っていたのは23社中12社、消費者がAIと関わる場面での開示について文書化された要件や原則を持っていたのは10社で、AI固有の異議申立ての仕組みを実装していた事業者は見当たらなかった、と報告されています。

意味のある人間による監督をどう提供するか、予期しないモデル出力をどう監視し対応するかについても、弱さが観察されたとされています。

消費者への影響よりも、事業上のリスクに偏って評価していた例も挙げられています。

誤った出力について「消費者が異議を申し立てられる」「担当者が上書きできる」とはしたものの、消費者がそもそも異議を申し立てられると知らないまま取引自体をやめてしまう害までは考慮されていなかった、という指摘です。

海外で開発された本人確認モデルを使い、詐欺を見逃す事業リスクは特定していたが、豪州の顧客を代表するデータで十分に訓練されていない場合に一部の集団が不均衡な影響を受けうる点は特定していなかった、という例も記載されています。

予期しない出力への対応にも差があり、同報告書は、根本原因分析を行い消費者への影響まで調査した事業者を良い実務とし、原因分析も顧客影響の評価もせずモデルのしきい値を業務上のリスク許容度に収まるよう調整しただけの事業者を、そうでない実務として並べています。

さらに同報告書の末尾には事業者向けの問いが並び、説明責任の項では、AIの利用と結果についてモデル単位でも組織全体でも誰が説明責任を負うのか、その人は職責を果たすのに必要な報告を受けているのか、AIによる消費者アウトカムをどう測っているのか、が問われています。

コーポレートプランの一行が「何を見るのか」の宣言だとすれば、Report 798は「実際にどこが足りていなかったか」の実例集にあたります。

説明可能性・責任配分・追跡可能性を混同しない

ここからは、ASICの資料を踏まえた私たちの整理です。

顧客対応AIをめぐる議論では、性質の異なる三つの論点が、「説明できる状態」として一括りにされがちです。

説明可能性は、特定の出力にどの入力や要因が影響したのか、モデルや業務ルールがどのように結果へ結び付いたのかを、人が理解し説明できる程度を指します。

責任配分は、どの判断を誰の職責に置き、誰が承認・却下・是正の権限と義務を持つかという、組織側の設計です。

追跡可能性は、どのモデル・設定・データ・業務ルールが使われ、誰が承認・確認・修正し、結果として何が顧客へ提示されたかを、証拠に基づいて後から確認できる状態を指します。

三つは重なりますが、どれか一つで他を代替できるものではありません。

ASICが、説明可能性と追跡可能性のあいだに優先順位を示したわけではありません。

むしろReport 798は、説明可能性の欠如そのものを消費者の信頼を損なうリスクとして挙げています。

同報告書のケーススタディでは、与信判断の入力に使われていたスコアリングモデルが、社内報告書で「スコアカードの変数も、それが申込者のスコアに与える影響も説明できないブラックボックス」と記述され、最終的により単純なモデルへ置き換えることで、スコアリング結果とモデルを説明可能にした、と記載されています。

この事例は、記録を充実させるだけでなく、モデル自体の説明可能性も重視する必要があることを示しています。

そのうえで、私たちが実装の順序として重視しているのは次の立場です。

まず、入力・出力・使用したモデル・参照した情報・ツール操作・人間の確認を後から再構成できる状態を確保し、その上でユースケースに応じた説明方法を設計する、という順序です。

理由は単純で、記録が残っていなければ、説明が妥当かどうかを検証する材料自体が残らないからです。

これはASICの公式見解ではなく、同資料を踏まえたMIFの設計上の立場です。

ここでいう追跡可能性は、「なぜそう答えたかを再現できる」ことではありません。

生成AIは確率的に動作するため、同じ入力でも同じ出力が返るとは限りません。

ログからモデル内部の真の因果を復元できるわけでもありません。

ログによって後から再構成できるのは、判断経路と利用条件までです。

顧客対応AIで、後から確認できるようにしておくこと

以下は、ASICの要求事項の一覧ではありません。

ASICの資料を踏まえて、私たちが顧客対応AIの「証拠パッケージ」として整理した一例です。

正しい設定を示すものではなく、自社の規模・業種の規制・リスク許容度に合わせて中身を埋める叩き台として読んでください。

設計対象	後から確認できるようにしておくこと	主な実装・運用先の例
回答の根拠	どの商品情報・契約条件・料金表のどの版を参照して答えたか	参照履歴、商品情報の版管理、応答ログ
利用条件	どのモデル・システム指示・ポリシー・ツール構成で処理したか	モデル台帳、構成管理、変更履歴
判断の境界	AIが単独で処理してよい範囲と、人へ戻す条件は何だったか	業務ルール、エスカレーション基準
人間の関与	誰が承認・修正・上書き・却下したか	承認履歴、担当者の記録、苦情対応記録
顧客アウトカム	顧客層や利用状況ごとに、不均衡な結果が生じていないか	定期モニタリング、消費者影響の検証
是正の手段	誤回答が判明したとき、対象顧客の特定・訂正・救済ができるか	インシデント対応、顧客連絡、補償の手順
記録の統制	何を、どれだけの期間保存し、誰が閲覧でき、いつ削除するか	ログ基盤、アクセス制御、保持・削除方針

このうち、「顧客アウトカム」を確認する際には注意が必要です。

顧客層ごとの差を見るという話は、機微な属性を自由に集めてよいという意味ではありません。

適法に利用できるデータの範囲と、プライバシーおよび差別防止上の制約を確認したうえで、顧客層や利用状況ごとの結果に不均衡な差が生じていないかを検証する、という形にする必要があります。

見るべきは平均値そのものよりも、誤案内率、エスカレーション率、拒否率、処理完了率、苦情率、訂正や救済までの時間といった、実際に顧客に起きたことの方だと考えています。

右列には、製品やシステムの設定で強制できるものと、社内の運用ルールに委ねられるものが混在しています。

ログを残す、エスカレーションの条件を設定するといった項目は仕組みで担保できますが、誰が説明責任を持つかを実際に機能させるのは、最終的には役割定義と運用です。

表を埋めて終わりにせず、どの行が仕組みで守られ、どの行が運用で守られているかを分けて確認しておくと、稼働後に慌てにくくなります。

記録を増やすこと自体が、新しいリスクになる

追跡可能性を強調すると、記録は多いほどよいという方向に振れがちですが、Report 798が挙げた消費者リスクの一覧には、データプライバシーとセキュリティの侵害も並んでいます。

顧客の入力、参照した文書、担当者の操作を細かく残せば、後から確認できる範囲は広がりますが、同時に機微情報の保管量と情報漏えい時の影響範囲も増えます。

苦情対応のために保存した会話データが、漏えい時の被害を拡大させる要因にもなります。

ですから記録の設計は、何のために保存するのか、どれだけの期間持つのか、誰が閲覧できるのか、どこをマスキングするのか、いつどう削除するのかまでを、同時に決めるものだと考えています。

先ほどの表の最後に「記録の統制」を置いているのは、この行が他の行の前提になるからです。

「とりあえずすべて残しておく」ことは、追跡可能性の設計ではなく、別のリスクを積み上げる結果になりかねません。

監督する側も、自らのAI利用に承認・監督を置いている

コーポレートプランは、ASIC自身のAI利用についても記述しています。

データとAIのリテラシーを高め、生成AIを含むAI活用を組織内に広げるとしたうえで、AI PolicyとAI Assurance Frameworkに従って責任ある形で使う、と書かれています。

企業リスクへの対応策を並べた一覧では、AIガバナンス・保証の枠組みとして、AIユースケースの独立した承認と監督を行うAI Boardを挙げています。

ASIC自身が、AI活用の拡大と並行して、独立した承認・監督の経路を設けていることは、AIガバナンスをモデル性能だけの問題として扱っていないことを示す一例です。

ただし、ASIC内部の体制を、そのまま規制対象企業への要求とみなすことはできません。

まとめ

ASICは2026–27年度のコーポレートプランで、銀行によるAI利用の増加を監視し、消費者への害やリスクを特定する方針を明記しました。

同日のメディアリリースは、その対象に顧客向けサービスでのAI利用を含めることと、AI利用が説明責任や消費者・投資家保護を弱めてはならないという立場を加えています。

そこに2024年のReport 798まで重ねると、ASICが問題視している論点の輪郭はかなり具体的になります。

浮かび上がるのは、精度だけでなく、説明可能性、公平性、責任配分、人間による監督、継続的な監視、文書化、異議申立てと是正を、一体として考える必要があるということです。

私たちはそのうちの実装面を、後から確認できる状態を確保することとして整理していますが、これはASICが示した優先順位ではなく、あくまで私たちの設計上の立場です。

短い計画文書を読むときに効くのは、そこに何が書かれていないかを先に確認し、同じ当局が過去に何を具体的に指摘したかまで遡ることでした。

顧客対応AIの導入で確認すべきなのは、モデル性能だけではありません。

何かが起きたとき、誰が、どの記録をもとに、どう説明し、どう直すのかが、稼働の前から決まっているかどうかです。

情報確認について

本記事は2026年9月確認時点で、Australian Securities and Investments Commission（ASIC）が2026年8月26日に公表したCorporate Plan 2026–27のPDF本文と、同日公表のメディアリリース「ASIC sets plan to be easier to deal with, harder to avoid」（26-200MR）を主要な参照元として作成しています。

コーポレートプラン本文が明記しているのは、銀行によるAI利用の増加を監視し、消費者への害またはリスクを特定する方針です。

顧客向けサービス、説明責任、消費者・投資家保護に関する記述は、同日公表のメディアリリースを参照しています。

誤った情報、偏りによる不公平な扱い、説明可能性・透明性・異議申立て可能性、意味のある人間による監督、継続的な監視および文書化に関する記述は、ASICが2024年10月29日に公表したReport 798を参照しています。

本稿における追跡可能性の定義、証拠として残す項目、および説明可能性・責任配分との整理はMIFによる分析です。

ASICの監督の運用実態や執行結果は今後の状況により変化する可能性があります。

最新の内容はASICの公式発表でご確認ください。

主要参照資料

• Australian Securities and Investments Commission, ASIC Corporate Plan 2026–27, 26 August 2026.
• Australian Securities and Investments Commission, メディアリリース ASIC sets plan to be easier to deal with, harder to avoid（26-200MR）, 26 August 2026.
• Australian Securities and Investments Commission, Report 798: Beware the gap: Governance arrangements in the face of AI innovation, 29 October 2024.