2026年4月17日に公表された、モデルリスク管理に関する改訂版の当局共同ガイダンスであるSR 26-2は、生成AIモデルとエージェンティックAIモデルについて「本ガイダンスの適用範囲には含まれない」と明記しています。銀行は現在、最も急速に拡大しているAIシステムを、15年にわたりモデルを律してきた枠組みの外で運用しており、予告された情報提供依頼（RFI）もまだ公表されていません。

SR 26-2は2026年4月17日に何を変えたのか？

2026年4月17日、連邦準備制度理事会（FRB）、通貨監督庁（OCC）、連邦預金保険公社（FDIC）は共同でSR 26-2「Revised Guidance on Model Risk Management」を公表しました。これによりSR 11-7（2011年4月4日）とSR 21-8は置き換えられました。OCCは同じ文書をBulletin 2026-13として公表し、Bulletin 2011-12、1997-24、2021-19、およびComptroller's Handbookのモデルリスクに関する冊子を廃止しました。FDICはFIL-15-2026として公表しています。

AIガバナンスチームにとって重要な変更は3つあります。まず、モデルの定義が「統計的、経済的または財務的な理論を適用して入力データを定量的な推計値に処理する、複雑な定量的手法、システムまたはアプローチ」に絞り込まれ、単純な算術や決定論的なルールは除外されました。次に、モデル管理は重要性に基づくアプローチに変わりました。そして、生成AIとエージェンティックAIは適用範囲から完全に外されました。

このガイダンスは「総資産300億ドル超の銀行組織に最も関係が深いと想定される」ものであり、規則ではありません。FDICの送付状には「本ガイダンスの不遵守のみをもって監督上の指摘を受けることはない」と記されています。法令違反や安全かつ健全でない慣行に対しては、引き続き監督上の措置が取られ得ます。

生成AIとエージェンティックAIの適用除外は、実際に何を述べているのか？

該当する本文はわずか2文で、「生成AIモデルとエージェンティックAIモデルは新しく、急速に進化している。そのため、本ガイダンスの適用範囲には含まれない」というものです。

一方でガイダンスは、反対側の線引きも示しています。その原則は「従来の統計モデルおよび定量モデル、ならびに非生成型・非エージェンティック型のAIモデルに適用される」とされています。勾配ブースティングを用いた与信判断モデルや機械学習による不正検知モデルは、引き続きSR 26-2上のモデルであり、通常どおり特定、検証、継続的なモニタリングの対象となります。

ガイダンスはどちらの用語も定義していません。生成型システムはモデルではないとも、ガバナンスを緩めてよいとも述べていません。述べているのは、本文書がそれらを対象としないこと、そして本文書が扱わないツールには、銀行がより広範なリスク管理とガバナンスの実務を適用すべきであるという点だけです。

OCCのプレスリリースによれば、当局は「モデルリスク管理全般を扱い、特に生成AI、エージェンティックAI、AIベースのモデルを含む銀行のAI利用を検討する情報提供依頼を近い将来公表する予定」としています。2026年9月14日時点で、RFIはまだ公表されていません。

「適用範囲外」とは、銀行における生成AIが規制されていないことを意味するのか？

いいえ。ひとつの監督ガイダンスの適用範囲外であることは、監督の対象外であることと同じではありません。意思決定、情報開示、顧客とのやり取りに適用される法律は、それを生み出した技術が何であれ、すべて適用されます。

与信拒否理由（adverse action）の通知文を作成する生成型システムは、信用機会均等法（ECOA）とレギュレーションBの対象です。商品を説明する顧客対応エージェントは、ドッド・フランク法第1031条および第1036条のUDAAP禁止規定の対象です。ベンダーがホスティングする大規模言語モデルは、2023年のInteragency Guidance on Third-Party Relationships: Risk Management（SR 23-4）に基づくサードパーティとの関係に該当します。業務レジリエンス、BSA/AML、プライバシー、記録保存に関する義務も、これまでどおり適用されます。

ミシェル・ボウマン監督担当副議長は2026年5月1日の講演でこの点に触れ、「現在、銀行は既存のリスク管理の枠組みに依拠してAIの利用を管理している」と述べました。また、適用除外の理由の一端として「時間の経過とともに、監督当局は従来のガイダンスの適用範囲を本来の目的を超えて拡大し、意図しない形で適用するようになった」とも語っています。

ギャップは具体的です。法的義務は存在し、検査官からの質問も必ず来ます。しかし、モデルリスク管理部門にコントロールを実証する方法を示してきた唯一の文書が、最も厳しい問いを投げかけるシステムには適用されないのです。

SR 26-2の対象に残るAIシステムはどれか？

2つの境界事例については、文書化された見解が必要です。従来型の分類器と生成型の要約機能を組み合わせたシステムでは、適用対象のモデルが適用対象外のモデルにデータを渡しています。適用対象の与信モデルをツールとして呼び出すエージェントがあっても、そのモデルがSR 26-2の対象から外れるわけではなく、その上にガバナンスの及ばない層が加わるだけです。各システムがどの区分に属し、その理由は何かをAIインベントリに記録してください。その答えによって、適用されるコントロールのセットが決まるからです。

移行期間中、銀行は生成AIとエージェンティックAIにどう対処すべきか？

移行期間中に生成AIとエージェンティックAIに対処するうえで、銀行には主に3つの選択肢があります。

1つ目は、生成型・エージェンティック型のシステムを既存のモデルリスク管理プログラムに無理に組み込むことです。デフォルト確率モデル向けに作られた検証手法は、出力が決定論的でなく、ベンダーが基盤モデルを更新すると挙動が変わり、リスクが複数のツールにまたがるアクションにあるシステムには通用しません。ガイダンスが「意図しない形で」適用されたというボウマン氏の発言は、まさにこれに対する警告と読めます。

2つ目は、RFIがガイダンスとして結実するまで、ガバナンスの対象外のまま放置することです。この場合、銀行は前述のすべての法的義務についてリスクを負い、顧客対応エージェントがどのように承認されたのかを検査官に問われても、エビデンスを示せません。

3つ目は、現在ほとんどの銀行が選んでいる道で、生成型・エージェンティック型のシステム向けに並行する枠組みを設けることです。MRMから引き続き適用できるものを取り入れ、これらのシステムに必要なコントロールを加え、当局が最終的に何を公表してもそれと整合させられるように設計します。最低限、次の要素が必要です。

• インベントリの属性として記録された、生成AIとエージェンティックAIの定義。これにより、すべてのシステムをSR 26-2の境界に照らして分類します。

• 自律性と影響度に基づくリスク階層化。人の関与なしにシステムが何をできるか、誤った場合に何が起きるかで判断します。

• 導入前のユースケース承認。承認者は開発者とは別に置きます。

• 評価に用いた基盤モデルのバージョンとプロンプト設定とあわせて保管される、評価のエビデンス。

• 変更通知、データの取り扱い、再委託先を対象とするベンダー評価。

• 基幹システム（System of Record）への書き込み権限を持つすべてのエージェントに対する、人による監視と明確な停止メカニズム。

• 出力とアクションのモニタリング、および既存のリスク委員会への報告。

参照すべきコントロールのセットはすでに存在します。NIST Generative AI Profile（NIST AI 600-1、2024年7月）は、生成AIの12のリスクカテゴリをGOVERN、MAP、MEASURE、MANAGEの各機能に対応付けています。Cyber Risk Instituteが2026年2月に公表したFinancial Services AI Risk Management Framework（FS AI RMF）には、NIST AI RMFに整合する230のコントロール目標が含まれています。いずれも任意のものですが、どちらも暫定的なコントロールの根拠として銀行が引用できる基盤になります。エージェント固有のコントロールについては、Enzaiの自律型AI（エージェンティックAI）ガバナンスガイドで詳しく解説しています。

重要なのはポータビリティです。どのシステムが生成型またはエージェンティック型か、誰が承認したか、何に対してテストしたか、どのコントロールが適用されるかを記録している銀行は、RFI後に当局が何を公表しても、そのエビデンスを対応付けることができます。承認の記録がメールのスレッドにしかない銀行は、一からやり直すことになります。Enzaiのコンプライアンス・フレームワーク・モジュールは、まさにこの形のために設計されています。エビデンスはシステムに対して一度だけ収集され、FS AI RMFやNIST AI RMFを含む該当するすべてのフレームワークで再利用されます。そのため、将来のSRレターも新たなプログラムではなく、マッピングがひとつ増えるだけになります。

この適用除外は、PRA SS1/23、MAS、FS AI RMF、EU AI Actとどのように関係するのか？

大手銀行は複数の法域で同時に監督を受けており、米国の適用除外は例外的な存在です。グローバルに展開する銀行が直面しうる他の規制体系で、生成型やエージェンティック型のシステムを除外しているものはありません。

PRA SS1/23は、英国で設立された銀行、住宅金融組合（building society）、および内部モデルの承認（IRB、IMAまたはIMM）を受けたPRA指定の投資会社に適用されます。監督ステートメントは、保険会社と再保険会社が対象外であることを明記しています。モデルは「統計的、経済的、財務的または数学的な理論、手法および前提を適用して入力データを出力に処理する定量的手法、システムまたはアプローチ」と定義され、生成型やエージェンティック型の除外はありません。そのため、IRBの承認を受けた米銀の英国子会社は、ニューヨークの親会社よりも広いモデルの定義にロンドンで直面することになり、この定義に該当する生成型システムにはSS1/23の5つの原則がすべて適用されます。

MASは逆の道をたどっています。2018年11月12日のFEAT原則には拘束力がありません。MASは2025年11月、金融機関向けのGuidelines on AI Risk Managementについて意見募集を開始し、2026年1月31日に締め切りました。この案は「生成AIやAIエージェントを含む」複雑なAIを対象とし、最終版の公表後12か月の移行期間を設けることを提案しています。シンガポールに拠点を持つ銀行は、米国当局が意見募集を終える前に、自行のエージェンティック型システムがMASのガイドラインの対象になると想定しておくべきです。

FS AI RMFは、米財務省が主導した官民プロセスを通じ、Cyber Risk InstituteがFinancial Services Sector Coordinating Councilと連携して策定したものです。業界主導の任意の枠組みであり、規制当局が発行したものではなく、SR 26-2に代わるものでもありません。その価値は、暫定的な枠組みにそのまま使えるコントロールライブラリである点にあります。

EU AI Actは技術中立的です。自然人の信用力評価と信用スコアリングは附属書III第5項(b)に、生命保険・健康保険のリスク評価と価格設定は同項(c)に掲げられています。いずれかに用いられる生成型システムは、アーキテクチャにかかわらず高リスクAIシステムとなります。第17条第4項により、金融機関は品質マネジメントシステムの要件の大部分を、EUの金融サービス法がすでに求めている内部ガバナンスを通じて満たすことができます。MRMとAIガバナンスをいずれにせよすり合わせる必要があるのは、まさにこの部分です。2026年7月27日にはDigital Omnibus on AI（規則（EU）2026/1744）が発効し、附属書IIIの高リスク義務は2027年12月2日に、附属書Iのシステムに関する義務は2028年8月2日に延期されました。期限の一覧は、EnzaiのEU AI Act対応ガイドにまとめています。

監督上の変更のタイムラインは？

何がまだ不確実なのか？

RFIの時期は決まっていません。「近い将来」と書かれたのは2026年4月であり、RFIは情報提供の依頼であって規制案ではありません。そのため、ガイダンスが出るとしても、その前にもう一度意見募集のサイクルを経ることになります。

最終的な適用範囲も未定です。当局は、モデルの定義を生成型システムまで広げることも、AIに特化したガイダンスを単独で出すことも、サードパーティリスクや業務レジリエンスに関する既存のガイダンスに期待事項を組み込むこともできます。RFIの「モデルリスク管理全般」という枠組みは、どの道も残しています。

移行期間中の検査実務は文書化されていません。ボウマン氏の講演は、銀行が既存の枠組みに依拠していることを述べているだけで、生成型システムに何の枠組みもない銀行を検査官がどう扱うかには触れていません。

定義も定まっていません。SR 26-2は生成AIもエージェンティックAIも定義していません。当局が定義するまでは、各銀行が自ら定めた定義が検査の基準となるため、書面にしておくべきです。

実務上の意味

生成型またはエージェンティック型のシステムを導入しているすべての銀行のガバナンスチームにとって、やるべきことは具体的です。

1. インベントリ内のすべてのAIシステムを、SR 26-2の境界に照らして分類します。従来型モデル、非生成型AIモデル、生成型、エージェンティック型、モデルに該当しない、のいずれかです。根拠を記録し、混在型のシステムはコンポーネント単位で判断します。

2. 生成型・エージェンティック型のシステム群を対象に、NIST Generative AI ProfileとFS AI RMFをコントロールの出典として、文書化された暫定的な枠組みを立ち上げます。モデルリスクを所管する委員会を通して運用し、2つのシステム群のガバナンスが連携した状態を保ちます。

3. エビデンスはフレームワークではなくシステムに紐づけて収集します。承認、評価、ベンダー評価、モニタリング結果は、特定のシステムとバージョンに紐づけるべきです。そうすれば、今は複数のフレームワークに対応付け、RFIを経てガイダンスが出たときには対応付けをやり直すことができます。

4. グループが服する他の規制体系とすり合わせます。IRBの承認を受けた英国子会社では、生成型システムがSS1/23のモデルの定義に該当する場合があります。EU域内で与信や保険の判断に関わる事業があれば、2027年12月2日が計画の目安となります。

5. RFIへの回答を今から準備します。インベントリと暫定的な枠組みを持つ銀行は、エビデンスに基づいて意見を述べることができます。モデルリスクとAIガバナンスの責任者を連携させる好機でもあります。両者をひとつの領域とするか2つとするかを当局が決めるのは、このRFIだからです。

Enzaiは特に3つ目のステップのために作られています。ひとつのシステム記録とひとつのエビデンスの記録を、該当するすべてのフレームワークに対応付けます。これはGRC部門にとっての自動化されたAIガバナンスを支える考え方です。金融機関でどのように機能するかは、Enzaiチームにお問い合わせください。