日本におけるeKYCの変革（2026年〜2027年）：JPKI、ICチップ義務化、写真ベース認証の終焉 (JA)

日本は、本人確認における大規模な改革を進めています。犯罪収益移転防止法の改正により、写真ベースのリモート本人確認を全面的に廃止します。2027年4月からは、銀行や金融機関がリモートで口座を開設する際に、顧客のマイナンバーカードまたは運転免許証に埋め込まれたICチップを読み取ることが義務付けられ、身分証明書の写真やコピーの提出は違法となります。これと並行して、金融庁は、リスクベースアプローチを強化し、金融犯罪に対する経営陣の責任を規制対象の金融機関に求める改正AML/CFTガイドラインを施行しました。このガイドでは、何が、なぜ、誰に影響するのか、そしてどのように準備すべきかを解説します。

要約

- 2027年4月から、日本の銀行および金融機関における非対面（リモート）での口座開設には、ICチップベースの本人確認が義務付けられ、身分証明書の写真やコピーの提出は違法となります。

- 2026年1月中旬から、マイナンバーカードを用いたJPKI（公的個人認証サービス）による認証、および身分証明書のICチップのデジタルデータと所有者の顔画像を照合する方法が利用可能となりました。

- 金融庁の改正AML/CFTガイドラインは2026年3月31日に発効しました。これには、自己主導型のリスク評価、アウトソーシング、テクノロジー、取引モニタリングに関する新たな義務、および経営陣の直接的な責任が含まれます。

- 基本的な義務は引き続き適用されます。顧客の本人確認を行い、記録を7年間保持し、疑わしい取引の報告書をJAFIC（日本金融情報センター）に提出することです。

- チップベースの認証はすでに急増しており、ある主要な日本のプロバイダーは、チップベースのチェックが総検証数6,000万件以上の中で1.8倍の1,400万件に増加したと報告しています。

情報源について。この記事は2026年7月現在の情報に基づいており、金融庁、JAFIC、デジタル庁の刊行物、およびジャパンタイムズとBiometric Updateの報道から引用しています。規制は進化するため、適用範囲と実施に関する詳細については、金融庁、JAFIC、デジタル庁に直接お問い合わせください。誤りを見つけましたか？didit.me/contactまでご連絡ください。

日本が写真ベースのeKYCを廃止する理由

長年にわたり、日本の標準的なリモートオンボーディングフローはシンプルでした。申請者が身分証明書を撮影し、自撮りを行い、機関がこの2つを比較するというものでした。規制当局が結論付けた問題は、偽造された身分証明書は画像だけでは検出が難しすぎるということでした。文書の写真は、その文書が「どのように見えるか」を伝えるだけで、それが本物かどうかは伝えません。

この脆弱性が、改革の理由として挙げられています。改正された犯罪収益移転防止法は、リモート認証を「文書の画像」から「文書に埋め込まれたICチップ」へと移行させます。政府発行のチップデータはNFCを介して読み取られ、所有者の顔と照合されます。これは画像よりも偽造がはるかに困難です。カメラをすり抜ける不正も、チップの読み取りはすり抜けられません。

旧フロー vs. 新フロー

	写真ベースのeKYC（廃止されるもの）	ICチップ / JPKI認証（2027年4月から義務化）
申請者が提出するもの	身分証明書の写真またはコピー、および自撮り	マイナンバーカードまたは運転免許証のICチップを直接読み取り/スキャンする
認証の確認方法	画像の目視検査	チップデータがデジタルで読み取られ、所有者の顔画像と照合される
不正のリスク	偽造または偽物の文書は画像からは検出が難しい	チップ自体を読み取ることで画像ベースの偽造を回避する
ステータス	2027年4月からリモート口座開設では禁止	2027年4月からリモート口座開設では義務化

JPKIの拡大：2026年1月から運用開始

日本は、新しい方法が利用可能になるまで2027年の期限を待つことはありませんでした。2026年1月中旬から、2つのチップベースの認証ルートが運用されています。

1. マイナンバーカードによるJPKI。公的個人認証サービス（JPKI）により、申請者はマイナンバーカードを使用して本人確認を行うことができます。JPKIの仕組みに関する詳細については、デジタル庁のマイナンバーFAQ（digital.go.jp）が信頼できる情報源です。
2. ICチップデータと顔照合。身分証明書のICチップに保存されたデジタルデータが読み取られ、所有者の顔画像と照合されます。これにより、検証された文書データが、チェックを行う本人と結び付けられます。

市場は迅速に対応しました。ある主要な日本の認証プロバイダーは、チップベースのチェックが総検証数6,000万件以上の中で1.8倍の1,400万件に増加したと報告しています。これは、機関が義務化を待つのではなく、それに先駆けて移行している明確な兆候です。

2027年4月の義務化：法律となるもの

2027年4月からは、改正犯罪収益移転防止法に基づき、以下のようになります。

• 銀行や金融機関における非対面での口座開設には、ICチップベースの本人確認が義務付けられます。
• これらのリモートフローでは、身分証明書の写真やコピーの提出が違法となります。
• リモート申請者は、マイナンバーカードまたは運転免許証に埋め込まれたICチップを読み取りまたはスキャンする必要があります。

コンプライアンスおよび製品チームにとっての実践的な結果：現在、「身分証明書の写真をアップロード」で終了するリモートオンボーディングのプロセスは、対象となる口座開設においては非準拠となります。キャプチャのステップ自体を変更する必要があります。カメラのみからNFCチップ読み取りへと変更し、それがSDK、デバイスサポート、UX、およびフォールバックフローに影響を与えます。

Diditがお手伝いできること：日本のICチップ認証への移行は、NFCチップ読み取りに直接対応しています。Diditは、ICチップ搭載の身分証明書に対してこの機能を提供しており、ユーザー認証では1チェックあたり0.15ドルで利用可能です。これに加えて、生体顔照合とパッシブ生体認証を組み合わせることで、文書と申請者を紐付けます。金融庁のリスクベースの期待に応えるため、DiditはAMLスクリーニング（1,300以上のリストに対して1チェックあたり0.20ドル、継続的なモニタリングはユーザーあたり年間0.07ドル）と取引モニタリングを追加しています。対象国は220カ国以上、文書タイプは14,000種類以上で、2秒未満の推論が可能です。日本の要件への対応状況は、Diditの日本ソリューションページでご確認ください。

金融庁の改正AML/CFTガイドライン（2026年3月31日発効）

ICチップの義務化は、改革の半分に過ぎません。2026年3月31日、金融庁の改正AML/CFTガイドラインが発効しました。これは、FATFの2021年の相互評価で指摘された効果のギャップに対応し、日本をFATF基準に合わせるものです。主な変更点は以下の通りです。

• リスクベースアプローチの強化。機関は自己主導型のリスク評価を実施し、特定されたリスクに見合った軽減策を導入する必要があります。単にチェックリストに従うだけでは不十分です。
• アウトソーシングおよび技術導入に関する新たな義務。第三者プロバイダーや新しい認証技術に依拠する場合、明確な監督上の期待が伴います。
• 取引モニタリングの義務、および国別および顧客属性別の疑わしい取引報告データ。
• 取締役会レベルのAML/CFT報告書への規制当局のアクセスと経営陣の直接的な責任。金融犯罪コンプライアンスは、もはやバックオフィス業務ではなく、明確に経営陣レベルの責任となりました。

基本的な義務は引き続き変更ありません。顧客の本人確認を行い、記録を7年間保持し、疑わしい取引の報告書をJAFIC（日本金融情報センター）に提出することです。

影響を受ける人々

• リモートで口座を開設する銀行および金融機関は、2027年4月のICチップ義務化の対象であり、規制対象の金融機関は2026年3月の金融庁の監督上の期待に直面します。
• 暗号資産およびステーブルコイン事業者：電子決済手段サービス提供者（EPISP）は、2025年8月からトラベルルール義務を含むAMLの対象に完全に組み込まれました。2026年3月の監督上の期待が、貴社の特定の登録カテゴリに適用されるかどうかは、金融庁に確認してください。
• 犯罪収益移転防止法の非対面認証規則の対象となるその他の事業者は、適用範囲の詳細が規制当局にあるため、金融庁およびJAFICに具体的な義務と期限を確認する必要があります。

コンプライアンスのタイムライン：2025年 → 2027年

日付	何が起こるか	誰に影響するか
2025年8月	EPISPがトラベルルール義務を含むAMLの対象に完全に組み込まれる	ステーブルコイン / 電子決済手段提供者
2026年1月中旬	マイナンバーカードによるJPKI認証、およびICチップ＋顔画像照合が利用可能になる	チップベースのeKYCを早期に導入する準備ができている機関
2026年3月31日	金融庁の改正AML/CFTガイドラインが発効	規制対象の金融機関
2027年4月	リモート口座開設におけるICチップ認証が義務化。写真/コピーによる身分証明書提出が違法化	顧客をリモートでオンボーディングする銀行および金融機関

準備ロードマップ

義務化まであと1年を切った今、現実的な手順は次のようになります。

1. リモートオンボーディングフローを棚卸しする。現在、撮影またはコピーされた身分証明書を受け入れているすべての非対面フローを特定します。それぞれについて、2027年4月までにチップベースの代替手段が必要です。
2. チップ読み取りパスを選択する。これは、マイナンバーカードと運転免許証のNFC読み取りをサポートし、チップデータに対する顔照合と組み合わせることを意味します。デバイスの対応状況（NFC対応スマートフォン）を検証し、例外ケースのフォールバックを設計します。
3. リスク評価を更新する。金融庁の2026年3月ガイドラインは、文書化された軽減策を伴う自己主導型のリスク評価を求めています。改訂前のものを使用している場合は、書き直しが必要です。
4. アウトソーシング契約を見直す。ベンダーが貴社に代わって検証またはモニタリングを実行している場合、新しいアウトソーシング義務が適用されます。契約、監督、報告ラインはそれを反映する必要があります。
5. 取締役会に説明する。規制当局は取締役会レベルのAML/CFT報告書にアクセスできるようになり、経営陣は直接的な責任を負います。経営陣への報告が実際に存在し、最新のものであることを確認してください。
6. 取引モニタリングおよびSTRプロセスを圧力テストする。STRデータは国別および顧客属性別に分解可能である必要があり、JAFICへの提出パイプラインと7年間の記録保持がエンドツーエンドで検証されるべきです。

この概要を超える規制の詳細（正確な適用範囲、移行措置、セクターごとの適用可能性）については、情報源である金融庁、JAFIC、デジタル庁を参照してください。

結論

日本は、身分証明書の写真だけでは本人確認の証拠とはならないと判断しました。2026年1月からすでに運用されているJPKIの拡大、2026年3月から施行されている金融庁のリスクベース監督体制、そして2027年4月に実施される厳格なICチップ義務化により、日本のリモートオンボーディングはチップデータと生体認証を中心に再構築されています。チップベースの検証の急増を合図として捉え、期限を待たずに対応する機関は、コンプライアンス上の問題なく今後2年間の顧客をオンボーディングできるでしょう。

日本のチップベース時代に向けて認証スタックを準備している場合（NFCチップ読み取り、顔照合、生体認証、AMLスクリーニング、取引モニタリングを1つのプラットフォームで）、Diditを今すぐ開始できます。

この記事は一般的な情報であり、法的助言ではありません。具体的な義務については、資格のある弁護士および関連する日本の規制当局にご相談ください。