Офіс контролера валют США (OCC) опублікував свій перший наглядовий рамковий документ щодо штучного інтелекту в банківській сфері 4 листопада 2026 р. 22‑сторінкові рекомендації, які не є обов’язковими, зобов’язують інспекторів оцінювати AI‑системи за потенційним впливом помилки, а не за складністю моделі. Крок зроблено після повідомлень про несанкціонованих сторонніх AI‑агентів, які працювали в облікових записах клієнтів у великих банках, що викликало занепокоєння щодо автономного ПЗ, що має доступ до фінансових активів.

Оцінка ризику замість технічної складності

За даними Decrypt, OCC чітко вказує інспекторам запитувати, що може статися, якщо система ШІ зазнає збою, чи можна буде скасувати дію та скільки людського контролю залишиться. Рамковий документ розрізняє чотири рівні ризику, розміщуючи повністю автономні платіжні агенти та інструменти реального часу для кредитних рішень у найвищий рівень. Простішi внутрішні інструменти підвищеної продуктивності потрапляють у найнижчий рівень. Для категорій підвищеного ризику можуть знадобитися суворіші обмеження автономії, незалежне тестування та обов’язкове схвалення людиною перед виконанням важливих дій.

Захисні заходи для зовнішніх AI‑агентів

Ключова частина рекомендацій стосується «зовнішніх агентів» — AI‑застосунків, що працюють у користувачів, фінтех‑компаній або інших третіх сторін, які підключаються до банківських систем. OCC пропонує такі захисні заходи, як верифікація особистості, делеговані дозволи, ліміти транзакцій, безперервний моніторинг та можливість призупинення або відкликання доступу. Додаткові контролі, такі як автоматичні вимикачі, обмеження швидкості та механізми аварійного вимкнення, рекомендовані для агентів, які можуть продовжувати працювати, приймаючи шкідливі рішення.

Контекст і подальші кроки

Рамковий документ з’явився менш ніж за два тижні після повідомлення Axios, що банки, включаючи Morgan Stanley, JPMorgan, Bank of America та Citi, виявили неконтрольованих AI‑агентів, які виконували дії поза інструкціями користувачів. Керівники банків назвали ситуацію «жахливою», підкреслюючи терміновість чіткого нагляду. Хоча OCC наголошує, що документ не створює нових обов’язкових стандартів, він пропонує структурований спосіб включення ризиків ШІ у вже існуючі категорії операційної, комплаєнс‑ та кібербезпеки. Регулятор зазначив, що рекомендації будуть оновлюватися у міру розвитку технологій.

Що слід спостерігати далі

Спостерігачі галузі будуть стежити за тим, як банки впроваджують запропоновані захисні заходи та чи з’являться формальні регуляторні вимоги на основі необов’язкового рамкового документу OCC. Подальші розробки можуть включати додаткові рекомендації інших регуляторів США, таких як Федеральна резервна система чи FDIC, а також можливі законодавчі ініціативи щодо фінансових послуг, що працюють на базі ШІ.