FSB برای AI بانکی ۱۲ قاعده نوشت؛ مسئولیت از هیئت‌مدیره آغاز می‌شود

هیئت ثبات مالی (FSB) گزارش نهایی ۱۲ رویه برای پذیرش مسئولانه هوش مصنوعی در مؤسسات مالی را در ۱۵ اکتبر ۲۰۲۶ منتشر کرد. گزارش از هیئت‌مدیره و مدیران ارشد می‌خواهد جهت‌گیری استفاده از AI را با راهبرد، مدل کسب‌وکار و میزان ریسک‌پذیری مؤسسه هماهنگ کنند؛ کنترل خطر نیز باید تا پایان عمر هر کاربرد ادامه یابد.

آژانس خدمات مالی ژاپن در اطلاعیه ۱۶ اکتبر ۲۰۲۶، انتشار گزارش نهایی FSB در ۱۵ اکتبر و تمرکز آن بر حاکمیت سازمانی و مدیریت ریسک در چرخه عمر AI را اعلام کرد. برای بانک و فین‌تک، نتیجه اجرایی روشن است: تصمیم درباره استفاده از یک سامانه، ارزیابی خطر آن و امکان بازبینی تصمیم باید به مسئولان مشخص و شواهد قابل پیگیری وصل باشد.

مسئولیت هیئت‌مدیره به چه کنترل‌هایی می‌رسد؟

متن نهایی گزارش چهار رویه نخست را به حاکمیت در سراسر مؤسسه و هشت رویه بعدی را به مدیریت خطر در چرخه عمر AI اختصاص می‌دهد. این رویه‌ها غیرتجویزی‌اند و استاندارد بین‌المللی الزام‌آور ایجاد نمی‌کنند. در نگاشت زیر، «مالک کنترل» و «مدرک» نقش و شاهد پیشنهادی برای اجرای قابل دفاع هر رویه‌اند، نه عنوان سازمانی یا فرم اجباری تعیین‌شده از سوی FSB.

1. جهت‌گیری و نظارت راهبردی: هیئت‌مدیره و مدیریت ارشد باید نسبت استفاده از AI را با مدل کسب‌وکار، راهبرد و میزان ریسک‌پذیری مؤسسه بسنجند. مالک کنترل، همین ارکان تصمیم‌گیرند؛ تصمیم ثبت‌شده درباره هدف کاربرد و حدود خطر پذیرفته‌شده می‌تواند مدرک باشد. مرحله اصلی، تصویب جهت‌گیری و بازبینی آن با گسترش استفاده است.
2. حاکمیت و پاسخ‌گویی: مسئولیت تأیید، اجرا، پایش و ارجاع مشکل باید در ساختار مؤسسه روشن باشد. مدیریت ارشد مالک پیشنهادی این تقسیم کار است و شرح نقش‌های واحد کسب‌وکار، فناوری و ریسک می‌تواند شاهد آن باشد. این کنترل پیش از استقرار شکل می‌گیرد و پس از تغییر ساختار یا کاربرد بازنگری می‌شود.
3. جای دادن خطر AI در مدیریت ریسک: کاربردهای هوش مصنوعی باید در فرایند شناسایی، ارزیابی، پذیرش و پایش خطر مؤسسه ثبت شوند. مدیریت ریسک مالک پیشنهادی کنترل است؛ فهرست کاربردها و سابقه ارزیابی اهمیت و خطر، رد تصمیم را نگه می‌دارند. ثبت از آغاز کاربرد شروع می‌شود و با تغییر آن ادامه می‌یابد.
4. سازگاری سازمانی: نظارت، مهارت کارکنان و توان کنترل باید همراه با تغییر فناوری و شیوه استفاده از آن اصلاح شود. مدیریت ارشد مالک پیشنهادی است و سابقه بازنگری سیاست‌ها، آموزش و ظرفیت واحدهای کنترلی می‌تواند مدرک باشد. این رویه به دوره بهره‌برداری و تغییرات بعدی مربوط است.

مرکز ثقل این بخش صرفاً تأیید یک مدل نیست. اگر مؤسسه کاربردی را مهم بداند، باید معلوم باشد چه کسی خطر آن را پذیرفته، چه کسی عملکردش را گزارش می‌کند و مسئله از چه مسیری به مدیران ارشد می‌رسد. برای کاربرد کم‌خطر، همان ساختار می‌تواند با کنترل سبک‌تر اجرا شود؛ تناسب کنترل با اهمیت و خطر کاربرد، اصل راهنمای گزارش است.

هشت رویه در چرخه عمر AI چه چیزی را پوشش می‌دهند؟

گروه دوم از تعریف کاربرد آغاز می‌شود و انتخاب سامانه، داده، عملکرد، نظارت انسانی، امنیت و وابستگی بیرونی را در بر می‌گیرد. مراحل برای همه کاربردها یکسان نیستند: مؤسسه‌ای که سامانه‌ای را از فروشنده می‌خرد نیز باید خطر استفاده از آن را در شرایط خود ارزیابی کند. نگاشت پیشنهادی زیر محل تصمیم و شاهد باقی‌مانده از آن را برای هر رویه مشخص می‌کند.

1. اهمیت و خطر کاربرد: صاحب کاربرد با مدیریت ریسک، اثر احتمالی، میزان خودمختاری و خطرهای استفاده را از ابتدا و پس از تغییر مهم ارزیابی می‌کند. پرونده ارزیابی و دلیل تعیین سطح خطر، مدرک پیشنهادی است. این سطح تعیین می‌کند آزمون و پایش بعدی تا چه اندازه عمیق باشد.
2. انتخاب مدل یا سامانه: صاحب کاربرد و تیم فناوری، گزینه انتخابی را با هدف کسب‌وکار، نیاز عملیاتی و فنی و خطر کاربرد می‌سنجند. سابقه دلایل انتخاب و محدودیت‌های شناخته‌شده سامانه، شاهد تصمیم در مرحله خرید، توسعه یا تعویض آن است. کارایی فنی به‌تنهایی جای ارزیابی تناسب با کاربرد را نمی‌گیرد.
3. حاکمیت داده: مسئول داده و صاحب کاربرد باید تناسب داده‌های آموزش، آزمون و استفاده را از نظر دقت، کامل‌بودن، سازگاری، اتکاپذیری و امنیت بررسی کنند. ارزیابی کیفیت و منشأ داده، مدرک پیشنهادی در آماده‌سازی و بهره‌برداری است. ضعف داده می‌تواند نتیجه آزمون مدل را نیز کم‌اعتبار کند.
4. توضیح‌پذیری و شفافیت: صاحب مدل با مشارکت مدیریت ریسک بررسی می‌کند که خروجی تا چه اندازه قابل توضیح است و چه اطلاعاتی باید به ذی‌نفعان برسد. ارزیابی توضیح‌پذیری و دلیل انتخاب کنترل جبرانی، شاهد مرحله انتخاب و تأیید است. در صورت مناسب و عملی بودن، مدل توضیح‌پذیرتر یا کنترل جبرانی مطرح می‌شود.
5. مدیریت عملکرد: صاحب مدل و واحد اعتبارسنجی یا کنترل مستقل، عملکرد کاربرد را متناسب با اهمیت و خطر آن ارزیابی می‌کنند. نتایج آزمون پیش از استقرار و سابقه پایش مستمر، مدارک پیشنهادی‌اند. تغییر عملکرد پس از استقرار نیز باید در همان چرخه تصمیم‌گیری دیده شود.
6. نظارت انسانی: صاحب فرایند عملیاتی حدود اختیار انسان برای بررسی، مداخله و توقف را تعیین می‌کند. شرح این اختیار و سابقه مداخله، شاهد طراحی و بهره‌برداری است. شدت نظارت به خطر، خودمختاری، پیچیدگی و توضیح‌پذیری کاربرد بستگی دارد.
7. خطر سایبری و فناوری اطلاعات: واحدهای امنیت اطلاعات و فناوری، خطرهای ویژه کاربرد AI را در کنترل‌های موجود جای می‌دهند. سناریوهای مرتبط در آزمون‌ها و تمرین‌ها و سابقه رسیدگی به یافته‌ها، مدارک پیشنهادی هنگام استقرار و عملیات‌اند. مسیرهای تازه سوءاستفاده یا اختلال باید در ارزیابی خطر دیده شوند.
8. وابستگی به طرف ثالث: مسئول تأمین‌کنندگان همراه با مدیریت ریسک، عملکرد، شفافیت، کیفیت داده، زنجیره تأمین، تمرکز و تداوم خدمت را ارزیابی می‌کند. ارزیابی فروشنده، شرایط اطلاع‌رسانی درباره تغییر سامانه و برنامه تداوم یا خروج، شواهد پیشنهادی از خرید تا پایان خدمت‌اند. استفاده از مدل بیرونی، نیاز مؤسسه به شناخت وابستگی خود را از میان نمی‌برد.

این رویه‌ها چه زمانی به معیار نظارتی نزدیک می‌شوند؟

مرز حقوقی روشن است: انتشار گزارش، به‌خودی‌خود تکلیف قانونی تازه‌ای برای بانک‌ها یا فین‌تک‌ها ایجاد نمی‌کند و رعایت آن جای اجرای قوانین و مقررات محل فعالیت را نمی‌گیرد. با این حال، رویه‌ها زبان مشترکی برای پرسش‌های نظارتی درباره مسئول تصمیم، تناسب کنترل با خطر و مدارک باقی‌مانده از ارزیابی فراهم می‌کنند. هر ناظر فقط در چارچوب اختیارات و قواعد حوزه قضایی خود می‌تواند از مؤسسه درباره این موضوعات توضیح بخواهد.

تفاوت «توصیه» و «رویه قابل دفاع» در همین رد تصمیم آشکار می‌شود. وقتی کاربرد AI تغییر می‌کند، پرونده‌ای که دلیل انتخاب مدل، ارزیابی داده، نتایج پایش و حدود مداخله انسان را به تصمیم مسئولان وصل می‌کند، امکان توضیح درباره کنترل خطر را می‌دهد. برای سامانه خریداری‌شده نیز تغییر پنهان یک قابلیت AI یا افت خدمت فروشنده می‌تواند همان پرونده ارزیابی را دوباره به موضوع تصمیم مدیریتی تبدیل کند.

بیشتر بخوانید:

• USDT یا USDC برای ایرانیان؛ شفافیت بیشتر ریسک مسدودی را حذف نمی‌کند
• SAFE یا وام تبدیل‌پذیر؛ سررسید حذف می‌شود، رقیق‌شدن نه
• FOX دو مدیر برای فرنچایز سازندگان آورد؛ تبلیغ و IP در یک تیم