金融機関で生成AIを導入したいと考えても、顧客の資産情報や取引データを扱う以上、FISCの基準やガイドラインとの関係が気になり、二の足を踏む担当者は多いはずです。クラウドをそのまま使えない理由と、データを外に出さずに活用する方法を整理します。

なぜ金融機関はクラウドのAIを使いにくいのか

FISC基準という、業界共通の目安がある

金融機関のシステムには、金融情報システムセンター（FISC）という組織が作った「金融機関等コンピュータシステムの安全対策基準・解説書」（通称FISC安全対策基準）という目安が広く使われています。

法律ではなく、金融機関とコンピュータメーカーが1984年に共同で作った自主的な基準ですが、約300項目にわたる具体的な指針があり、金融庁の検査でも参照されるため、業界では事実上の標準として扱われています。

クラウドAIを使うことは「外部委託」にあたる

加えて「金融分野における個人情報保護に関するガイドライン」（2004年金融庁告示第67号）により、一般の個人情報保護法より厳しい取り扱いが求められる場面があります。

このガイドラインには、外部の業者に業務を任せる場合の「委託先の監督」に関する規定があり、クラウドの生成AIサービスを使うことは、実質的にこの「外部への委託」にあたると考えられます。

つまり、クラウドAIを導入するなら、委託先を監督する立場として、相手の管理体制を確認する責任が発生するということです。

生成AIサービスの多くはクラウド経由で提供されるため、入力したデータが外部に送られないか、AIの学習に使われないか、どこに保存されるかという点を、FISC基準やこのガイドラインに沿って確認する必要があります。

これが、金融機関がクラウドAIの導入に慎重にならざるを得ない理由です。

オンプレミスAIなら何が変わるのか

確認すべきことが、そもそも発生しない

オンプレミス環境で動く生成AIであれば、入力したデータを外部に送信せずに処理を完結できます。クラウドサービスを使う場合に必要な「データの保存場所は適切か」「委託先として監督できているか」といった確認を、オンプレミス運用ではそもそも発生させずに済ませられます。

実際にどんな業務で使えるのか

具体的には、次のような業務での活用が考えられます。

• 行内規程・マニュアル・FAQを検索しやすい形にまとめ、問い合わせ対応を効率化する
• 設計文書や社内文書の整合性確認・品質向上を支援する
• 顧客対応の記録を整理し、ナレッジとして蓄積・検索できるようにする

実際どこまで進んでいるのか

FISC自身が生成AIを取り上げ始めている

公益財団法人金融情報システムセンターは2024年9月24日、「金融機関によるAIの業務への利活用に関する安全対策の観点からの考察」という報告書を公表しました（出典: FISC公式サイト、2024年9月24日公表）。

金融機関のAI活用を「従来型AI」と「生成AI」に分けて整理し、業務効率化の事例を紹介する一方、情報セキュリティ・倫理面の課題も指摘しています。

FISCは今後もこのテーマの調査を続け、ガイドラインを整備していく方針です。つまり、FISC自身が「生成AIをどう安全に使うか」を正面から検討し始めている段階ということです。

9割強の金融機関がすでに使っている

日本銀行が2026年8月6日に公表した調査によると、取引先金融機関150先のうち、生成AIを「利用中」または「試行中」と答えた金融機関は9割強にのぼります。

特に第二地銀でのこの1年の伸びが目立ちます（出典: 日本銀行金融機構局、金融システムレポート別冊、2026年8月6日公表）。「使うかどうか」はすでに決着しつつあり、論点は「何を」「どう安全に」使うかに移っています。

オンプレミスの実証実験も始まっている

株式会社NTTデータ先端技術は2026年4月14日、株式会社NTTデータフィナンシャルテクノロジーと連携し、オンプレミスの閉域環境でローカルLLMを活用するPoC（概念実証）を実施したと発表しました。

設計文書の整合性確認・品質向上・修正作業の迅速化という3つの業務で、データを外部に一切送信しない環境を構築し、セキュリティポリシーや内部統制に沿った形で生成AIを使えることを確認したとしています。

従量課金のクラウドAPIと違い、コストの見通しが立てやすい点もメリットに挙げられています（出典: NTTデータ先端技術プレスリリース、2026年4月14日発表分）。

なお、これは金融機関向けのシステム開発を担うNTTデータ先端技術自身の取り組みであり、金融機関が自社の業務に直接導入した事例ではない点には注意してください。

それでも、金融分野のシステム開発という要件の厳しい領域で、オンプレミスの生成AI活用が実務レベルまで来ていることは、参考になるはずです。

何から始めればいいか

顧客の取引データのような機密性が特に高い業務からいきなり始める必要はありません。実務では、次のような順番で進めるのが現実的です。

• 現状把握: FISC基準・金融分野の個人情報保護ガイドラインとの関係で、どの業務にどのレベルの対応が必要かを整理する
• 小さく始める: 行内マニュアル検索や定型的な問い合わせ対応など、影響範囲を限定しやすい業務から着手する
• セキュリティ要件への適合を確認する: 情報システム部門・リスク管理部門と連携し、既存の統制の枠組みに沿っていることを確認する
• 対象業務を広げる: 効果とガバナンス上の問題がないことを確認した範囲から、段階的に対象を広げる

費用はどう考えればいいか

オンプレミスAIの導入費用は、扱う業務の範囲・既存システムとの連携・必要なハードウェアの規模によって変わります。NTTデータ先端技術のPoCでも「コストの固定化による予見性向上」が目的の一つに挙げられていたように、従量課金のクラウドAPIと比べて、オンプレミス運用は月々のコストを見通しやすいという特徴があります。

小さな範囲から始めて効果を確かめながら対象を広げる進め方が現実的です。

よくある質問

FISC安全対策基準を満たしていれば、どのAIサービスでも使えますか

FISC安全対策基準はシステム全体のセキュリティ対策の指針であり、個々のAIサービスがそれだけで要件を満たすとは限りません。データの保管場所・外部送信の有無・アクセス権限管理などを含めて、個別に確認する必要があります。

FISC安全対策基準は法律ですか

法律ではありません。FISC（金融情報システムセンター）が作った自主基準ですが、金融庁の検査でも参照されるため、業界では事実上の標準として扱われています。

FISCは2024年9月に生成AI活用に関する考察レポートも公表しており、今後ガイドラインとして整備が進む可能性があります。

クラウドの生成AIを使うこと自体が、ガイドライン違反になりますか

クラウド利用自体が一律に違反になるわけではありません。ただし、金融分野の個人情報保護ガイドラインは委託先の監督に関する規定を置いているため、クラウドサービスを「委託先」として扱い、監督・確認の体制を整える必要があります。

オンプレミスなら、どんな業務にも使ってよいのですか

オンプレミス運用はデータを外部に出さないための手段の一つであり、それだけですべての規制要件を満たすわけではありません。対象業務ごとに、適用される規程・ガイドラインを個別に確認することをおすすめします。

オンプレミスAIプラットフォーム Cosnex の機能一覧・導入事例・料金は製品ページにまとめています。稟議用の概要資料が必要な場合は同ページから資料請求できます。導入の可否を個別に相談する場合はお問い合わせフォームからご連絡ください。