デプロイシナリオ · 確認済み 2026-08-05
銀行、保険会社、フィンテックは、ツールが想定していなかったフレームワークの下で AI コーディングを導入しています：DORA の運用レジリエンス、ICT 第三者リスク、アウトソーシング規則、内部監査です。セルフホスト可能なオープンソースプラットフォームは、決定的なコントロール——コードの置き場所、出方向、ログ、保持——を自社の境界内に移します。このページは金融特有の論点を整理したものであり、認定でも法的助言でもありません。
金融の枠組み
義務は事業体の種類と法域によって異なります。パイロット開始前にツールを分類してください。
AI コーディングプラットフォームは ICT ツールです。ベンダーがホストするエージェントは ICT 第三者レジスターに登録され、セルフホスト型プラットフォームは代わりに自社のレジリエンスの範囲に入ります——運用方法はすでに把握している義務です。<a href={`/${localeInfo[locale].prefix}/blog/ai-coding-agents-delivery-stability-dora/`}>DORA とデリバリー安定性の分析</a>をご覧ください。
外部のエージェントサービスで処理されるソースコードは、ほとんどのアウトソーシングフレームワークで重要な依存関係とみなされます。セルフホストはその評価を内部統制に変換します。<a href={`/${localeInfo[locale].prefix}/self-hosted/`}>セルフホストガイド</a>でデプロイ経路を比較してください。
社内のコーディング利用と顧客向けの AI 出力は異なる分析です。第50条の透明性は後者に2026年8月2日から適用されます。<a href={`/${localeInfo[locale].prefix}/blog/eu-ai-act-article-50-transparency-deadline/`}>第50条のブリーフィングを読む</a>。
AGPL-3.0 のソースコード公開により、セキュリティと監査は実際に動くものを検査できます。改変やネットワークサービスに関する義務には<a href={`/${localeInfo[locale].prefix}/license/`}>資格のある法律レビュー</a>が必要です。
監査証跡パック
これらは自社のデプロイから生成してください。ベンダーのページでは提供できません。
プラットフォームが ICT レジスターのどこに位置するか：重要度、依存関係、復旧目標、利用停止時の退出計画。
すべての境界——Git プロバイダー、モデルエンドポイント、パッケージ、ログ、バックアップ——について、担当者、資格情報、保持ルール、許可された経路を定めます。<a href={`/${localeInfo[locale].prefix}/security/`}>セキュリティとデータフローの境界</a>から始めてください。
どのエージェント操作に人間の承認が必要か（マージ、デプロイ、依存関係の変更）と、実際のタスクでゲートが適用されたことを示すログ。
<a href={`/${localeInfo[locale].prefix}/pilot-methodology/`}>パイロット方法論</a>と<a href={`/${localeInfo[locale].prefix}/coding-agent-evaluation-dataset/`}>オープンデータセットのスキーマ</a>を用いて、タスク、受け入れ結果、レビュー工数、失敗を再現可能な形で記録します。
デプロイ体制
すべてのリポジトリが同じ境界を必要とするわけではありません。階層を文書化し、それを適用してください。
非機密のリポジトリは、インフラ投資の前にホスト型ワークフローを試用して適合性を確認できます。まず<a href={`/${localeInfo[locale].prefix}/pricing/`}>価格のファクトページ</a>でプロバイダーの条件を確認してください。
専有コードは自社が運用するインフラ上で実行され、モデルの経路も自社で構成します。要件と手順は<a href={`/${localeInfo[locale].prefix}/install/`}>インストールガイド</a>を参照してください。
取引、決済など高感度なコードでは、ゼロ出方向の運用にローカルモデルと社内ミラーが必要です——<a href={`/${localeInfo[locale].prefix}/air-gapped/`}>エアギャップデプロイ</a>を参照してください。
環境ホストの規模は人数ではなく並行タスク数で決めます。<a href={`/${localeInfo[locale].prefix}/tools/self-hosting-capacity-calculator/`}>キャパシティ計算ツール</a>と<a href={`/${localeInfo[locale].prefix}/tools/self-hosting-tco-estimator/`}>TCO 見積ツール</a>を使用してください。
DORA の柱の対応
5つの柱に対するエンジニアリングの視点であり、法的助言ではありません——貴社の適用範囲は弁護士とリスク部門に確認してください。
| DORA の柱 | AI コーディングプラットフォームへの関わり | 保持すべき証跡 |
|---|---|---|
| ICT リスク管理 | プラットフォームとそのモデル経路はリスクフレームワーク上の ICT 資産 | 重要度と依存関係を添えて ICT レジスターに登録 |
| インシデント管理 | エージェントの操作と失敗には検知・ログ・報告の経路が必要 | タスクごとのログと、エージェントの挙動を網羅したインシデントランブック |
| レジリエンステスト | アップグレード、モデル障害、環境障害を実際に試す必要がある | 記録された復旧と段階的アップグレードのテスト結果 |
| 第三者リスク | ホスト型エージェントは ICT 第三者であり、セルフホストはこれを内部統制に移す | ベンダー評価または内部統制の証跡に加え、退出計画 |
| 情報共有 | エージェントによる攻撃の脅威インテリジェンスがコントロールに反映される | 外部インシデントとコントロール更新を結び付けたメモ |
MonkeyCode のようなプラットフォームのセルフホストは、いくつかの第三者問題を、監査部門がすでに証跡化している内部統制の問題に変換します。この対応表はエンジニアリング上の指針であり、コンプライアンス上の意見ではありません。
段階的なロールアウト
各フェーズは、次のフェーズが始まる前にリスク・監査部門がレビューできる成果物を生み出します。
プラットフォームを ICT 資産として登録し、リポジトリの機密レベルを定義し、パイロットが満たすべき受け入れ基準を文書化します。
非機密リポジトリで受け入れ済みタスクを実行し、パイロットデータセットのスキーマで結果、レビュー工数、失敗を記録します。
出方向の許可リスト、資格情報のローテーション、承認ゲート、保持ルールを適用し、インシデント・復旧のランブックを訓練します。
承認された階層を本番に昇格し、ICT レジスターと証跡パックを最新に保ち、定期的なレジリエンステストを計画します。
よくある質問
関連：<a href={`/${localeInfo[locale].prefix}/answers/is-monkeycode-gdpr-compliant/`}>GDPR とデプロイ</a>、<a href={`/${localeInfo[locale].prefix}/answers/is-monkeycode-safe-for-proprietary-code/`}>専有コードの安全性</a>、<a href={`/${localeInfo[locale].prefix}/regulated-industries/`}>より広い規制業界ガイド</a>。
