Штучний інтелект у комплаєнсі та нагляді

Читати PDF-версію (6 сторінок)

Моніторинг операцій і фінансові злочини

Комплаєнс — одна з найперспективніших і водночас найделікатніших сфер застосування штучного інтелекту. Традиційні системи моніторингу операцій генерують велику кількість сповіщень, і більшість із них після ручної перевірки виявляються безпідставними. Моделі машинного навчання можуть ранжувати сповіщення за ймовірністю того, що вони обґрунтовані, виявляти закономірності між рахунками й аналізувати неструктуровану інформацію, наприклад новинні повідомлення. MAS зазначило, що банки широко застосовують такі моделі в системах протидії відмиванню грошей і виявлення шахрайства. Регуляторна небезпека тут симетрична. Модель, яка приглушує обґрунтовані сповіщення, наражає банк на порушення правил протидії відмиванню грошей, розглянутих у частині H. Модель, що не може пояснити свій результат, важко захистити перед наглядовим органом або судом. MAS відносить регуляторний ризик до головних ризиків штучного інтелекту і як приклад наводить незадовільну роботу моделі, яка підтримує заходи з протидії відмиванню грошей.¹

Змінилися й дані, від яких залежать такі моделі. З 1 квітня 2024 року шість великих комерційних банків можуть обмінюватися інформацією про клієнтів із кількома тривожними сигналами через COSMIC — цифрову платформу, яку MAS запустило разом із ними на підставі Закону про фінансові послуги та ринки (зміни) 2023 року (Financial Services and Markets (Amendment) Act 2023). Спершу платформа зосереджується на зловживанні юридичними особами, зловживанні торговельним фінансуванням і фінансуванні розповсюдження зброї масового знищення.² Така платформа дає структуровані сигнали, які можуть використовувати аналітичні моделі. Її правову основу та значення для протидії відмиванню грошей розглянуто в частині H.

Моделі третіх сторін і концентрація

Більшість установ купують генеративні моделі в невеликої кількості глобальних постачальників. MAS виокремило три ризики, що з цього випливають: невідомі упередження з даних попереднього навчання, проблеми захисту даних і ризик концентрації, коли багато установ залежать від тих самих базових моделей. Банки відповіли компенсаційним тестуванням, планами на випадок надзвичайних ситуацій і переглянутими договорами. Ці договори передбачають гарантії продуктивності, захист даних, право на аудит і повідомлення, коли постачальник вбудовує штучний інтелект в уже наявну послугу.³

Остаточна редакція Настанов закріплює принцип. Установа може й не мати змоги змусити стороннього постачальника запровадити надійні практики управління ризиками. Проте вона залишається відповідальною за те, як ШІ третіх сторін використовується в її організації, і за можливий вплив на клієнтів та інших заінтересованих осіб.⁴ Паралельно діють правила щодо аутсорсингу та управління технологічними ризиками, розглянуті в розділі E.I.

Інциденти, моніторинг і плани на випадок збоїв

Настанови визначають інциденти ШІ як інциденти, пов’язані зі збоєм, несправністю або незадовільною роботою базової системи чи моделі. MAS вирішило не запроваджувати для них окремого режиму звітності. Установи й далі мають повідомляти про інциденти відповідно до чинних вимог щодо технологічних ризиків і безперервності діяльності, хоч би якою була першопричина. Для сценаріїв використання з високою суттєвістю ризику потрібні плани на випадок збоїв. Моделі, які самі автоматично оновлюються, як-от системи навчання з підкріпленням, вимагають суворішого моніторингу, бо їхня поведінка може змінюватися під час роботи без участі людини.⁵

Для агентних систем моніторинг має охоплювати інформаційні потоки та шляхи ухвалення рішень у робочих процесах, зокрема процеси міркування, виконані дії та використані інструменти. Такий моніторинг дає установі змогу відтворити окремі дії в ланцюжках агентів і знайти джерело збою. MAS також запропонувало розглядати обсяг доступу до інструментів і систем як додатковий вимір суттєвості ризику, адже агенти з широкими повноваженнями можуть посилювати ризик компрометації даних.⁶

Як наглядовий орган сам використовує дані

MAS застосовує аналітику даних у власній роботі відтоді, як запровадило посаду головного директора з даних (Chief Data Officer). Коли оприлюднили Принципи FEAT, її обіймав Девід Гардун (David Hardoon). Наглядовці використовують аналітичні інструменти, щоб обробляти регуляторну звітність, перевіряти повідомлення про підозрілі операції й виявляти схеми зловживань на ринку.⁷ Самі наглядові відносини ці інструменти не змінюють. Вони допомагають наглядовому органу відібрати установи та операції, що заслуговують на увагу, а оцінку й далі дає людина на підставі законів, описаних у розділі E.I.

Примітки

1. MAS, Information Paper, грудень 2024 р., п. 2.1: моделі машинного навчання на основі дерев рішень “commonly used in anti-money laundering (AML) systems to detect suspicious transactions, and in fraud detection systems” – MAS, Information Paper, грудень 2024 р., п. 2.2: “Regulatory risks, e.g., poor performance of AI used to support AML efforts could lead to non-compliance with regulations.” ↩
2. MAS, “COSMIC” (mas.gov.sg, дата звернення: листопад 2026 р.): запущено 1 квітня 2024 р.; учасники — DBS, OCBC, UOB, SCB, Citibank і HSBC; правова основа — Financial Services and Markets (Amendment) Act 2023 і Financial Services and Markets (Information Sharing Scheme for Prescribed Financial Institutions) Regulations 2024; три сфери ризику. ↩
3. MAS, Information Paper, грудень 2024 р., п. 7.2.1: ризики ШІ третіх сторін охоплюють “unknown biases from pre-training data, data protection concerns, as well as concentration risks due to increased interdependencies” – MAS, Information Paper, грудень 2024 р., п. 7.2.2(a)–(d): компенсаційне тестування, планування на випадок збоїв, договори із застереженнями про “performance guarantees, data protection, the right to audit, and notification when AI is introduced”, а також заходи з підвищення обізнаності. ↩
4. MAS, Response to Feedback, 7 жовтня 2026 р., пп. 9.3–9.4: фінансова установа “remains accountable for how third-party AI is used within its organisation”; “the onus is on the FI to ensure that risks arising from its use of third-party AI are appropriately managed”. ↩
5. MAS, Response to Feedback, 7 жовтня 2026 р., п. 10.69: визначення “AI incidents”; “MAS does not intend to introduce AI-specific incident reporting requirements at this juncture” – MAS, Response to Feedback, 7 жовтня 2026 р., пп. 10.67 і 10.70. ↩
6. MAS, Response to Feedback, 7 жовтня 2026 р., п. 12.8 – MAS, Response to Feedback, 7 жовтня 2026 р., п. 7.7: фінансова установа може розглядати “the extent of access to tools and systems granted as an additional dimension for AI risk materiality assessments of agentic AI”. ↩
7. Про використання MAS аналітики даних і машинного навчання в нагляді та в аналізі повідомлень про підозрілі операції див. річні звіти MAS починаючи з 2018/19 року і виступи посадовців MAS щодо наглядових технологій. ↩

Лише для загального ознайомлення. Ця стаття не є юридичною чи податковою консультацією, не замінює консультації щодо конкретної справи й не створює відносин між адвокатом і клієнтом. Вона відображає правове становище станом на жовтень 2026.