FINRAの規制通知24-09は、ブローカー・ディーラーが生成AIツールを使用し始める際、既存の規則を適用しなければならないことを明確にしており、検査官が具体的に何を調査するかを詳述しています。

この通知は新しい規制を創設するものではありません。従来のテクノロジーを規定してきた監督、コミュニケーション、プライバシー、記録保持、および最善利益（best-interest）に関する義務が、現在はAIにも適用されることを企業に再認識させるものです。コンプライアンス担当者は、これらの義務を、実地検査に耐えうる具体的なプロセスへと落とし込まなければなりません。

なぜ既存の規則集がAIにおいて重要なのか

FINRAの監督基準であるRule 3110（一般監督）およびRule 3120（関連者の監督）は、AIの導入を監視するシステムを要求しています。企業は、承認されたすべてのモデルの目録、それぞれの目的、およびそれらの実行を許可された人員を管理する必要があります。たとえ顧客がAI生成されたアウトプットを目にすることがなかったとしても、未承認のツールを使用することは監督不備とみなされます。

公的なコミュニケーションを規定するRule 2210は、正確性と公平性を求めています。生成AIは事実をハルシネーション（幻覚）させたり、データを捏造したりすることがあります。モデルが誤った数値を含む顧客向けサマリーを作成した場合、その資料が配布された瞬間に、企業はRule 2210に違反することになります。したがって、この通知は、AIが生成したすべてのコミュニケーションが顧客に届く前に、企業によるレビューを行うことを義務付けています。

Regulation S-Pは、非公開の個人情報を保護します。顧客データを第三者のAIサービスに投入することは、不注意な情報開示のリスクを伴います。企業は情報障壁（information barriers）を維持し、AIプロバイダーのデータ取り扱い慣行が規制基準を満たしていることを確認しなければなりません。

Rule 4511は記録の保存を要求しています。この通知は、AIのアウトプット自体を記録として扱い、さらに、回答を生成したプロンプト、使用されたモデルのバージョン、およびコンテンツを承認した人物の身元も保持すべきであるとしています。検査官は、記述の出所を追跡するために、これらの詳細を要求することになります。

Regulation BI（最善利益）は、顧客に代わって行われるあらゆる推奨事項が、顧客の最善の利益にかなっていることを証明できることを要求しています。AIシステムが推奨に寄与する場合、企業はその提案の背後にある論理を説明しなければなりません。「ブラックボックス」モデルでは「説明可能性（explainability）」の要件を満たすことができず、BI違反のリスクが生じます。

コンプライアンス・フレームワークの構築

実践的なコンプライアンス計画は、通知で強調されている各規則領域に対処する必要があります。

  • 監督 – 承認されたAIツールのリスト、アクセス権限を持つ者の定義、および監視手順を概説したポリシーを策定する。使用ログの定期的な監査を含める。
  • 正確性 – AIが生成した顧客向けコミュニケーションには、必ず人間によるレビュー工程を追加する。公開前にチェックリストを使用して事実関係の正確性を検証する。
  • データプライバシー – データフロー分析を実施し、暗号化や適切な契約上の保護措置なしに、顧客情報が企業の安全な環境から決して流出しないことを確認する。
  • 記録保持 – AIプラットフォームを構成し、プロンプト、モデル識別子、および承認者の署名を自動的に取得し、それらのログを企業の既存の記録保持システムに保存するようにする。
  • 最善利益コンプライアンス – 各推奨事項に対してAIが提供する意思決定支援の論理を文書化し、モデルのアウトプットを顧客の投資目的と結びつける説明（ナラティブ）を保持する。
  • ベンダー管理 – 第三者サービスプロバイダーに使用されるものと同じデューデリジェンス・チェックリストを適用する。ベンダーのセキュリティ管理、データプライバシーポリシー、および紛争解決メカニズムを評価する。アウトソーシングによってブローカー・ディーラーの責任が転嫁されるわけではないことに留意すること。

また、この通知は、マーケティング資料において企業のAI能力を誇張する「AIウォッシング（AI washing）」に対しても警告しています。このような誇張は、誤解を招くコミュニケーションを禁止するRule 2210に真っ向から抵触します。

要点: FINRAの通知は規則集を書き換えるものではありませんが、ブローカー・ディーラーに対し、生成AIという新しい世界に対して既存のあらゆる義務を適用することを強いるものです。規律ある目録管理、厳格な人間によるレビュー、万全なデータプライバシー保護、および徹底した記録保持は、規制当局に対して適切な立場を維持するために必要な最小限の管理策です。