信用・リスクスコアリングモデルも今なおAI法の規制対象

EU AI法の高リスク義務が2027年12月まで先送りされたという政治合意を受け、多くの金融機関がこの規制全体を「来年の課題」として扱っています。しかし、この解釈は誤りであり、特に現在AIを信用判断、不正検知、リスクスコアリングに活用している機関にとって、実際のリスクを生じさせます。今回の先送りは法の特定の章に限定されており、他のいくつかの義務は対象外で、すでに施行されているものもあります。

「AI法のルールが延期」といった見出しが修飾語なしで簡略化されると、限定的な遅延と全面的な猶予を混同しやすくなります。実務上のリスクは、機関が準備を完全に止めてしまい、実際には引き続き拘束力のある透明性義務や、しばしば信用スコアリングツールの基盤となる汎用AIモデル提供者への義務が延期の対象外だったことに後から気付くことです。本記事では、金融機関にとって今回の先送りが実際に何を対象とし、何を対象外としているのか、またAIガバナンスの取り組みにどのような意味を持つのかを解説します。

要約

EU AI法のデジタル・オムニバス改正により、高リスクシステム義務の適用が、未完成の技術基準への対応として現在2027年12月まで延期されました。この延期は現実的かつ限定的であり、対象は第III章のみです。法の禁止行為、汎用AIモデル提供者への義務、AI生成コンテンツやAIとのやり取りの透明性要件などには一切影響せず、これらの多くはすでに金融機関に対して拘束力を持っています。リスクやコンプライアンスの責任者にとって、2027年を全てのAI法義務の期限と捉えて準備を進めるのは誤りです。

主なポイント

1. 延期されたのは第III章の高リスクシステム義務のみであり、法全体ではありません。 信用スコアリングは付属書IIIの高リスクカテゴリであり、2027年12月に移行しますが、他の章は当初のスケジュール通り進行します。
2. 第50条の透明性義務は延期されておらず、すでに有効です。 AIとのやり取りの開示やAI生成コンテンツのラベリングは、顧客対応AIに対する現行の義務です。
3. 汎用AIモデル提供者への義務は先送りの対象外です。 多くの信用・不正スコアリングツールは汎用モデル上に構築されており、これらの基盤義務は延期提案前から適用されています。
4. 禁止AI行為は高リスクのスケジュールに関係なく引き続き禁止です。 先送りは高リスクシステムの適合性評価時期に影響しますが、許容できないリスク行為の可否には影響しません。
5. 今構築する透明性や文書化のガバナンス基盤は、将来の高リスク対応にも活かせます。 2027年まで待って着手すると、同じ能力を二度構築することになります。

デジタル・オムニバスが信用・リスクスコアリングに実際に先送りした内容

今回の先送り措置は、高リスク義務を運用するための技術基準や適合性評価ツールが間に合わなかったために導入されたものであり、根本的な政策目標が変わったわけではありません。

法のリセットではなく、第III章への限定的な遅延

この延期は、適合性評価、技術文書作成、信用スコアリングや不正検知システム（付属書IIIカテゴリ）が対象となるより広範なコンプライアンス体制に適用されます。それ以外の章は、法が当初定めたスケジュール通り進行します。

基準整備の遅れを補うためのバックストップ日程

新たな日程はバックストップとして機能し、必要な基準が整い次第、高リスク義務が適用されますが、遅くとも2027年12月が最終期限となります。規制当局は、機関がこの延長期間中も準備を継続することを期待しています。

金融機関にすでに適用されている義務（先送りの有無にかかわらず）

いくつかの義務は第III章の枠外にあり、当初のスケジュール通りすでに適用されています。

汎用AIモデルへの義務は先送り以前から適用

多くのリスクスコアリングや不正検知ツールの基盤となる汎用AIモデルの提供者は、デジタル・オムニバス提案以前から文書化、透明性、安全性の義務を負っています。

透明性・開示義務はすでに発効済み

顧客がAIシステムとやり取りしていることを通知する義務は、法の当初スケジュール通り適用されており、オムニバスによる延期の対象外です。顧客対応の信用・不正AIをこれらの義務に対応せずに導入することは、猶予期間中ではありません。

延期を「一時停止」と捉えると後でコスト増になる理由

「締切が2027年に延びた」としてAIガバナンスの取り組みを全て止めてしまうと、将来の高リスク義務対応を容易にするための基盤を自ら捨てることになります。

今構築する文書化・ログ管理は無駄にならない

高リスクシステムで将来的に求められる記録管理やアクセス制御の能力は、すでに求められている透明性や汎用モデル義務と大きく重なっています。

現時点で適用される義務に基づくAIガバナンス構築

実務的な出発点は、AI法の義務スケジュールを「すでに有効なもの」と「2027年までのバックストップ日程にあるもの」に切り分け、まず前者を優先してガバナンス体制を整備することです。

データコントロールプレーンがすでに発効しているAIガバナンス義務をどう支援するか

Kiteworksのデータコントロールプレーンは、あらゆるユーザーやAIエージェントの全チャネルでのアクションにデータ認識型のゼロトラスト・コントロールを適用し、それぞれのアクションを改ざん不可能かつスロットリングされない監査ログとして記録し、SIEMツールに直接連携します。ログは完全かつサンプリングされないため、金融機関は現行の透明性・文書化義務が求めるAI関連データアクセスの詳細かつ検索可能な記録を作成でき、将来の高リスク要件にもより詳細に対応できます。

自社のAIガバナンス義務を、継続的かつチャネル横断的な証跡がどう支援するかを確認したい場合は、カスタムデモをリクエストできます。