KYCとコンプライアンスで実際に効くAIガバナンスの道具7選

要約

• 「AIガバナンス」を謳う道具の多くはモデルリスク管理のために作られており、KYCやAMLといった手続きについてコンプライアンスのチームが必要とする、業務の次元の監査証跡のためではありません。
• 本当の規制対応には、決定的な実行を保証し、規制当局に示せる監査証跡を残し、オンプレミスで稼働できる道具が要ります。
• 主要な7つの基盤を評価すると、その多くがこれらの基準を満たしていないことが分かります。確率的すぎる（LLM）か、硬直的でAIを前提としていない（RPA）かのどちらかです。
• 端から端までのコンプライアンスの自動化には、AIによる開発と決定的な実行を兼ね備えた、設計として統制されたワークフローの作成環境が要ります。たとえばJinba Flowです。

「AIガバナンスの道具」を検索すれば、モデルカード、偏りの可視化、ずれの検知についての記事が数多く見つかります。どれも重要なことです。しかし、監査を控えた夜11時に銀行のコンプライアンス担当を眠らせずにいるのは、そこではありません。

彼らが実際に問うているのはこうです。「半年後に規制当局から判断の理由を問われたとき、こうした仕組みの多くは本当に明快な答えを持っているだろうか。」（出典）

これが、誰も語らないガバナンスの隙間です。AIガバナンスの道具のほとんどは、データ分析とモデルリスク管理のチームのために作られ、売られています。しかしコンプライアンス担当が必要としているのは、業務の層での統制です。KYCの書類処理が実際に行われる場所、制裁リストの検出が解決される場所、融資引受の判断が下され記録される場所です。

あるフィンテックの専門家はこう述べました。「ここでの本当の問題はモデルではない。監査証跡だ。」（出典）それでも「AIガバナンス」の看板で売られる道具のほとんどは、その層にまったく触れていません。

本記事はその雑音を切り分けます。規制下の金融機関におけるKYC、AML、コンプライアンスの業務にとって重要な基準に絞って、7つの道具を評価します。

評価の基準

以下のすべての道具を、銀行のコンプライアンスにおけるAIの、三つの譲れない要件で採点します。

1. 決定的で規則に基づく実行——確率的なAIの出力に頼るのではなく、一貫し予測できる手続きの論理を徹底できるか。規制当局は、判断がどう下されるのかを理解し承認する必要があります。KYCにおける生成AIに関する Moody's の調査は、規制下の判断における確率的な出力のリスクを明確に指摘しています。
2. 規制当局に示せる監査証跡——すべての入力、判断、出力を、検査官を満足させる形で記録しているか。これは連邦準備制度のモデルリスク管理の指針であるSR 11-7と整合します。同指針は、あらゆる段階で明確な記録と検証を求めています。
3. オンプレミス／遮断環境での導入——パブリッククラウドから完全に隔離された、銀行の安全な基盤の内側で動かせるか。機微な顧客情報を扱う金融機関にとって、これは選択肢ではありません。

では、見ていきましょう。

KYCとコンプライアンスの業務のためのAIガバナンスの道具7選

1. Jinba Flow

適している用途：端から端までのコンプライアンス業務の統括

Jinba Flowは、YC の支援を受けた SOC II 準拠のAIワークフローの作成環境で、従業員2万人以上の銀行と保険会社という規制下の大企業のために専用設計されています。この一覧の中で、三つの評価基準をすべて同時に満たす唯一の道具です。

際立たせているのは、その中核にある構造上の判断です。80%が規則に基づく決定的な実行を、AIによるワークフローの作成の支援と組み合わせています。AIはワークフローの構築の速さを高めますが——チャットからフローを生成する画面を通じて——稼働するワークフローそのものは決定的な論理の上で動きます。これはコンプライアンスにとって決定的に重要です。すべての段階が予測でき、再現でき、監査できることを意味するからです。

MUFG（三菱UFJ銀行）は、30〜40の構成要素からなる複雑な銀行間のKYCの手続きに、Jinba を用いたワークフローを使っています。企業水準のコンプライアンス業務の統制が実務でどのようなものかを示す、現実の目安です。

この基盤には、規制環境のためのエンタープライズ向けの統制が標準で備わっています。SSO、RBAC、バージョン管理、フィーチャーフラグ、そしてあらゆる操作、入力、出力にわたる網羅的な監査ログです。オンプレミスとプライベートクラウドでの運用の選択肢が、外部から遮断された導入を支えます。多くの大手金融機関にとって、譲れない要件です。

Jinba Appがその上に載る、統制された実行の窓口です。非技術系のコンプライアンス担当やKYCの分析担当が、対話型の画面や自動生成されたフォームを通じて、承認済みのワークフローを実行できます。裏側の論理に触れることはありません。

限界：連携の要件が非常に独特なチームは、高度なコネクタの設定に短い習熟の期間を要するかもしれません。

2. Microsoft Power Automate

適している用途：Microsoft の環境における業務の自動化

Microsoft Power Automate は、Azure と Office 365 の上で動くあらゆる組織のコンプライアンスの道具立てに深く根ざしています。規則に基づくフローの論理は構造化された手続きに対して確かであり、Microsoft Purview のコンプライアンスの枠組みの中での監査の機能も堅実です。

問題は、事態が込み入ったときに何が起きるかです。そしてKYCでは、ほぼ常に込み入ります。Power Automate は、AIを後から取ってつけた自動化の道具です。実際のKYCの業務が求める、半ば構造化された書類、例外の処理、柔軟な統括の論理に手こずります。AIを前提としていないのです。自動化を前提としています。

実務では、コンプライアンスの手続きの変化に追いつけず硬直しすぎて維持できなくなった Power Automate の導入を、Jinba がしばしば置き換えています。Microsoft の構成に深く投資しており、業務が単純であれば、妥当な出発点です。しかし複雑なコンプライアンスの業務は、すぐにそれを追い越してしまいます。

3. UiPath

適している用途：旧来システムのRPA

UiPath は、旧来のシステム——メインフレーム、老朽化した勘定系、今日のAPIを持たない仕組み——の手続きを自動化する定番のRPAの基盤です。ボットの動作の記録は成熟しており、オンプレミス導入はその企業顧客にとって主要な使い方です。

しかし UiPath の考え方は、AIを前提としたコンプライアンスの業務と根本的に噛み合いません。その自動化は画面の操作——人のクリックや打鍵を模すこと——に頼るため、画面の配置が変わるともろく、賢い書類の処理や例外の多い業務を扱う柔軟さも欠きます。実行は決定的ですが、その決定性は適応的ではなく硬直的です。

また、Jinba の企業向け道具の比較で指摘されているとおり、旧来の環境における UiPath の強みには実際の代償が伴います。導入は遅く、費用がかさみ、相当な保守の手間を要します。規制の要件が変わるときにコンプライアンスのチームが必要とするものの、正反対です。

4. IBM watsonx.governance

適している用途：モデルリスク管理（MRM）

IBM watsonx.governance は優れた道具です。ただ、多くのコンプライアンス担当が実際に抱えている仕事のためのものではありません。

これは機械学習のモデルを統べるために作られています。その一生を追い、ずれを検知し、モデルカードを生成し、モデルリスク管理についての SR 11-7 の要件を満たす記録を作ります。与信評価のモデルや不正検知のアルゴリズムを本番で動かしているなら、watsonx.governance は真剣に検討する価値があります。

しかしワークフローを実行はしません。KYCの手続きの段階を記録しません。多段階の書類確認の手続きにおいて、誰が何をいつなぜ承認したかの監査証跡を生みません。宣伝の資料では「AIガバナンス」と説明されながら、運用のコンプライアンスのチームが必要としているのとは根本的に異なる課題を解いている、まさにその類の道具です。

5. LLMを前提としたエージェントの枠組み（Auto-GPT、AgentGPT など）

適している用途：生成的で構造化されていない作業

この分類はAIの界隈で大きな注目を集め、コンプライアンスの界隈では大きな不安を生みます。それには理由があります。

LLMを前提としたエージェントの枠組みは強力です。従来の自動化にはできない形で、複雑で曖昧な作業を筋道立てて考えられます。しかし本質的に確率的であり、同じ入力を二度与えても異なる出力を生みうるのです。コンプライアンスにおいて、それは長所ではありません。負債です。

KYCの業務における生成AIに関する Moody's の調査は、「もっともらしいが誤った情報」——事実に反する出力——のリスクを、規制下の判断における全体的な懸念として明確に指摘しています。そして半年前になぜ制裁リストの照合の判断が下されたのかと規制当局に問われたとき、会話の記録はコンプライアンスの答えになりません。

これらの道具は、起案、要約、調査の支援には本当に有用です。しかし、コンプライアンスの業務において責任を負う判断の層になる準備は、まだできていません。

6. Fiddler AI

適している用途：モデルの可観測性と説明可能性

Fiddler AI は本番の機械学習のモデルを監視し、偏り、ずれ、性能の劣化を検知し、個々の予測についての説明を提供します。引受や不正検知の流れに機械学習のモデルを組み込んでいる組織にとって価値があります。

ただし IBM watsonx.governance と同じく、統べているのはワークフローではなくモデルです。一つの予測についての説明可能性は、KYCの口座開設の手続き全体の監査証跡と同じではありません。コンプライアンス上の関心が「なぜ不正のモデルはこの取引を検出したのか」であれば、Fiddler は助けになります。「この顧客の本人確認のために取られたすべての段階、誰が確認したか、どの書類が集められたかを見せてほしい」であれば、Fiddler には応えられません。

7. Credo AI

適している用途：AIガバナンスの方針の管理

Credo AI はガバナンスの管理の基盤です。AIの案件を記録し、規制の枠組みに照らして評価し、AIの取り組み全体で承認を追跡する、一元的な仕組みです。大きな組織が、統制の手続きが整っていることを示す助けになります。

決定的な違いはここです。これが作るのは、統制の活動の監査証跡であって、業務の実行の監査証跡ではありません。リスクの評価が完了し承認されたと記録することは、KYCの業務が判断に至るまでに実際に取った段階を記録することとは違います。Credo AI は、AIの取り組み全体にわたるコンプライアンスの統制について語る助けにはなりますが、個々の業務の中でそれを徹底させるものではありません。

また主にSaaSとして提供されるため、オンプレミスの要件が厳しい金融機関にとってはデータ所在の懸念が生じます。

一覧比較

結論：モデルの統制と、業務の統制は違う

この一覧を貫く型は一貫しています。AIガバナンスの道具のほとんどは、運用のコンプライアンスのチームにとって、解くべき課題を取り違えています。

モデルリスク管理の道具（IBM watsonx、Fiddler AI、Credo AI）は、データ分析とリスクのチームのために作られています。統べているのはモデルです。従来の自動化の道具（Power Automate、UiPath）は決定的な手続きの論理を徹底できますが、AIを前提としていません。構築が遅く、維持がもろく、書類が多く例外に富むKYCの現実のために設計されていないのです。そしてLLMを前提とした道具は、コンプライアンスが妥協できない二つの観点——決定性と監査可能性——で完全に力尽きます。

「隔たりは、作業を自動化することよりも、その作業をエージェントに委ねた後の統制を保つことにあるように感じる」と、あるコンプライアンスの専門家は述べました。（出典）これこそ、一般的なガバナンスの道具立てが応えていない隙間であり、各社が自前の監督と監査の層をその上に築き続ける理由です。

KYCとコンプライアンスの業務にとっての正しい答えは、統制の行き届いていない業務の上にガバナンスの監視の道具を重ねることではありません。設計として統制されたワークフローの構造——決定的な実行、監査の記録、役割に基づくアクセス統制、オンプレミス導入が、後付けではなく構造として備わっているもの——です。

それがJinba Flowの設計思想であり、MUFG のような機関での実際の導入がそれを裏づけています。そこでは30〜40の構成要素からなる複雑な銀行間のKYCの手続きが、現実の書類の複雑さを扱えるだけ賢く、かつ規制当局を満足させられるだけ監査できるものである必要があります。

よくある質問

AIのモデルの統制と、AIの業務の統制は何が違うのですか。

AIのモデルの統制は、個々の機械学習のモデルのリスク（偏りやずれなど）に焦点を当てます。一方でAIの業務の統制は、事業の手続き全体の監査可能性を確保します。コンプライアンスにとって業務の統制が要となるのは、「この顧客を承認するために取られたすべての段階を、規制当局に証明できるか」という問いに答えるからです。

コンプライアンスの業務にとって、決定的な実行がなぜ決定的に重要なのですか。

決定的な実行が決定的に重要なのは、同じ入力が常に同じ出力を生むことを保証するからです。規制当局の監査における基本の要件です。多くの生成AIの道具のような確率的な仕組みは予測できず、規制当局が求める一貫し繰り返せ説明できる結果を提供できません。

監査証跡が「規制当局に示せる」とは、どういうことですか。

規制当局に示せる監査証跡とは、業務の中のあらゆる操作、入力、判断を捉えた、改ざんできない時刻つきの記録です。誰がが何を、いつ行い、そしてなぜその判断が下されたのかを明確に示し、検査官が案件の履歴の全体を再構成できるようにして、連邦準備制度の SR 11-7 のような要件を満たすものです。

大規模言語モデル（LLM）を、コンプライアンスの判断に使えますか。

いいえ。純粋にLLMで動くエージェントを最終的なコンプライアンスの判断に使うことは、非常に危ういことです。その非決定的な性質と、事実に反する情報を生む恐れから、規制下の手続きにおいて責任を負う判断者としては適しません。最終的な判断を自動化するのではなく、人の分析担当を助ける形で使うほうが適しています。

AIを前提としたワークフローの道具は、従来のRPAの基盤と何が違うのですか。

Jinba Flow のようなAIを前提としたワークフローの道具は、APIで動く複雑な手続きのために設計されています。一方 UiPath のようなRPAの基盤は、旧来システムにおける画面操作の繰り返しの作業を自動化します。RPAはしばしばもろく、画面が変わると壊れます。AIを前提とした道具はより柔軟でしなやかであり、AIによる開発の支援と決定的な実行を組み合わせて、今日のコンプライアンスの必要に応えます。

銀行でクラウド専用のAIの道具を使うことの、主なリスクは何ですか。

主なリスクは、データの安全性と所在です。金融機関は機微な顧客情報を扱い、方針や規制によって、それを自社の安全なオンプレミスの基盤の内側に置くことを求められることも少なくありません。パブリッククラウドの道具は露出の点を生み、データ主権の法規に反する恐れもあるため、オンプレミス導入が譲れない要件になります。

自社のコンプライアンスの業務のためにAIガバナンスの道具を検討しており、それが自社の環境にどう当てはまるのかを確かめたいなら、Jinba AI Consulting の無料の戦略セッションをご利用ください。銀行と保険における70件を超えるエンタープライズ事例——MUFG を含みます——をもとに、いまいる場所から、規制に沿い本番運用に耐えるAIの自動化までの道筋を描くお手伝いをします。