10月8日、Blockheadが「MAS Finalises AI Risk Rules for Financial Institutions, With Agentic AI Guidance to Follow in 2027」と題した記事を公開した。シンガポール金融管理局（MAS）が金融機関向けのAIリスク管理ガイドラインを最終化し、OpenAIやAnthropicのモデルを組み込んだサービスであっても「リスク管理の責任は金融機関自身にある」と明示した内容だ。エージェントAIへの対応は2027年のコンサルテーションに持ち越されており、暗号資産・フィンテック関連企業にとっても見逃せない動きとなっている。
MASがAIリスク管理ガイドラインを正式発表
EUがAI規制法（EU AI Act）を2024年に成立させてから、主要な金融管轄域でのAI規制整備が相次いでいる。アジアでその動きを主導するのがシンガポール金融管理局（MAS）だ。MASは今回、金融機関向けAIリスク管理ガイドラインを正式に公表した。パブリックコンサルテーションを経て最終化されたもので、2027年10月7日から施行される。すべての金融機関、すべての形態のAIが対象となる。
EU AI Actがリスクレベルに応じた分類と義務付けを中心に据えているのに対し、MASのアプローチは「金融機関自身によるガバナンスとライフサイクル管理」に軸を置いている点が特徴的だ。規制の文言で義務を細分化するより、内部統制の仕組みを整備させることで実効性を担保しようとする姿勢が読み取れる。
ガイドラインの核心：第三者AIへの責任
今回のガイドラインで最も影響範囲が広いのが、第三者AI（サードパーティAI）に関する規定だ。
MASは「金融機関は、外部ベンダーが開発・運用・提供するAIであっても、自社サービスで使用するAIに対して責任を負う」と明示した。つまり、OpenAIやAnthropicといった大手AIプロバイダーのモデルを自社サービスに組み込んでいる場合でも、そのリスク評価と管理は金融機関自身が行わなければならない。
ほとんどの金融機関は少数の大手AIプロバイダーのモデルに依存しているという現実を踏まえると、この規定は実務上の負荷が大きい。プロバイダーから十分な保証が得られず、リスクを自社の許容範囲内に収められない場合は、そのAIサービスの利用制限・停止・代替を検討することが求められる。
ガバナンス体制と段階的な実施スケジュール
ガイドラインが求める主な要件は以下のとおりだ。
- 取締役会・上級管理職によるAIリスクの監督（専任のAI委員会の設置は必須ではない）
- AIの利用状況のインベントリ（台帳）管理と各ユースケースの重要度評価
- データガバナンス、テスト、人間による監視、サイバーセキュリティ、モニタリング、変更管理にわたるライフサイクル全体でのコントロール
施行は段階的で、第3・4節が2027年10月、第5・6節が2028年10月から適用される。なお、AIの利用が自社・顧客・他機関に重大な影響を与えない見込みの金融機関は、基本的なポリシーと手続きの整備でガイドラインを満たすことができる。
「エージェントAI」は2027年のコンサルテーションに持ち越し
MASが「まだ決着していない領域」として明示したのが、エージェントAI（Agentic AI）だ。エージェントAIとは、自律的に行動し、外部ツールやAPIにアクセスして複数のタスクを連続的に実行できるAIシステムを指す。自律型トレーディングや支払い処理など、金融分野での活用が進んでいる。
MASはエージェントAIの利用拡大に合わせて既存のコントロールを見直すよう金融機関に求めた上で、2027年に業界コンサルテーションを実施し、追加ガイダンスの方向性を議論する方針を示した。シンガポールでエージェント駆動の取引・決済プロダクトを開発している暗号資産関連企業にとって、このコンサルテーションの行方は注目点となる。
MAS副専務理事のHo Hern Shin氏は「金融機関のAI利用に関する規制上の明確性が高まることで、金融機関は顧客の信頼とシンガポール金融システムの強靭性を維持しながら、自信を持って革新に取り組める」とコメントしている。
詳細はMAS Finalises AI Risk Rules for Financial Institutions, With Agentic AI Guidance to Follow in 2027を参照していただきたい。
