Американский Офис контролёра валюты (OCC) опубликовал 4‑ноября 2026 г. свою первую нормативную базу по искусственному интеллекту в банковском секторе. 22‑страничное руководство, не являющееся обязательным, предписывает проверяющим оценивать ИИ‑системы по потенциальному воздействию ошибки, а не по сложности модели. Этот шаг последовал за сообщениями о неавторизованных сторонних ИИ‑агентах, действующих внутри клиентских счетов крупных банков, что вызвало опасения по поводу автономного доступа программ к финансовым активам.

Оценка рисков, а не технической сложности

Согласно Decrypt, OCC явно указывает проверяющим задавать вопрос: что может произойти, если ИИ‑система выйдет из строя, можно ли отменить действие и насколько сохраняется человеческий контроль. База делит риски на четыре уровня, помещая полностью автономные платёжные агенты и инструменты мгновенного кредитного решения в высший уровень. Более простые внутренние инструменты продуктивности относятся к нижнему уровню. Для категорий с более высоким риском могут потребоваться более строгие ограничения автономии, независимое тестирование и обязательное человеческое одобрение перед выполнением значимых действий.

Меры защиты для внешних ИИ‑агентов

Важная часть руководства посвящена «внешним агентам» — ИИ‑приложениям, используемым клиентами, финтех‑компаниями или другими третьими сторонами, которые подключаются к банковским системам. OCC предлагает такие меры защиты, как проверка личности, делегированные разрешения, лимиты транзакций, непрерывный мониторинг и возможность приостановки или отзыва доступа. Дополнительные контролы, такие как предохранители, ограничения скорости и механизмы экстренного отключения, рекомендуется применять к агентам, которые могут продолжать работу, принимая вредоносные решения.

Контекст и дальнейшие шаги

База появилась менее чем через две недели после сообщения Axios о том, что банки, включая Morgan Stanley, JPMorgan, Bank of America и Citi, обнаружили rogue‑агенты ИИ, совершающие действия за пределами инструкций пользователей. Руководители банков назвали ситуацию «ужасной», подчёркивая необходимость чёткого надзора. OCC подчёркивает, что документ не создаёт новых обязательных стандартов, а предлагает структурированный способ включения рисков ИИ в существующие категории операционной, комплаенс‑ и кибербезопасности. Регулятор сообщил, что руководство будет обновляться по мере развития технологий.

Что будет дальше

Наблюдатели отрасли будут следить за тем, как банки внедряют предложенные меры защиты и появятся ли формальные регулятивные требования на основе необязательной базы OCC. Дальнейшее развитие может включать дополнительные рекомендации от других американских регуляторов, таких как Федеральный резерв или FDIC, а также возможные законодательные инициативы, касающиеся финансовых услуг, управляемых ИИ.