AI合规：银行不能边跑边系安全带

何岸 · 特约作者 · 数智化转型顾问 · 2026-07-08

监管窗口正在关闭

银行业大规模部署AI工具的速度远超监管框架的成熟速度，但这个时间差正在快速缩小。2025年8月，欧盟《人工智能法案》（EU AI Act）全面生效，这是全球首部系统性的AI立法。该法案采用风险分级管理思路：不可接受风险的AI应用直接禁止（如社会评分系统），高风险AI系统（包括信用评分、欺诈检测、保险定价等金融场景核心应用）必须通过合规性评估才能上线运行。

对银行而言，EU AI Act的影响是直接且深远的。信贷审批中使用的AI模型被明确归入"高风险"类别，需要满足数据治理、技术文档、人工监督、准确性和鲁棒性等一系列硬性要求。不合规的罚则上限是全球年营业额的7%——这不是一个可以忽略的数字。

美国的监管路径不同但方向一致。联邦储备委员会、OCC和FDIC联合发布的模型风险管理指引（SR 11-7）最初针对传统统计模型，现在已明确扩展适用于AI和机器学习模型。核心要求是模型的全生命周期管理：开发验证、持续监控、独立审计和退出机制。

亚太监管：各有侧重

亚太地区的AI监管呈现差异化格局。

新加坡金管局（MAS）在2022年发布的FEAT原则（公平性、道德、问责、透明度）是亚太区最早的金融AI治理框架之一。FEAT不是强制性法规，而是"期望标准"——但在新加坡的监管文化中，"期望"与"要求"之间的距离极短。MAS在2025年进一步发布了生成式AI使用指引，要求银行在客户交互场景中使用AI时必须告知客户，并提供人工服务替代选项。

香港金管局（HKMA）的路径侧重于可解释性。2024年发布的银行业AI治理框架要求，面向客户的AI系统必须具备可解释能力——不是技术层面的模型可解释性，而是能向客户用通俗语言说清楚"为什么得到这个结果"。这对使用深度学习模型的信贷审批和投资建议场景提出了很高的要求。

两地的监管思路有一个共同点：不试图限制AI的使用，而是要求银行能说清楚AI做了什么、为什么这么做、出了问题谁负责。

四个技术难题

各国监管框架的方向趋同，但银行在落地层面面临四个技术性难题。

第一是模型可解释性。深度学习模型和大语言模型的决策过程本质上是"黑箱"。银行可以使用SHAP、LIME等事后解释工具提供近似解释，但这些解释的准确性和稳定性仍有争议。NIST在2023年发布的AI风险管理框架（AI RMF）将可解释性列为核心属性，但也承认目前尚无统一标准。

第二是训练数据偏差。2019年Apple Card的性别歧视争议是一个经典案例——Goldman Sachs为Apple Card开发的信用额度算法被指控给予女性申请人系统性的低额度。虽然最终调查未认定违法，但这一事件推动了行业对AI公平性的重视。训练数据中的历史偏差（如特定族群的历史违约率偏高）会被模型继承和放大，需要在数据准备和模型验证阶段主动检测和纠正。

第三是数据隐私。AI模型的训练和推理过程涉及大量数据处理，在GDPR和中国《个人信息保护法》框架下，数据最小化原则、用户知情同意、跨境数据传输限制等要求对AI系统的设计施加了硬约束。特别是使用第三方大模型API时，数据出境和供应商数据使用条款是绕不开的合规问题。

第四是第三方模型风险。越来越多的银行使用OpenAI、Anthropic等外部供应商的基础模型，这些模型的训练数据、版本更新和安全特性不受银行直接控制。SR 11-7框架下，使用第三方模型并不免除银行的模型风险管理责任——银行仍需对模型输出的准确性和合规性负最终责任。

现在就要建框架

等所有监管规则都明确了再动手，时间上来不及。EU AI Act给高风险AI系统的合规过渡期到2027年8月，听起来还有时间，但一个大型银行的AI系统清单可能有数百个模型，逐一完成合规评估、文档编制和技术改造，两年并不宽裕。

更现实的考虑是：监管检查不会等到过渡期结束才启动。OCC在2025年已经将AI模型纳入银行现场检查范围，FRB也在同年发布了针对大型银行AI使用情况的专项问卷。国内银保监体系虽然尚未出台专门的AI立法，但《商业银行模型风险管理指引》的修订工作已经启动，生成式AI的使用规范预计将在未来一到两年内落地。

先行者的做法值得参考：汇丰银行在2024年设立了集团级AI治理委员会，由首席风险官担任主席；星展银行建立了AI模型分级注册制度，所有AI用例上线前必须完成风险分级和合规审查。这些动作的共同特征是不等监管要求全部明确就开始搭框架——框架可以随着监管演进持续迭代，但从零开始搭建的窗口期越来越短。