IT/FinTech法務の全体像：規制マップと最新ガイドライン

はじめに｜IT/FinTech法務は「業種名」ではなく、サービスの機能から考える

ITサービスやFinTechサービスでは、同じアプリや同じ画面の中に、決済、送金、ポイント、本人確認、データ分析、AI、広告、外部API連携など複数の機能が組み込まれます。そのため、「SaaSだから金融規制は関係ない」「決済代行だから資金移動業ではない」といった名称だけの判断は危険です。重要なのは、誰が誰の資金を受け取り、誰のために保管・移転し、どのデータを取得し、誰にどのような権利や情報を提供するのかを、機能単位で分解することです。

とくに2026年は、2025年6月に公布された「資金決済に関する法律の一部を改正する法律」（令和7年法律第66号）の主要部分が6月1日に施行され、電子決済手段・暗号資産サービス仲介業の新制度や、国境を跨ぐ収納代行等に関する規律整備が行われました。また、AI法は2025年9月1日に全面施行され、AI事業者ガイドラインも2026年3月31日に第1.2版へ更新されています。IT/FinTech事業者は、個別の契約書を整える前に、まず自社サービス全体の規制マップを作ることが有効です。

1．まず把握したいIT/FinTech法務の7つのレイヤー

IT/FinTechの法務課題は、次の7つのレイヤーに分けて確認すると抜け漏れを減らせます。個々の法律は重なり合うため、「どの法律が適用されるか」だけでなく、「どの機能に、どの義務が乗るか」を整理します。

2．FinTech規制は「資金の流れ」を図にすると見えやすい

決済・FinTech領域で最優先すべきなのは、資金や価値の流れを当事者別に可視化することです。画面上では単なる「支払う」ボタンでも、裏側で誰が利用者資金を受領し、どの口座に滞留させ、どのタイミングで加盟店・受取人へ移転するかによって、法的評価が変わり得ます。

2-1．典型的に確認する機能

• 自社が利用者から金銭を受け取り、別の者へ移転する機能
• チャージ残高、ポイント、ギフトコード等を発行する機能
• 加盟店等のために代金を受領する収納代行・決済代行の機能
• 暗号資産の売買、交換、媒介・取次ぎ・代理、または他人の暗号資産を管理する機能
• 法定通貨連動型の電子決済手段（いわゆるステーブルコイン）の仲介・管理等
• 銀行口座情報の取得や送金指図を銀行API等を通じて行う機能
• トークンや投資商品を販売・仲介する機能

これらは名称だけで登録要否を判断できません。資金決済法上の「為替取引」や「前払式支払手段」、銀行法上の電子決済等代行業、金融商品取引法上の有価証券・仲介行為など、それぞれの定義に事業実態を当てはめる必要があります。

3．2026年時点で押さえておきたいFinTech規制

FinTech規制は資金決済法だけで完結しません。まず2026年6月施行の資金決済法改正を確認し、そのうえで、銀行APIを利用するサービスでは銀行法上の電子決済等代行業、本人確認や金融犯罪対策が必要な業務では犯罪収益移転防止法等を重ねて検討する必要があります。

「資金決済に関する法律の一部を改正する法律」（令和7年法律第66号）は2025年6月13日に公布され、主要部分が2026年6月1日に施行されました。FinTechの事業設計に関係し得る主な変更として、電子決済手段・暗号資産サービス仲介業の新設、国境を跨ぐ収納代行と為替取引規制の関係整理、資金移動業者の資産保全方法の多様化、一定の場合における第一種資金移動業者の滞留規制の見直しなどがあります。

3-1．2026年資金決済法改正と電子決済手段・暗号資産サービス仲介業

2026年6月1日から、電子決済手段等取引業者または暗号資産交換業者の委託を受け、所属業者のために一定の売買・交換の媒介のみを行う事業について、新たな登録制度が開始されました。自社で利用者資産を管理せず、既存の登録業者と連携してサービスを提供する場合でも、「単なる送客」なのか、法令上の媒介に当たるのかはサービス仕様に即して確認する必要があります。

3-2．収納代行だから当然に規制外とは限らない

EC、マーケットプレイス、越境サービスでは、「収納代行」という名称であっても実態に応じて為替取引との関係が問題になります。2026年改正では、国境を跨いで行う収納代行について、為替取引規制との関係を法令上整理し、政令・内閣府令等で規制の適用を除外する類型が定められました。したがって、「収納代行」という契約名だけで規制対象外と判断するのではなく、債権者・債務者との関係、資金受領の法的効果、資金の滞留、返金・倒産時の取扱いまで含めて評価することが重要です。

3-3．ポイント・チャージ残高は「有償性・利用範囲・使用期限・移転性」を分けて確認する

ポイントやチャージ残高は、すべてが資金決済法上の前払式支払手段になるわけではありません。まず、対価を得て発行される財産的価値かを確認し、該当する場合は、どこで利用できるか、自家型・第三者型のどちらか、使用期限が6か月以内の適用除外に当たらないかを整理します。さらに、電子的な譲渡・移転が可能な仕組みでは、高額電子移転可能型前払式支払手段への該当性も別途確認が必要です。とくに第三者型は、未使用残高が1,000万円以下であっても事前登録が必要となる点に注意が必要です。

4．銀行API・口座情報連携では「電子決済等代行業」を確認する

銀行口座と連携する家計管理、会計、決済支援などのサービスでは、資金を預からない場合でも、銀行法上の電子決済等代行業への該当性を確認する必要があります。利用者の依頼を受けて銀行に決済指図を伝達する機能や、銀行から口座情報を取得して利用者へ提供する機能は、サービスの実態によって登録制度の対象となり得ます。単に「API連携をしている」という技術的な説明だけでは判断できません。

金融庁の監督指針では、電子決済等代行業について、システムの安定性、情報セキュリティ、サイバーセキュリティ、外部委託管理、利用者保護、銀行との連携等が重要な監督項目とされています。そのため、登録要否だけでなく、銀行との契約、API仕様、認証方式、障害時の役割分担、不正取引時の補償、ログ・利用者情報の管理まで一体で設計することが重要です。

5．本人確認・AML/CFT・金融犯罪対策はオンボーディング設計から考える

FinTechサービスでは、本人確認を単なる「会員登録の一工程」として扱うのは適切ではありません。サービス内容が犯罪収益移転防止法上の特定事業者の業務に該当する場合、一定の取引について取引時確認、確認記録・取引記録の作成・保存、疑わしい取引の届出等が問題となります。また、法令上の最低限の確認だけでなく、事業者のリスクに応じた継続的な顧客管理や不正利用対策も重要になります。

実務では、誰をどのタイミングで確認するか、個人・法人で何を取得するか、法人の実質的支配者をどう確認するか、追加確認が必要な高リスク取引をどう抽出するか、確認済み情報をどの期間・方法で保存するかを、KYC画面や審査フロー、不正検知、アラート、顧客サポートまで落とし込む必要があります。2026年7月に金融庁が公表した「マネー・ローンダリング等及び金融犯罪対策の取組と課題」でも、AML/CFTと金融犯罪対策を一体として高度化していく方向性が示されています。

5-1．2027年4月1日から本人確認方法が見直される

犯罪収益移転防止法施行規則の改正により、2027年4月1日から、自然人の本人特定事項を確認する方法の一部が見直されます。たとえば、ICチップが組み込まれた写真付き本人確認書類については、書類の提示だけでなくICチップ情報の読み取り等が必要となり、現在利用されている本人確認書類の画像送信を中心とした一部の方法は廃止されます。2026年9月時点では施行前ですが、2027年4月以降もサービスを継続する事業者は、eKYCベンダーや自社システムが新しい方式に対応できるかを早めに確認する必要があります。

本人確認仕様は、UIだけでなく、利用する本人確認書類、ICチップ読取機能、失敗時の代替フロー、審査記録の保存方法、委託先との責任分担にも影響します。とくに新規サービスを2027年前後にローンチする場合は、現行方式だけを前提に実装すると短期間で改修が必要になる可能性があります。

6．SaaS・プラットフォームは「利用規約＋運用」の整合が重要

金融規制が直接適用されないITサービスでも、利用規約、業務委託契約、SLA、プライバシーポリシー、セキュリティ運用が分断されていると、障害やアカウント停止時に問題が生じます。契約書だけではなく、プロダクトの実装と運用ルールを一致させる必要があります。

B2Cサービスでは、消費者契約法や特定商取引法等の適用も検討します。B2Bであっても、免責や責任上限を置けば当然に有効となるわけではなく、契約目的、故意・重過失の扱い、データ消失や第三者権利侵害などのリスク配分を個別に設計する必要があります。

7．個人情報・データは「取得時」より前にデータフローを作る

ITサービスでは、氏名・連絡先だけでなく、端末情報、行動ログ、決済履歴、位置情報、問い合わせ内容、本人確認書類など多様なデータを扱います。個人情報保護委員会のガイドラインは、個人データについて、漏えい・滅失・毀損を防止するため必要かつ適切な安全管理措置を講じることを求めています。

実務では、プライバシーポリシーを先に書くのではなく、次の順序で整理すると設計しやすくなります。

• どの画面・APIから、どのデータを取得するか
• そのデータを何の目的で利用するか
• 自社内のどのシステムへ保存するか
• クラウド、決済会社、分析会社、AI事業者等へ何を送るか
• 委託・共同利用・第三者提供のどれに当たるか
• 国外にデータが移転する可能性があるか
• 保存期間と削除方法、インシデント時の連絡経路をどうするか

このデータフローと、プライバシーポリシー、DPA、委託先契約、社内アクセス権限を整合させます。とくに外部AIや海外クラウドを利用する場合は、入力データの再利用、保存、学習利用の有無も確認が必要です。

なお、資金移動業者、暗号資産交換業者、電子決済手段等取引業者など、金融分野の個人情報保護に関するガイドラインの対象となる事業者では、一般の個人情報保護法ガイドラインに加え、金融分野固有のガイドラインや安全管理措置等についての実務指針も確認する必要があります。FinTechだから一律に金融分野ガイドラインが適用されるわけではなく、自社の登録業種・業務内容に応じて適用関係を整理します。

8．AI機能を組み込む場合は、AI法・ガイドラインと既存法を重ねて考える

日本では「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」が2025年9月1日に全面施行されています。また、AI事業者ガイドラインは2026年3月31日に第1.2版へ更新されました。AI機能を提供するIT事業者は、AI固有のガバナンスだけでなく、著作権、個人情報、秘密情報、契約責任、広告表示等の既存法も同時に確認する必要があります。

8-1．最低限、サービス設計時に決めておきたい事項

• 入力データに個人情報・営業秘密・第三者著作物を含めることをどこまで許容するか
• 外部モデル提供者へ入力データが保存・学習利用されるか
• 生成物の正確性をどこまで保証し、どこから利用者確認を求めるか
• 権利侵害・不適切出力・誤生成を検知した場合の停止・是正フロー
• モデルやプロンプト、ログの変更履歴をどの範囲で残すか
• 利用規約、社内AIポリシー、委託先契約の責任分担をどう合わせるか

9．サイバーセキュリティは「情シスの問題」ではなく経営・契約問題

経済産業省のサイバーセキュリティ経営ガイドラインVer.3.0は、経営者が認識すべき3原則と、CISO等に指示すべき重要事項を示しています。IT/FinTech企業では、システム障害や不正アクセスが、個人情報保護だけでなく、利用規約上の責任、金融規制上の管理態勢、取引先への通知、レピュテーション、資金調達・M&AのDDにも直結します。

最低限、アクセス権限、MFA、脆弱性対応、ログ、バックアップ、インシデント対応、委託先管理、BCPを「技術対策」と「契約・社内規程」の両方で整える必要があります。重要な外部APIやクラウドが停止したとき、顧客への義務を履行できるかという観点も欠かせません。

また、金融規制の対象となる事業者では、経済産業省の一般的な経営ガイドラインだけでなく、金融庁の「金融分野におけるサイバーセキュリティに関するガイドライン」や各業態の監督指針も確認する必要があります。たとえば電子決済等代行業の監督指針でも、同ガイドラインを踏まえたサイバーセキュリティ管理態勢の整備が求められています。

10．広告・UI・営業資料にも法務レビューが必要

IT/FinTechでは、広告文だけでなく、申込画面、料金表、比較表、ダッシュボード表示、プッシュ通知、営業資料までが利用者の意思決定に影響します。たとえば「手数料0円」「必ず得をする」「業界No.1」などの表示は、条件や根拠によって景品表示法上の問題となり得ます。金融商品・暗号資産等では、個別業法の広告・説明規制も重なる可能性があります。

したがって、法務レビューの対象を「契約書」だけに限定せず、ローンチ前にユーザーが見る画面と営業導線を一度通して確認する運用が有効です。

11．ローンチ前の法務チェックは4段階で行う

新規事業では、Step 2を仕様確定後に行うのではなく、MVP設計の段階で実施することが重要です。登録が必要となる機能を後から外そうとすると、決済フローや収益モデルそのものの変更につながる場合があります。

12．弊所の実務上の視点｜「規制該当性」だけで終わらせない

IT/FinTechの相談では、「このサービスは登録が必要ですか」という質問が入口になることが多い一方、実際の事業化では、登録要否だけでは足りません。規制を回避するために機能を削るのか、登録を前提に事業を設計するのか、登録業者との提携モデルにするのかによって、収益性、UX、開発コスト、将来の拡張性が変わります。

弊所では、法的に可能か否かだけでなく、①事業モデル、②資金・データフロー、③本人確認・金融犯罪対策、④契約関係、⑤システム実装、⑥将来の資金調達・M&Aまでを同じ図面上で確認することが重要だと考えています。法務を「最後の審査」にせず、プロダクト設計の一部として扱うことで、ローンチ直前の大幅な手戻りを減らしやすくなります。

13．IT/FinTech法務チェックリスト

14．FAQ

主要な一次資料・公的資料

• 金融庁「令和7年資金決済法改正に係る政令の公布及びパブリックコメントの結果等について」（2026年5月22日）
• 金融庁「電子決済手段・暗号資産サービス仲介業を行うみなさまへ」（2026年6月1日）
• 金融庁「FinTechサポートデスクについて」（前払式支払手段関係）
• 金融庁「暗号資産・電子決済手段関係」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 経済産業省「AI事業者ガイドライン 第1.2版」（2026年3月31日）
• 内閣府「人工知能関連技術の研究開発及び活用の推進に関する法律（AI法）」
• 経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」
• 金融庁「主要行等向けの総合的な監督指針（X 電子決済等代行業）」
• 金融庁「マネー・ローンダリング等及び金融犯罪対策の取組と課題（2026年7月）」
• 警察庁JAFIC「犯罪収益移転防止法施行規則の改正による本人確認方法の見直しについて」
• 金融庁「犯罪収益移転防止法におけるオンラインで完結可能な本人確認方法に関する金融機関向けQ&A」
• 個人情報保護委員会・金融庁「金融分野における個人情報保護に関するガイドライン」
• 金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」

まとめ｜IT/FinTech法務は、ローンチ前の「規制判定」ではなく事業設計そのもの

IT/FinTech事業では、決済、本人確認・金融犯罪対策、データ、AI、広告、セキュリティ、契約が互いに連動しています。個別の法律を後から確認するだけでは、サービス仕様とのずれが生じやすくなります。まず事業モデルと資金・データフローを可視化し、規制該当性とKYC・AML/CFTの必要性を確認したうえで、契約・プライバシー・セキュリティの実装へ落とし込むことが重要です。

とくにFinTech領域は制度改正が事業モデルやシステム仕様に直接影響します。新機能の追加、銀行API・外部決済会社・AI事業者との連携、本人確認方式の変更、海外展開など、サービスの構造が変わるタイミングで規制マップを更新する運用が有効です。