まだ誰も問わないデューデリジェンスの疑問

銀行が口座を開設してきた限り、コンプライアンスは単一の前提: 各口座の背後に実在し、特定可能な人物がいるということに依存してきました。オンボーディング時の人物と、その後のすべての取引が信頼を継承していることを確認してください。その前提は同時に二つの方向から揺らいでいます。AIエージェントが人々に代わって取引を行い、合成アイデンティティが実在しない人物として通用するようになりました。口座の背後に本物の人間が存在し、かつその人が口座の行動を意図していることを確認することは、かつてないほど困難です。

規制当局はこれに気付いていますが、対応はまちまちで、エージェントを独自のカテゴリーとして名付けるには至っていません。二つの司法管轄がその範囲を示しています。

二つの規制当局、二つの方向

最も明確なシグナルはヨーロッパから来ています。欧州連合のAI法が最も重要な執行段階に入ります。2026年8月2日、ハイリスクシステムに対する全ての義務と第50条の透明性規則が適用され、さらに委員会の執行権限が発動し、最先端の汎用AIモデル提供者に対し、世界売上高の3％または1500万ユーロ（いずれか高い方）の罰金を科すことが可能です。この法律はAIエージェントを独自の法的カテゴリーとして定義していませんし、定義する必要もありません。入力を受け取り、処理し、行動を起こすシステムは既存の文言の下で既にAIシステムとみなされ、貸付、保険、身分確認といったハイリスク機能を実行するエージェントは、人間が運用するシステムと同様の義務を負います。

シンガポールは逆のアプローチを取りました。2026年1月22日、世界経済フォーラムで、デジタル開発情報省がエージェントAI向けモデルAIガバナンスフレームワークを発表しました。これは、一般的なAI規則から適用したのではなく、自律システムに特化して構築された初のガバナンスモデルです。任意参加ですが、正式なフレームワークの姿を示しています: エージェントの自律性レベルが評価され、人間の責任体制が割り当てられ、リスクは事後に捕捉するのではなく設計段階で制限されます――二つの規制当局が、規則ブックの対極から同じ課題に取り組んでいます。一方は既存の法律をエージェントに適用するよう拡張し、もう一方は旧来の法律が存在しなかったカテゴリーのために新たな規則を策定しています。

エージェントに対して誰が回答するか

両アプローチの根底には、コンプライアンスチームがこれまで明確に答える必要がなかった質問が横たわります: エージェントが行動したとき、誰が責任を負うのか？Baker McKenzie の法的分析（2026年7月1日公開）によれば、裁判所と規制当局は少なくとも現在のところ、答えに収束しつつあると結論付けています。責任はエージェント自体ではなく、エージェントの背後にいる人間や組織にあります。また、2026年6月の米国大統領令で司法省にAIを利用したハッキングに対する執行を優先させるよう指示したことも、この原則を強化しています。この答えは法的なデフォルトとしては機能しますが、単独で運用上の解決策とはなりません。

最終的に人間が責任を負うことが分かっても、取引が成立した瞬間にどの人が責任者かはコンプライアンス担当者に伝わりません。また、エージェントの背後にある組織がオンボーディング時に一度だけ検証されたのか、エージェントの権限変更に伴い継続的に検証されているのかも分かりません。受益所有権規則は「誰が所有しているか」という一度きりの質問に答えるために作られました。エージェント活動は継続的な質問を投げかけます: 現在誰が指示しているのか、そしてその答えが誰にも通知されずに変わり得るのか。

コンプライアンス機能の実際の仕事

多くのコンプライアンス部門は現在、そのチェーンをエンドツーエンドで追跡できず、必要なツールはまだ市販品として購入できる段階ではなく、開発中です。適応型AMLプログラム設計のためのフレームワークでは、すべての顧客と管轄区域に対して同一に適用される硬直した均一スクリーニングルールでは、リスクが急速に変化するペースに追いつけず、実際のリスクに合わせて設定可能なスクリーニングプロファイルだけが十分に柔軟な構造であると主張しています。同じ論理はエージェント活動にも自然に拡張されます。新たな主体カテゴリーに対応できないスクリーニングプログラムは、そちらを統治する能力を持ちません。

エージェント自体のガバナンスも同様の論理に従います。AIツールにリスクシグナルデータへのアクセスを許可するための最新ガイダンスでは、既存のロールベースアクセス制御を継承した許可済みかつログ記録された接続が求められています。したがって、エージェントの行動は人間のアナリストと同様の監査トレイルを持ち、未追跡の抜け道ではなくなります。これは、規制当局が現在金融システム全体のレベルで直面している正確な問題の小規模版です: エージェントの行動は、事後に再構築するのではなく、リアルタイムで背後にいる責任主体に帰属できなければなりません。

既に存在するものを制度化する

業界が何と呼ぼうとも、Know Your Agent（エージェントを知ること）は独立した分野であり、既存の顧客・ビジネスデューデリジェンスのコンプライアンスチームのサブセットではありません。方向性はほぼ疑いの余地がありません: AI法の執行段階、シンガポールのガバナンスフレームワーク、そして責任に関する新興の法的コンセンサスはすべて、誰または何が行動できるか、そして誰の権限で行うかという同じ目的地、すなわち正式なルールへと向かっています。

唯一の本質的な問いはタイミングです。金融機関が規制前にこの分野を構築するのか、後で急いで整備するのか。後者は規制当局にほとんど評価されません。また、どちらのケースでも規則の下にあるより難しい問題は: 銀行の前にいる顧客がもはや確実に人物であるとは限らず、書類手続きを簡素化しても口座の背後にいる人間への信頼が容易になるわけではありません。