この記事はリスク管理部門・情シス・コンプライアンス担当者向けです。「どの委託先にどのリスクがあり、何を確認すればよいか」という実務視点でまとめています。経営判断レイヤーのアジェンダ整理は姉妹記事「取締役会向け金融AI経営アジェンダ」を参照してください。
金融庁が2026年3月に公表したAIディスカッションペーパー第1.1版は、金融機関のAI活用における課題の一つとして、「少数のサードパーティへの依存と市場連関性の増大」を明示的に挙げました。ChatGPT、Claude、GeminiなどのフロンティアモデルをAPIで使う構成は、モデル自体の性能を享受できる一方、サービス停止・仕様変更・価格改定・データ保護ポリシーの変更が業務停止リスクに直結します。
従来の「システム委託先管理」の枠組みは、AI APIやクラウドの管理には不十分な場合があります。特に、入力データの学習利用の有無、モデルのバージョン管理と急変リスク、SLAが金融業務の要求に合っているかという3点は、既存の委託先管理規程に含まれていないことが多いです。
第三者委託リスクの類型
金融分野のAI活用における第三者委託は、次の3つの類型に分けて管理します。
| 委託先類型 | 例 | 固有リスク |
|---|---|---|
| フロンティアモデルAPI | OpenAI API、Claude API、Google Gemini API | 入力データの学習利用、利用規約変更、サービス停止、モデルの急激な仕様変更 |
| クラウド基盤 | AWS、Azure、GCP | 障害時の業務影響範囲、データ所在地、退会時のデータ削除証明 |
| AIソリューション・SIer | AI審査ツール、コンプライアンスチェックツール、AI開発ベンダー | 再委託（基盤モデルへの二次委託）、ブラックボックス化、保守終了リスク |
各類型でリスクの性質が異なるため、同一のチェックリストで管理しようとすると見落ちが生じます。
FREE CONSULTATION
この記事の内容について、専門家に相談できます
AI・DX・セキュリティに関するご質問やお見積もりなど、お気軽にお問い合わせください。
委託先確認の5軸チェックリスト
軸1：データ保護と学習利用
フロンティアモデルAPIを使う場合、入力した業務データがモデルの学習に使われるかどうかは、利用規約の中でも変更されやすい条項です。現時点の利用規約と、過去12か月の変更履歴を確認します。
| 確認項目 | 確認方法 | 合格基準 |
|---|---|---|
| 入力データの学習利用の有無 | 利用規約・データ処理契約（DPA）を確認 | 学習利用オフが明示されている、または契約でオプトアウトが保証されている |
| データの保存場所と保存期間 | サービス仕様書またはDPA | 保存場所が特定でき、保存期間が自社規程の範囲内 |
| データ削除の証明 | 退会・契約終了時の手続きを確認 | 削除完了の証明書発行が可能 |
| 個人情報の越境移転 | 個人情報保護法の域外移転規制を確認 | 日本の個人情報保護法の要件を満たす手当てがされている |
軸2：SLAと業務停止リスク
金融業務のAIサービスに求められるSLAは、汎用SaaSのSLAよりも厳しい場合があります。
| 確認項目 | チェック内容 |
|---|---|
| 可用性保証 | 月次可用性の数値と、金融業務のピーク時間帯との整合性 |
| 計画停止の事前通知 | 何営業日前に通知されるか。保守時間帯は業務時間外か |
| 障害時の復旧目標（RTO・RPO） | 自社のBCP要件と合っているか |
| 補償内容 | SLA違反時のクレジット範囲と上限額（業務損失をカバーするか） |
| サービス終了時の移行猶予期間 | 代替先への移行に必要な期間が確保されているか |
軸3：再委託と連鎖依存
AIソリューションベンダーやSIerに委託する場合、その委託先が基盤モデルAPIを使っていることがあります。この「二次委託」の実態を把握していないと、サービス停止時に調査と原因特定が遅れます。
- 委託先が利用しているAIモデル・クラウドの名称と変更時の通知義務を契約に明記する
- 「AIモデルを変更する場合、変更前30日以内に書面で通知すること」という条項を追加する
- 委託先のBCPおよびサービス継続計画の概要を入手する
軸4：監査権とログ
金融機関は委託先への監査権を持つことが求められますが、フロンティアモデルAPIのプロバイダーは通常、監査権を認めません。この場合、SOC 2 Type IIレポートやISO 27001認証書の提示を求めることで代替とします。
| 委託先類型 | 監査の現実的な方法 |
|---|---|
| フロンティアモデルAPI | SOC 2 Type IIレポートの最新版提示を年1回以上要求 |
| クラウド基盤 | ISM（情報セキュリティ管理）認証書と透明性レポートを確認 |
| AIソリューションベンダー | 年1回の質問票（VSAQ相当）＋オプションで現地確認 |
自社側のログは、入力・出力・利用者・日時を最低でも1年分保存します。委託先がどう動いたかを後から証明するには、自社側のログが唯一の証跡になります。
軸5：解除・移行・代替手段
依存度が高い委託先が停止・価格変更・利用規約変更を行った場合の代替手段を、事前に検討します。
| 対策 | 内容 |
|---|---|
| マルチベンダー設計 | 同一機能を複数ベンダーに振れる構成にする（費用はかかるが依存分散） |
| モデル切替の手順書 | 主要APIが停止した場合の代替APIへの切替手順を文書化する |
| フォールバック判断の定義 | AI出力が使えない場合の業務続行手順（人手対応・一時停止など）を決める |
委託先管理台帳に追加すべき項目
既存の委託先管理台帳にAI委託先を追加する場合、以下の項目を加えます。
| 追加項目 | 記載内容 |
|---|---|
| 利用AIモデル名・バージョン | 利用中のモデル識別子と最終確認日 |
| 学習利用の有無 | オフ・オン・契約で制限のいずれか |
| データ所在地 | 国・リージョン・越境移転の有無 |
| SLA可用性 | 月次可用性（%）とRTO/RPO |
| 監査代替書類 | SOC2/ISO認証の最新取得日 |
| モデル変更通知条項 | 契約書の有無と通知期間 |
| 代替手段 | 停止時の代替ベンダーまたは手動対応の定義 |
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
GXOの支援
GXOでは、AI APIやクラウドを含む委託先のリスク評価と、委託先管理台帳の整備を支援します。既存のベンダー管理規程にAI固有の項目を追加する作業から、委託先への質問票設計、DPAのレビューポイント整理まで、実務の負担を軽減しながら進めます。初回相談では、現在の委託先の数・種類・管理状況を確認し、どこから手をつけるべきかを優先順位化します。ベンダー選定の実務判断に迷う場合はベンダー選定の実務チェックも合わせて参照してください。
よくある質問
Q1. フロンティアモデルAPIは「委託先」として管理対象になりますか
金融庁のAIディスカッションペーパーはサードパーティへの依存を明示的なリスクとして挙げています。利用規約上は直接契約に近いですが、業務への影響度を考えると委託先管理台帳に記載し、年1回以上の確認サイクルを設けることを推奨します。
Q2. 小規模な金融機関でも同じ管理が必要ですか
全項目を大企業並みに整える必要はありません。まず、「入力データの学習利用の有無」と「サービス停止時の代替手段」の2点を確認するところから始めます。優先度の高い委託先2〜3件から始め、段階的に対象を広げます。
Q3. AIソリューションベンダーが「モデルは変更することがある」と言った場合、どう対処しますか
「変更前に書面で通知すること」「通知なしに変更した場合は自社が30日以内に解除できること」を契約条項に追加します。モデル変更が性能・出力傾向の大きな変化を伴う可能性があるため、業務への影響確認を挟む猶予が必要です。
参考情報
- 金融庁「AIディスカッションペーパー（第1.1版）」（2026年3月）：https://www.fsa.go.jp/news/r7/sonota/20260303/aidp.html
- 日本銀行「フロンティアAIによる脅威変化を踏まえた金融機関等の短期的な対応に係る要請」（2026年5月22日）：https://www.boj.or.jp/finsys/release/frel260522a.htm
- 金融庁「AI官民フォーラム」議事要旨一覧：https://www.fsa.go.jp/singi/ai_forum/index.html
AI APIやクラウドの委託先管理を、監査・法務に説明できる形に整えませんか
GXOでは、委託先リスク評価、DPAレビュー支援、委託先管理台帳へのAI項目追加を、実務負担を抑えながら支援します。