EUのマネロン監視指針案に見直し要請　Privacy Firstが自動リスク分析の禁止を提言

オランダのプライバシー保護団体Privacy Firstが、欧州連合（EU）のマネーロンダリング対策機関AMLAによる顧客監視指針案に見直しを求めている。同団体は2026年9月2日付の意見書で、犯罪検知を目的とする自動リスクプロファイリングの禁止や、低リスク顧客への監視負担の軽減を提言した。

背景には、銀行の顧客確認が一部の人々に重い負担を与えているという問題がある。オランダ会計検査院は3月11日の監査報告で、差別を示唆する事例と、対策の成果を把握する仕組みの不足を指摘した。

■AMLAが示した継続的な顧客監視の枠組み

AMLAは6月3日、反マネーロンダリング規則（AMLR）第26条第5項に基づく指針案を公表し、9月3日まで意見を募集した。対象は銀行だけでなく、会計専門職、一定の暗号資産サービス提供者など、マネーロンダリング対策の義務を負う金融・非金融分野の事業者に及ぶ。

継続的な監視とは、取引関係を結んだ後も顧客情報を更新し、取引や活動を確認して、通常と異なる動きや疑わしい行動を見つける仕組みだ。指針案は、顧客情報の更新と、取引・活動の監視という二つの柱で実務上の原則を示している。

AMLAは技術中立性を掲げ、手作業、自動化、半自動化のいずれも認めている。採用する方法には、説明可能性、定期的な検証、適切な文書化に加え、事業の規模や複雑さ、取引量、リスクに応じた運用を求める。

アルゴリズム、機械学習、AIなどがリスクの発見や担当部署への報告に役立つかを検討することも盛り込んだ。高度な分析ツールについては、出力を見直して必要に応じて判断を問い直せる体制や、判断責任の明確化を求め、不正確さ、偏り、透明性の不足などを考慮すべきモデルリスクに挙げている。

監督当局から求められた際には、ツールの役割、機能、出力を説明できることが必要になる。個人データの収集・処理については、一般データ保護規則（GDPR）の必要性とデータ最小化の原則に沿うことを求めている。

■オランダの監査が示した顧客への影響

オランダ会計検査院によると、銀行から金融情報機関FIU-NLへの「通常と異なる取引」の届出は、2020年の約25万件から2024年には53万件超へ増加した。銀行は国内法に基づいてこうした取引を届け出ており、FIU-NLが分析を行う。

監査では、マネーロンダリングの疑いを理由に提出された217件の届出について、外国風に聞こえる姓を持つ人物が含まれる割合を調べた。その結果は61.8％で、会計検査院は、オランダの移民背景を持つ人口の割合に比べて高いと指摘し、差別の兆候となる可能性を示した。

宗教団体への聞き取りでも違いがあった。調査対象のモスクでは、現金や海外送金を伴わない取引でも目的や資金源について質問されたとの回答があり、聞き取り対象のカトリック、プロテスタントの教会では同様の経験は報告されなかった。

会計検査院は、元政治家や元裁判官などの重要な公的地位にあった人々、宗教団体、飲食・宿泊業者への影響も調べた。一部の回答者からは、口座開設を断られた、口座を解約された、国外の家族や企業に送金できなかったといった経験が寄せられた。

同行政機関の英語版発表によると、調査対象の銀行8行は2024年、対策業務にフルタイム換算で約1万3000人を配置し、関連費用は約16億ユーロに上った。会計検査院は、担当省庁やオランダ中央銀行（DNB）による成果の評価、届出の品質の確認を改善し、費用や顧客負担に見合う効果を把握するよう求めている。

■氏名の照合や国別リスクがもたらす負担

個別の取引確認を巡っては、オランダ人権機関が2024年7月25日、INGによる顧客2人への対応で人種に基づく差別を認定した。事案の一つでは、送金相手である顧客の兄弟の名前と欧州の制裁対象者名との部分的な一致を理由に、取引が停止され、確認が行われていた。

同機関は、この照合方法によって、オランダ風に聞こえない名前に関係する人々が、より頻繁に停止や確認の対象になると判断した。氏名の部分一致を使う仕組みと、その運用が特定の顧客に与える影響が問題となった事例である。

国とのつながりも確認のきっかけになる。オランダの報道機関NL Timesが2024年3月に伝えたところでは、オランダ銀行協会会長は、多様な民族的背景を持つ顧客が、オランダのみの背景を持つ顧客より頻繁に確認を受けていると説明した。

同会長は、シリア、アフガニスタン、トルコなどへの家族的なつながりと、国別のリスク指定を背景に挙げた。海外の家族への送金といった日常的な利用でも、確認に対応する負担が生じ得るという問題を示している。

■データと判断基準に偏りが入り込むリスク

機械学習によるリスク評価では、どのデータを使い、何を検知対象として学習させるかが重要になる。過去の確認や届出の対象に偏りがあり、その結果を学習に使う場合には、過去の選別が次の判断にも引き継がれるおそれがある。

人種や民族を直接入力しなくても、それらと相関する別の情報が判断に影響することがある。こうした情報は「代理変数」と呼ばれ、表面上は中立的な項目から、特定の集団に不利益が集中する結果が生じ得る。

アムネスティ・インターナショナルは2026年6月の報告書「Automating Suspicion」で、人に関するデータには社会的、歴史的、制度的な背景が反映されると指摘した。同団体は、過去の社会データを用いた犯罪などの予測が、既存の不平等や差別を再生産・増幅する危険を論じている。

同報告書はオランダ、フランス、デンマーク、スウェーデン、オーストラリアなどの事例や既存研究を検討した。アムネスティは、法執行、社会保障、移民政策という重大な権利に関わる分野でのリスクプロファイリングは国際人権法と両立しないと結論付け、禁止を求めた。

オランダの差別・人種主義対策国家委員会も5月7日、政府に対し、詐欺や犯罪の検知を目的とするデータ駆動型プロファイリングを停止するよう提言した。Privacy Firstは、今回の意見書で両機関の報告を取り上げている。

■監視の精度と顧客負担をどう評価するか

銀行の監視には、犯罪の兆候を見逃すリスクと、正当な取引を不必要な確認の対象にするリスクがある。検知の感度を上げると確認対象が増える場合があり、追加の情報提供や書類提出を求められる顧客の負担も評価する必要がある。

DNBが2025年に銀行5行を対象として行い、同年12月に公表した調査では、リスク評価を高く付ける方が安全だと受け止められやすい実務が確認された。内部の監督・管理部門は、過大評価された顧客よりも、高リスク案件や誤って低リスクとされた案件に重点を置く傾向があり、評価を押し上げる圧力になり得るとした。

一方、DNBは2026年7月6日、ABN AMROに850万ユーロ（約15億1000万円）の制裁金を科し、7月9日に公表した。対象は2023年9月から2024年9月までの対策の不備で、一部の高リスク顧客に対する継続的な監視に構造的な問題があったと説明している。

同行が違反の基礎となる事実と制裁金を受け入れる簡易和解手続きに応じたため、制裁金は1000万ユーロ（約17億8000万円）から15％減額された。DNBは金額の判断に当たり、是正措置への着手や協力的な姿勢も考慮したとしている。

EUの新たなマネーロンダリング対策指令は、金融機関の重大な違反などについて、制裁金の上限を少なくとも1000万ユーロ（約17億8000万円）または年間総売上高の10％のいずれか高い額とする制度整備を加盟国に求めている。違反への対応とともに、リスクに見合う監視の強度を定めることが実務上の焦点となる。

米国の銀行業界団体Bank Policy Instituteも、届出の成果に関する情報の乏しさを問題にしてきた。同団体の資料では、2017年の大手銀行の標本で約1600万件の警告を検討し、64万件超の疑わしい活動報告を提出した一方、法執行機関からフィードバックを得た報告の割合の中央値は4％だったとしている。同資料は、報告対象者の90〜95％が無実だった可能性があるとも推計している。

■Privacy Firstの提言とEU AI法

Privacy Firstは今回、低リスク顧客への監視を実際に縮小し、高リスク案件に重点を置くよう求めた。収集する情報を必要な範囲に絞ること、長期の取引関係では不要になった顧客確認データを削除すること、顧客が監視の内容を把握し、過剰な情報要求を確かめられるようにすることも提言している。

同団体は、銀行と小規模な事業者では、専門人材、情報へのアクセス、利用できるシステムが異なる点も重視する。犯罪対策という公共的な役割を民間事業者に担わせる際には、その能力と顧客の基本権への影響を考慮すべきだという立場だ。

Statewatchの10月15日の報道で、Privacy Firstの金融プライバシー担当エレン・ティマー氏は、自動リスクプロファイリングを行う民間企業への監督が不十分だと述べた。同団体は2025年の提言でも、EU AI法の原則に沿った基本権影響評価（FRIA）や、独立した監査を求めていた。

EU AI法は、自然人の信用力評価や信用スコアの算定など、用途を定めて高リスクAIを分類している。該当するシステムには、技術文書、適合性評価、人間による監督などの要件を設けている。

2026年10月時点の改正後の規定では、信用力評価など附属書IIIの高リスク用途に関する主要な義務は2027年12月2日から、規制対象製品に組み込まれる一定の高リスクAIについては2028年8月2日から適用される。顧客データを扱う事業者には、GDPRに基づくデータ保護も求められる。

■2027年の新規則適用に向けた調整

AMLAは協議文書で、寄せられた意見を検討し、2026年第4四半期に最終指針を出す予定を示している。指針については、AMLA設立規則に基づき、監督当局や対象事業者などが遵守に向けて最大限努力する仕組みとなる。

会計専門職団体Accountancy Europeも、9月に公表した協議回答で、業種別の指針や実例の提示を求めた。同団体は、事業の性質やリスクに応じた専門家の判断を認め、金融・非金融分野の違いを踏まえた運用を重視している。

AMLRは原則として2027年7月10日からEUの27加盟国で適用される。サッカークラブと代理人に関する一定の対象業務は2029年7月10日からとなる。最終指針が2026年末に公表される場合、原則適用までの準備期間は約半年だ。

事業者には、顧客情報の更新、監視手法、出力の検証、担当者の判断と責任を具体的な運用に落とし込む作業が求められる。Privacy Firstはその過程で、犯罪対策の成果とともに、不必要なデータ収集、差別、金融サービスからの排除を防ぐことをAMLAの責務に据えるよう訴えている。

元記事: EU Banks’ AML Algorithms Flag Minority Names in 61.8% of Alerts, Audit Finds