OCC выпустило первый фреймворк по ИИ для банков: платёжные агенты в зоне высокого риска

Управление контролера денежного обращения США (OCC) выпустило первую супервизорную рамку для оценки использования искусственного интеллекта в банках. Документ адресован проверяющим и делает ставку не на сложность модели, а на то, что произойдёт, если система ошибётся. Как пишет Decrypt, отдельные положения посвящены внешним AI-агентам, которые действуют от имени клиентов, финтех-компаний или других бизнесов и могут создавать риски для банка даже тогда, когда банк не контролирует эти системы. Публикация последовала меньше чем через две недели после сообщений о том, что крупные банки находили в клиентских счетах несанкционированных сторонних ИИ-агентов.

Почему важны последствия, а не мощность модели

По логике OCC ИИ, который инициирует финансовые операции, может нести больший риск, чем более продвинутая модель, которая лишь пишет внутренние документы. Проверяющие могут учитывать последствия сбоя, обратимость действия и степень контроля человека над системой. Описаны четыре условных уровня риска: полностью автономные платёжные агенты и системы кредитных решений в реальном времени попадают в самую высокую категорию, базовые внутренние инструменты продуктивности — в самую низкую. Для систем выше по шкале могут потребоваться более жёсткие ограничения автономности, независимое тестирование и одобрение человеком до совершения значимых действий. Среди мер защиты упоминаются автоматические выключатели, лимиты частоты операций, ограниченные права доступа и аварийное отключение.

Какие меры контроля предлагает регулятор

Для внешних агентов OCC советует рассмотреть проверку личности, делегированные полномочия, лимиты на транзакции, мониторинг и возможность приостановить или отозвать доступ. Документ отвечает на дилемму, с которой сталкиваются банки: клиенты хотят, чтобы ИИ-ассистенты управляли их финансами, но неограниченный доступ автономного софта к счетам несёт очевидные риски. Decrypt отмечает, что OCC не связывает публикацию с конкретными инцидентами, хотя тематика совпадает с сообщением Axios от 22 октября: по его данным, Morgan Stanley блокировал внешних агентов, а JPMorgan, Bank of America и Citi ограничивали доступ. Руководители банков, по сообщению Axios, назвали ситуацию ужасающей.

Статус документа и сфера действия

OCC подчёркивает, что документ не вводит новых требований и не является обязательным стандартом. Он даёт проверяющим способ оценивать ИИ в рамках существующих категорий операционного, комплаенс- и киберриска; отдельная категория ИИ-риска банкам не нужна. Область охвата включает ИИ в платежах, антифроде, клиентском сервисе и других банковских операциях, а также внешних агентов, подключающихся через банковские каналы. Регулятор заявил, что намерен обновлять руководство по мере развития технологии.