银行里有多少'影子AI'？治理跟不上的代价比你想的大

何岸 · GreenFinance 研究院 · 数字金融方向 · 2026-03-17

问题的严峻性

全球银行业AI治理面临一个普遍矛盾：工具采用速度远超治理框架建设速度。Gartner 2025年调研显示，已部署AI工具的金融机构中，仅有28%建立了覆盖全生命周期的治理框架；超过40%的机构承认存在"影子AI"——员工自行使用未经审批的大模型工具处理业务数据。

这一矛盾并非"管理偏好"问题，而是实质性风险敞口。当AI从试点走向生产环境，每一个未纳入治理的用例都可能成为操作风险事件的触发点。2025年，某欧洲银行因内部AI工具误判合规标签导致的监管处罚金额超过800万欧元，直接推动欧洲银行业加速治理框架建设。

海外实践：三层治理架构

从领先机构的实践看，AI治理框架通常包含三个层次：

一是风险偏好对齐。按AI用例的输出影响范围分级管理。内部文档摘要与客户信贷决策的风险等级截然不同，前者适用基础控制，后者须纳入模型风险管理全流程。摩根大通将AI用例分为四个风险等级，最高等级须经风险委员会审批后方可上线。

二是监管情报持续跟踪。AI监管政策在全球范围内快速演变——欧盟《人工智能法案》于2025年8月全面生效，美联储、OCC持续更新AI相关指引，英国FCA采取"成果导向"监管路径。关键不在于逐条合规，而在于建立持续跟踪机制，在政策窗口期提前调整。汇丰银行设立了专门的"AI监管情报"团队，按季度评估全球政策变化对内部AI项目的影响。

三是检查预期对齐。监管检查的核心关注不在于模型的先进程度，而在于机构能否清晰回答：AI做了什么决策、依据什么数据、谁批准上线、出了问题如何回滚。德意志银行在2025年监管审查中因AI决策链条不完整被要求整改，此后全面升级了AI操作日志体系。

国内银行业的双重压力

国内银行的AI治理面临自上而下和自下而上的双重压力。

从监管要求看，银保监体系对模型风险管理有明确指引（如《商业银行模型风险管理指引》），但现行框架主要针对传统统计模型。大模型的非确定性输出、黑箱特征、版本持续迭代等特性，与现有验证流程存在根本性冲突。部分银行已开始扩展模型风险管理办法的适用范围，但行业标准尚未统一。

从使用端看，一线业务人员和中台分析团队早已在使用各类大模型工具，多数处于"灰色地带"——既未被禁止，也未被纳管。据某股份行内部调研，超过60%的中台员工曾使用外部大模型处理业务相关信息，其中不乏涉及客户数据的场景。这些"影子AI"构成当前最大的治理盲区。

可操作的起步方案

一是摸清家底。开展全行AI使用摸底调查，覆盖官方部署和个人使用，建立完整的用例清单和数据流向图。

二是分级管控。按输出影响范围划分为"内部辅助、客户触达、决策参与"三级，逐级匹配差异化的控制要求和审批流程。

三是嵌入现有流程。将AI治理要求嵌入IT项目审批和模型验证的既有流程，而非另起炉灶。这既能降低组织摩擦，也有利于治理体系的快速落地。

四是前瞻性监管沟通。主动与属地监管机构沟通AI应用情况，争取在政策成型期参与标准制定、获得指导空间。

治理不是创新的对立面。缺乏治理的AI应用不可持续——首次严重事故往往导致全面叫停，组织重建信任的成本远高于事前建立框架的投入。