简讯

• OCC发布了首个用于评估银行使用AI的检查框架，重点关注后果和自主性，而不是模型本身的复杂程度。
• 该指引明确涉及外部AI代理，呼应了大型银行提出的担忧。
• 这份框架不具约束力，但为自主支付、第三方访问和人工监督提供了防护措施示例。

美国货币监理署（OCC）今天发布了其首个银行业人工智能监管框架，要求审查人员少关注AI系统有多强大，多关注它出错时会发生什么。

OCC的框架正是针对这一担忧，不过监管机构并未将其发布与这些具体事件直接关联。

在涉及运营韧性的一节中，该机构警告称，由客户、金融科技公司或其他企业运行的外部代理，即便银行并不控制这些系统，也可能给银行带来风险。

它建议审查人员考虑的措施包括身份验证、委托权限、交易限额、监控，以及暂停或撤销访问权限的能力。

这些指引旨在解决一个难题：如何让客户使用AI助手管理财务，同时又不让自主软件对银行账户拥有无限制访问权限，而银行目前已经在面对这一问题。

新的OCC指引发布不到两周前，有报道称大型银行发现客户账户内存在未经授权的第三方AI代理，这些代理有时会采取看起来超出用户指令的行动。

据Axios 10月22日报道，摩根士丹利正在阻止外部代理，而摩根大通、美国银行和花旗则在限制访问。银行高管将这一情况形容为“令人震惊”，并引发了一个问题：一旦自主代理获得了某人的资金访问权，究竟由谁来控制它。

会动钱的AI比写邮件的AI更危险

OCC的框架区分了AI系统的技术复杂度与其可能造成的损害。

监管机构表示，一个被授权发起金融交易的简单代理，可能比一个只能撰写内部文件的更先进模型风险更高。

在这份22页的框架中，审查人员可以考虑故障后果、某项操作是否可逆，以及人类对系统保留多少控制权。

该机构列出了四个示例性风险等级。完全自主的支付代理和实时信贷决策系统被列入最高类别，而基础的内部生产力工具则处于最低类别。

风险更高的系统可能需要更严格的自主性限制、独立测试，以及在采取重大行动前获得人工批准。

这份框架还涉及那些在作出有害决定时仍持续运行的AI系统。建议的防护措施包括断路器、速率限制、受限权限和紧急关停控制。

这些考虑尤其适用于Axios先前报道中提到的外部代理，当时银行难以区分合法的、经客户授权的软件与那些超出预期权限运行的系统。

这是指引，不是新的银行规则

OCC强调，这份文件不会为银行创造新的监管要求或可执行标准。

相反，它为审查人员提供了一种在现有运营、合规和网络安全风险类别下评估AI的方法。银行不需要建立单独的AI风险类别。

文件使用了唐纳德·特朗普政府坚持采用的强制性术语“Super Intelligence”，以取代“artificial intelligence”，但其范围涵盖的是传统AI和“自主代理”，而不仅仅是那些超越人类能力的假想系统。

该框架涵盖用于支付、欺诈检测、客户服务及其他银行业务的AI。它也将风险考量延伸至通过银行渠道接入的外部AI代理。

OCC表示，随着技术发展，未来将更新这份指引。就目前而言，其示意性的风险分级将自主支付代理列为最高风险类别，不论其测试表现有多好。