管理人工智能：新加坡金融管理局关于人工智能模型风险管理的建议

本出版物由 K&L Gates Straits Law LLC 发行，该律师事务所是一家拥有完整新加坡法律和代理能力的新加坡律师事务所，如有任何新加坡法律疑问，请向该律师事务所提出。K&L Gates Straits Law 是 K&L Gates 的新加坡办事处，K&L Gates 是一家完全一体化的全球律师事务所，其律师遍布五大洲。

简介和背景

2024 年 12 月 5 日，作为新加坡金融管理局 (MAS) 确保在新加坡金融领域负责任地使用人工智能 (AI) 的渐进努力的一部分，MAS 在一份信息中发布了有关人工智能模型风险管理的建议纸¹在对选定银行的人工智能相关实践进行审查后。

在信息文件中，金管局强调信息文件中强调的良好做法应适用于其他金融机构。本警报简要概述了信息文件中的主要建议，其中包括 MAS 希望银行和金融机构在开发和部署人工智能时牢记的三个关键重点领域，其中涵盖 (1) 人工智能的监督和治理，(2) 关键风险管理人工智能的系统和流程，以及 (3) 人工智能的开发、验证和部署。

重点关注领域 1：人工智能的监督和治理²一个 

现有的风险治理框架和结构（例如与数据、技术和网络相关的框架和结构；第三方风险管理；以及法律和合规性）仍然与人工智能治理和风险管理相关。与这些现有的控制职能相结合，MAS 认为银行最好采取以下措施： 

• 建立跨职能监督论坛，以避免人工智能风险管理方面的差距，并确保银行的标准和流程在整个银行内保持一致，并与银行人工智能的使用状况保持同步。
• 更新控制标准，以跟上人工智能使用的增加或新人工智能的发展、与新用例的人工智能性能测试相关的政策和程序，并明确规定解决人工智能风险的角色和责任。 
• 制定明确的声明和指南，以管理整个银行公平、道德、负责任和透明地使用人工智能等领域，以防止使用人工智能对消费者和其他利益相关者造成潜在伤害。
• 在整个银行建立人工智能能力，以支持创新和风险管理。

重点关注领域 2：关键风险管理系统和流程³

MAS 还认识到大多数银行需要建立或更新人工智能的关键风险管理系统和流程，特别是在以下领域： 

• 用于识别整个银行的人工智能使用和风险的政策和程序，以便将相应的风险管理应用于各自的人工智能模型。
• 确保银行人工智能清单完整性的系统和流程，还捕获特定人工智能的批准使用范围（例如目的、用例、应用程序、系统和其他相关条件）并提供中心视图使用人工智能来支持监督。
• 评估人工智能的风险重要性，涵盖关键风险维度，例如人工智能对客户、银行和利益相关者的影响；所使用的人工智能模型或系统的复杂性；以及银行对人工智能的依赖，考虑到赋予人工智能的自主权和人类的参与，以便能够按比例应用相关控制。 

重点关注领域 3：人工智能的开发和部署⁴

大多数银行都建立了人工智能开发、验证和部署的标准和流程，以应对关键风险。MAS 认为银行和金融机构应采取以下措施：

• 在人工智能的发展方面，要关注数据管理、模型选择、鲁棒性和稳定性、可解释性和公平性、以及可重复性和可审计性。 
• 关于人工智能的验证，要求在部署之前对具有较高风险重要性的人工智能进行独立验证或审查，并确保遵守开发和部署标准。对于风险重要性较低的人工智能，大多数银行都会在部署之前进行同行评审，并根据使用人工智能带来的风险进行校准。 
• 关于人工智能的部署、监控和变更管理，执行部署前检查，根据适当的指标密切监控已部署的人工智能，并应用适当的变更管理标准和流程，以确保人工智能在部署时按预期运行。

生成式人工智能和第三方人工智能⁵

MAS 指出，生成式人工智能在银行和金融机构的使用仍处于早期阶段。然而，金管局建议银行和金融机构一般应在相关且可行的情况下尝试应用现有的治理和风险管理结构和流程。应通过采取以下措施来平衡创新和风险管理： 

• 银行利用生成式人工智能的通用性质来实现关键支持模块或服务的策略和方法，但将生成式人工智能的当前范围限制在用于协助或提高非直接客户的人力和运营效率的用例中。面对。 
• 流程控制，例如在生成式人工智能生命周期的关键阶段设置跨职能的风险控制检查，并要求对生成式人工智能决策进行人工监督，同时关注用户对生成式人工智能工具局限性的教育和培训。
• 技术控制，例如银行用例中生成式人工智能模型的选择、测试和评估；开发可重复使用的模块以促进测试和评估；评估生成式人工智能模型性能和风险的不同方面；建立输入和输出过滤器作为护栏，以解决毒性、偏见和隐私问题；通过使用私有云或本地服务器以及限制生成式人工智能对敏感信息的访问等措施来降低数据安全风险。

就第三方人工智能而言，现有的第三方风险管理标准和流程继续在银行降低风险的努力中发挥重要作用。在可行的情况下，MAS 建议银行将对内部开发的人工智能的控制范围扩大到第三方人工智能。银行还应通过其他方法补充对第三方人工智能的控制，以减轻额外风险。其中包括以下内容：

• 进行补偿测试以验证第三方人工智能模型的稳健性和稳定性并检测潜在偏差。
• 制定强大的应急计划，以解决潜在的故障、第三方人工智能的意外行为或供应商停止支持的问题。
• 更新与第三方人工智能提供商的法律协议和合同，包括在第三方提供商向银行和金融机构提供的解决方案中引入人工智能时提供履约保证、数据保护、审计权和通知的条款。
• 改善员工人工智能素养、风险意识和缓解方面的培训。 

结论

总之，MAS 强调，在全面识别、记录人工智能清单和适当的风险重要性评估以及开发、验证和部署标准的支持下，对人工智能进行强有力的监督和治理，是金融机构和银行需要关注的重要领域使用 AI 时开启。金融机构和银行需要牢记，人工智能格局将继续发展，现有标准和流程需要与 MAS 和行业最佳实践协商进行审查和更新，以确保人工智能和生成人工智能的适当治理和风险管理。

脚注