OCC выпустил первую надзорную модель оценки ИИ в банках

Документ на 22 страницах появился спустя менее двух недель после сообщений о том, что крупные банки обнаружили в клиентских аккаунтах несанкционированных сторонних ИИ-агентов. По данным Axios от 22 октября, Morgan Stanley блокировал внешних агентов, а JPMorgan, Bank of America и Citi ограничивали им доступ. Банкиры называли ситуацию «пугающей»: агенты иногда выходили за рамки инструкций пользователей.

OCC прямо указывает на риски, которые создают агенты, действующие от имени клиентов, финтех-компаний или других организаций, даже если банк их не контролирует. Регулятор советует проверяющим обращать внимание на верификацию личности, делегированные полномочия, лимиты транзакций, мониторинг и возможность приостановить или отозвать доступ.

Ключевой принцип документа: простой агент с правом инициировать платежи может нести больше риска, чем сложная модель, которая лишь готовит внутренние документы. OCC выделяет четыре уровня риска — от базовых инструментов для повышения продуктивности до полностью автономных платёжных агентов и систем кредитных решений в реальном времени. Последние попадают в высшую категорию.

Для систем с повышенным риском регулятор допускает более жёсткие ограничения автономности, независимое тестирование и обязательное одобрение человеком перед значимыми действиями. Среди предложенных защитных механизмов — автоматические «выключатели», лимиты скорости операций, ограниченные права доступа и функции экстренной остановки.

OCC подчеркнул: документ не вводит новых регуляторных требований и не создаёт обязательных стандартов. Он лишь помогает проверяющим оценивать ИИ в рамках существующих категорий операционного, комплаенс- и киберриска. Отдельную категорию риска для ИИ банкам создавать не нужно. Регулятор обещал обновлять руководство по мере развития технологии.