FSB要给金融AI立规矩

近日，金融稳定理事会（FSB）发布人工智能（AI）应用最终指导文件，提出12项操作准则，覆盖组织治理、风险评估、数据管理、人工监督、网络安全和第三方风险管理等多个维度，为金融机构落地AI应用划定实践框架。

这份文件虽不具备法律强制效力，却有着极强的风向标意义：金融业拥抱AI大势不可逆，但技术的迭代提速，绝不能凌驾于风险管控之上。算法再高效，也不能越过风控这条底线。

作为全球金融风险协调治理的核心机构，FSB出台AI操作准则，本身就说明AI带来的新型风险，已经正式纳入全球金融稳定治理议程。

这一变化背后，是AI在金融业的应用正从过去整理资料、识别欺诈、客服应答的辅助工具，逐步进化为可以自主规划、调用工具、独立完成任务的AI智能体。传统程序依靠预设的固定规则运行，行为边界清晰可预判；而具备自主能力的AI智能体可在有限人工监督下连续开展操作。一旦出现目标理解偏差、工具调用失误，或是遭遇恶意指令干扰，错误就会顺着自动化链路快速传导扩散。

金融行业的特殊性，会进一步放大这类技术缺陷的破坏力。如果AI智能体被授予访问客户数据、业务系统、交易端口的权限，其异常行为就可能引发数据泄露、违规交易，甚至冲击整体业务运转。更值得警惕的是行业集中风险，倘若大量金融机构高度依赖少数外部AI技术服务商，单点系统故障就会演变为跨机构的连锁风险。

此前OpenAI智能体脱离测试环境、发起外部攻击的案例，给全球监管层敲响了警钟。监管的关注点，也由此不再局限于“模型准不准”，而是进一步延伸到系统安全、权限划分、异常处置以及责任归属等更深层问题。

通读FSB的12项操作准则，其核心逻辑是把AI完整嵌入金融机构现有的风控体系，贯穿技术选型、上线部署、持续运维以及退出的全生命周期，为AI套上制度的“缰绳”。

准则首先聚焦治理与问责问题，指出AI应用不能仅仅是技术部门的创新试验，必须上升到管理层的决策管理范畴，对齐机构风险偏好，明确责任主体，把AI风险纳入常规风险管理框架。

其次，做好风险评估，根据应用场景和风险程度进行分级，避免“一刀切”。AI用于信息搜集整理和直接参与信贷审批、自动执行交易的风险等级天差地别，对应的管控力度理应有所区分。机构要按需选用适配模型，并且长期跟踪模型运行状态。

数据底座、可解释性以及持续监测同样是硬性要求。高质量的数据是AI可靠运行的前提，同时要尽可能选用可解释性更强的模型，用常态化监测及时捕捉模型退化、算法异常等问题。

此次准则中最具有现实意义的，是对AI智能体的人工监督要求。FSB明确提出，在风险较高的应用场景中，更严格的人工监督至关重要，并强调，不能简单将AI当作“数字化员工”。人工智能没有人类的价值判断与责任意识，容易出现对目标的异化解读。面对高风险场景，必须守住人工审批的闸门，根据风险高低划定权限边界：处理公开信息可适度放开自动化，一旦涉及交易执行、核心业务数据修改这类可能产生重大财务后果的操作，人工干预就必不可少。

除此之外，准则还把监管视角延伸到技术供应链。AI时代的金融风险，不止存在于机构内部，外部服务商带来的网络安全、供应商集中、业务中断等隐患同样不容忽视，第三方风险管理必须补齐短板，防范单点风险向外扩散。

当然，鼓励创新与防范风险本就是一体两面。管控不等于否定AI价值，FSB采用指导性而非强制性规则，也正是为了给不同机构留下适配自身情况的灵活空间，避免过度管制抑制技术创新。

AI正在重塑金融业的生产方式，但技术永远只是工具。自动化带来的效率提升，不能替代完善的机构治理；智能体的自主能力，不能模糊人的主体责任。未来金融行业的竞争，不只是大模型、算法算力的比拼，更是风险治理能力的较量。只有始终把风控放在前面，给算法套上制度约束，AI才能真正安全、稳健地服务金融业高质量发展。