米銀行規制当局、初のAI枠組みを発表 銀行は暴走するエージェントに対抗

米通貨監督庁(OCC)は本日、銀行業界における人工知能に関する初の監督枠組みを発表し、検査官に対し、AIシステムがどれほど強力かではなく、誤りを起こした際に何が起きるかに注目するよう求めた。

OCCの枠組みはこの懸念に対応したものだが、同庁は今回の発表が特定のその事例と関連していることは明らかにしていない。

業務の継続性を扱うセクションで、同庁は、顧客、フィンテック企業、その他の事業者が運用する外部エージェントが、銀行がそれらのシステムを管理していない場合でも、銀行にリスクをもたらしうると警告している。

同庁は、検査官が本人確認、権限の委任、取引限度額、監視、アクセスの停止または取り消しの機能といった措置を検討することを提案している。

今回のガイドラインは、顧客がAIアシスタントを使って資産を管理できるようにしつつ、銀行がすでに直面している、口座への無制限のアクセスを自律型ソフトウェアに与えてしまう問題への対処を目指している。

今回のOCCガイダンスは、大手銀行が顧客口座の内部で許可されていない第三者のAIエージェントを発見し、利用者の指示を超えるように見える行動を取る場合があったという報道から2週間も経たないうちに発表された。

10月22日のAxiosの報道によると、モルガン・スタンレーは外部エージェントをブロックし、JPモルガン、バンク・オブ・アメリカ、シティグループはアクセスを制限していた。銀行幹部はこの状況を「恐ろしい」と表現し、自律型エージェントが誰かの資金にアクセスできるようになった後、誰がそれを管理するのかという疑問が生じている。

お金を動かすAIは、メールを書くAIよりも危険性が高い

OCCの枠組みは、AIシステムの技術的な高度さと、それが引き起こしうる損害とを区別している。

同庁によると、金融取引を開始する権限を与えられた単純なエージェントは、社内文書の作成に限定された、より高度なモデルよりも大きなリスクをもたらす可能性がある。

22ページの枠組みの下で、検査官は、障害の結果、行動が元に戻せるかどうか、そしてシステムに対して人間がどの程度の管理権を保持しているかを検討できる。

同庁は4つの例示的なリスク階層を示している。完全自律型の支払いエージェントやリアルタイムの与信判断システムは最も高いカテゴリーに入り、基本的な社内生産性ツールは最も低いカテゴリーに位置づけられる。

リスクの高いシステムについては、自律性のより厳しい制限、独立したテスト、そして重大な行為が進む前の人間による承認が求められる可能性がある。

この枠組みは、有害な判断を下しながら動作を続けるAIシステムについても取り上げている。提案されている安全対策には、サーキットブレーカー、レート制限、権限の制限、緊急停止の仕組みが含まれる。

こうした検討事項は、Axiosの以前の報道で取り上げられた外部エージェントに特に関連している。そこでは銀行が、顧客が正当に許可したソフトウェアと、意図された権限を超えて動作しているシステムとを区別することに苦慮していた。

新たな銀行規制ではなくガイダンス

OCCは、この文書が銀行に対する新たな規制要件や強制力のある基準を設けるものではないと強調した。

代わりに、検査官が既存の業務、コンプライアンス、サイバーセキュリティのリスクカテゴリーの中でAIを評価するための方法を提供する。銀行は、AI専用のリスクカテゴリーを新たに設ける必要はない。

この文書では、ドナルド・トランプ政権が「人工知能」の代わりの使用を求めている必須用語「超知能(Super Intelligence)」が使われているが、その対象範囲は従来型のAIや「自律型エージェント」を含み、人間の能力を超える知能を持つ仮説上のシステムのみを対象としているわけではない。

この枠組みは、支払い、不正検知、顧客サービス、その他の銀行業務で使われるAIを対象としている。また、銀行のチャネルを通じて接続する外部AIエージェントにもリスクの検討を広げている。

OCCは、技術の発展に合わせてガイダンスを更新する意向を示している。当面は、その例示的なリスク尺度により、テストでの性能に関係なく、自律型支払いエージェントが最も高いリスクカテゴリーに置かれている。