（来源：兴业研究 CIB Research）

　　AI运用，监管要求

　　2026年10月15日，金融稳定理事会（FSB）发布了《负责任运用AI的良好实践报告》（Sound Practices for Responsible Adoption of Artificial Intelligence，以下简称“《报告》”），并提出了金融机构负责任运用AI的12项良好实践原则。为了更好了解国际监管组织和全球主要金融机构对于AI运用的实践经验，也为了研判境内金融机构运用AI的未来监管方向，我们探索对《报告》进行了梳理和总结。

　　应当指出的是，虽然《报告》强调其所述的良好实践并不构成明确的国际监管标准，也不对全球金融机构如何采用AI构成强制性规范，但考虑到《报告》中借鉴了欧盟、美国等多个经济体AI监管的法律或监管规则，相应最佳实践未来或成为各经济体强化AI监管的重要参考。

　　FSB在《报告》中指出，虽然伴随着AI技术的快速发展，金融机构对于AI的运用广度和深度显著提升，但是AI的运用也从微观层面对金融机构和客户带来了一系列的风险与挑战：第一，治理体系与战略执行缺失（Inadequate governance and strategic execution）。第二，低效数据治理与数据质量低下的风险（Ineffective data governance and poor data quality）。第三，可解释性挑战（Explainability challenges）。第四，AI性能不足或退化的风险（Inadequate or degrading AI performance）。第五，人类监督不足或不当的风险（Inadequate or inappropriate human oversight）。第六，网络与信息通信风险（Cyber and ICT risks）。第七，第三方依赖与集中度风险（Third-party dependencies and concentration）。第八，消费者保护与市场行为风险（Consumer protection and market conduct risks）。第九，AI智能体（Agentic AI）的特有风险。

　　为了应对这些金融机构运用AI的潜在风险，《报告》罗列了12项良好实践。这12项良好实践被分为两组：第一组（实践1至4）聚焦金融机构层面AI治理（Organization-wide AI governance），旨在解决AI战略方向、责任分配、风险框架和组织能力问题。第二组（实践5至12）聚焦 AI全生命周期管理（AI lifecycle management），关注AI管控要求落实到立项、设计开发、验证、部署、运行、重新评价和退出等全生命周期流程。在AI用例的全生命周期划分上，FSB提供了一个示例性的七阶段框架供金融机构参考适用，具体阶段包括：立项（Inception）、设计与开发（Design and development）、验证与确认（Verification and validation）、部署（Deployment）、运行与监测（Operation and monitoring）、在评估（Re-evaluation）、退役（Retirement）。同时，《报告》还强调了适配性原则（Proportionality），即不同规模、复杂度的金融机构和不同关键性、风险的AI用例可适配差异化的AI风险管理强度。具体来看，FSB提出的金融机构AI运用12项良好实践标准为：

　　良好实践1：战略方向与监督层面（Strategic direction and oversight），金融机构董事会和高级管理层应将AI的运用和治理体系与金融机构的商业模式、风险偏好和战略对齐。

　　良好实践2：治理与问责层面（Governance and accountability），金融机构应当明确各岗位在AI运用方面的角色和责任，并建立和保持合适的治理体系，从而支持金融机构开展负责任的AI运用。

　　良好实践3：AI风控框架与有效记录文档层面（AI risk management framework and effective documentation），金融机构应将AI风险管理嵌入机构现有风险管理体系，并以覆盖AI运用全生命周期、与AI运用风险相匹配的文档记录，来支撑风险追溯、审计和问责。

　　良好实践4：组织适应性层面（Organizational adaptability），金融机构应当根据AI的演进来学习、适应和调整其对于AI运用的监督、治理、风险管理操作和能力。

　　良好实践5：关键性与风险评估层面（Materiality and risk assessment），金融机构应当在AI用例的立项引入和此后运用的全生命周期中，对AI用例的关键性和潜在风险进行有效和系统性的评估。

　　良好实践6：模型选择流程层面（Selection process），金融机构应将业务目标（Business objectives）、运营和技术需求（operation and technical needs）以及AI用例的关键性和潜在风险共同作为AI模型或系统选择的参考依据。

　　良好实践7：数据治理层面（Data governance），金融机构应建立覆盖AI训练、测试、使用全过程的适配目的型（Fit-for purpose）数据治理和数据留存体系，确保数据治理措施准确、完备、一致、可靠且安全。

　　良好实践8：可解释性与透明度层面（Explainability and transparency），金融机构应充分了解不同AI的可解释性差异。同时，在可行和适当的前提下，金融机构还应尽可能采用更具可解释性的AI，或采用适当方式补偿AI可解释性的缺陷。

　　良好实践9：绩效管理层面（Performance Management），金融机构可通过绩效评估、测试和持续性监测等方式，对AI用例的绩效采用适配关键性和风险的绩效评估方式。

　　良好实践10：人类监督层面（Human oversight），金融机构应当根据AI用例的关键性、风险、自主性、复杂性和可解释性，对不同的AI用例施加适当和有效的人类监督。

　　良好实践11：网络与信息通信风险管理层面（Cyber and ICT risk management），金融机构应当通过将AI相关网络风险与信息通信风险情景纳入测试和演练等方式，从而将AI相关网络和信息通信风险进行有效管控。

　　良好实践12：第三方AI风险管理层面（Third-party AI risk management），金融机构应当聚焦AI模型的表现、透明度、数据质量，以及第三方提供AI的供应链情况、业务连续性风险和集中度风险等对第三方AI的依赖性进行适当的风险管控。

　　在良好实践10中，FSB还列举了六种常见的人类监督形式，相关人类监督形式既可组合使用，也可在不同生命周期阶段分别采用。具体包括人工事中监督（Human-in-the-loop）、 AI事中监督（AI-in-the-loop）、人工定期监督（Human-on-the-loop）、人工决策监督（Human-in-command）、熔断监督（Kill switch）、抗辩性监督（Contestability）。

　　......

　　✦₊  本文剩余20048✦₊