2024年3月以降、SECはAdvisers ActのSection 206に基づき少なくとも3件のAIウォッシング執行措置を行ってきた——最初の2件、DelphiaとGlobal Predictionsに対するものは合計40万ドルの民事制裁金で和解した。Rockwell Capital Managementは160万ドルの返還金に加え22万3,000ドルの民事制裁金で和解した。NYDFSが2024年10月16日に発出した業界向けレターにより、AIはPart 500の明確な執行優先事項となった。CFPBは、ECOA、FCRA、その他いかなる消費者金融関連法にも「先端技術の例外」は存在しないと明言している。そして州司法長官——直近ではマサチューセッツ州——が、フェアレンディング(公正貸付)の実質的な係争の場となっている。VeriSwarmは、LangChain、CrewAI、AutoGen、Bedrock、あるいは独自スタックを問わず、すべてのAIエージェントが発言し、実行し、判断し、拒否した内容の暗号学的証拠を生成する。
5つの異なる規制体制が、金融サービス業界におけるあらゆるAI導入に関わる。それぞれを、規制当局が実際に求める証拠を生成するVeriSwarmの機能と、それを出力するAPIエンドポイントにマッピングした。
“投資顧問業者は、顧客や見込み客に対してAIの能力を偽って伝えてはならない。これは不正行為であり、マーケティング上の誇張では済まされない。”
AIが介在するすべての顧客とのやり取りを、モデル、プロンプト、出力、行った主張、提示した開示事項、そしてMarketing Rule(206(4)-1)への準拠フラグとともに記録する。監査人が単一のチェーンとして読める。
監査証拠: 監査人が企業のADVおよびマーケティング資料と突き合わせ照合できる、コミュニケーションごとの来歴記録。要約ではなく、実際のAIとのやり取りを再現する。
POST /v1/suite/vault/export“AI固有のサイバーリスク(ディープフェイクに脆弱なMFA、学習データの汚染、モデルのサプライチェーン)は、既存のPart 500フレームワークの下で評価されなければならない。2024年10月16日以降、明示的な執行優先事項とされている。”
MCPスキャナーは、ツールポイズニング、タイポスクワッティング、スキーマ改ざん、ラグプル型パターン、プロンプトインジェクション、過剰な権限を検出する。検出結果は、同時点のリスク評価記録としてVaultに書き込まれる。
監査証拠: サプライチェーン全体にわたるタイムスタンプ付きスキャン結果、検出項目ごとの是正措置の追跡、Part 500 §500.3の管理策にマッピングされた証拠パッケージ。
POST /v1/suite/guard/scan“貸し手は、与信を拒否する際に具体的かつ正確な理由を示さなければならない。「連邦消費者金融関連法に『先端技術』の例外は存在しない。」”
すべての与信判断は、その判断の引き金となった具体的な特徴量を返す——「モデルが拒否と判断した」ではなく、不利益処分通知に耐えうる、監査可能な特徴量レベルの帰属である。
監査証拠: 根底にあるポリシーのバージョンと、それに投入された入力を伴う、申請ごとの理由コード記録。通知は、Vaultチェーンからほぼそのまま作成できる。
POST /v1/decisions/check“2026年7月21日発効の連邦ECOA規則改正後も、格差的影響(ディスパレート・インパクト)理論は州レベルで依然として提訴可能である。マサチューセッツ州司法長官は2025年7月10日、AI与信審査に関する事案で和解した。”
保護対象クラスの合成データに対するデプロイ前ポリシー試験。クロスモデル検証は、重要な判断を複数のLLMに通し、結果について多数決による合意を得る。
監査証拠: 日付とポリシーバージョンごとのデプロイ前バイアス試験結果。継続的な結果がベースラインから乖離した際のドリフト検知アラート。
POST /v1/policies/test“銀行はモデルを台帳管理し、デプロイ前に検証し、パフォーマンスを監視し、ライフサイクルを統治しなければならない。AIはその対象範囲に含まれる。”
エージェントごとのメタデータ: モデルバージョン、ベンダー、想定用途、最終検証日、リスク階層。ライフサイクル制御(一時停止/再開/停止)はVaultイベントとして記録される。エージェント単位で理由コード付きのキルスイッチを備える。
監査証拠: デプロイから廃止までのモデルごとの系譜。監査人はチェーンをたどり、本番稼働中のすべてのモデルに文書化された検証と継続的な監視があることを確認できる。
POST /v1/suite/guard/kill/{agent_id}複数の規制当局による監視が常態化している。AIはあらゆる場所にあり——規制当局もまた、あらゆる場所にいる。
出典: SECプレスリリース、2024年10月16日付NYDFS業界レター、CFPBガイダンス、2025年7月10日付マサチューセッツ州司法長官の和解。
3件の和解、3つの規制当局、3つの異なる責任理論——すべてが過去24か月以内に起きている。パターンは明確だ。
2024年3月18日、SECは2社の投資顧問業者に対し、虚偽かつ誤解を招くAIに関する主張を理由に和解した。Delphiaは22万5,000ドル、Global Predictionsは17万5,000ドルを支払った。Section 206(2)、206(4)、Marketing Rule(206(4)-1)、Compliance Rule(206(4)-7)に基づき訴追された。DelphiaはSEC職員に対し、2021年時点で顧客データを使用しておらず、宣伝していたアルゴリズムも構築していなかったことを認めていた。
SEC.govプレスリリース2024-36; Harvard CorpGov、2024年
Rockwell Capital Managementに対するSECの後続のAIウォッシング関連措置では、160万2,089ドルの返還金および判決前利息に加え、Sewell氏に対する22万3,229ドルの民事制裁金が科された。基準は上がり続けている——SECは前政権下でも現政権下でも措置を継続してきた。
Hedge Fund Law Report; SEC執行関連開示
2025年7月10日、マサチューセッツ州司法長官は、AI与信審査モデルが人種および移民ステータスに基づく違法な格差的影響を生じさせていたとの疑いを受け、学生ローン会社との和解を発表した。2026年7月21日発効の連邦ECOA格差的影響ルール改正後、州司法長官は現在、フェアレンディングの実質的な係争の場となっている。
Consumer Financial Services Review; マサチューセッツ州司法長官の発表、2025年
銀行のモデルリスク、証券アドバイザーの不正防止、消費者信用、そしてニューヨーク州のサイバーセキュリティという4つの重複する規制体制。それぞれについて、ライブの監査証拠から生成されるテナントごとの認証を1件ずつ用意している。
サイバーセキュリティ + AIレター(2024年10月)。ニューヨーク州免許を持つ銀行、保険会社、アドバイザー向け。
認証マップを見る →不正防止 + Marketing Rule + Compliance Rule。主張ごとの裏付けが必要。
認証マップを見る →AI駆動の与信に対する不利益処分通知。州司法長官との連携レイヤー。
認証マップを見る →AIに拡張されたモデルリスク管理。開発、検証、ガバナンス、実効的な異議申立て(effective challenge)。
認証マップを見る →最近問い合わせを受けた規制優先事項を選んでください。その優先事項に対応する監査証拠アーティファクトを、実際に稼働中のエージェントトラフィックに基づいて30分でお見せします。デモ用データは使いません——質問はあなたが持ち込んでください。
出典: SEC.govプレスリリース2024-36、Hedge Fund Law Report、2024年10月16日付NYDFS業界レター、Consumer Financial Services Review(マサチューセッツ州司法長官の和解)、CFPB公表ガイダンス。