Надзорные ожидания FINMA
От Risk Monitor 2023 к Руководству 08/2024
FINMA не издавала циркуляра об искусственном интеллекте. Она предпочла сформулировать свои ожидания в рамках существующей системы корпоративного управления и управления рисками, в соответствии со своим принципиально-ориентированным и технологически нейтральным подходом. В Risk Monitor 2023 она описала четыре области ожиданий: управление и ответственность, устойчивость и надёжность, прозрачность и объяснимость, а также равное обращение. FINMA пояснила, что её беспокоит возможность того, что результаты, сгенерированные ИИ, не будут поняты или объяснены людьми, что незаметно могут вкрасться ошибки или неравное обращение и что ответственность за решения, принятые с помощью ИИ, может остаться неясной. С четвёртого квартала 2023 г. FINMA проводила выездные проверки и надзорные диалоги с учреждениями, которые широко использовали ИИ или применяли его в областях, значимых для надзора.1
18 декабря 2024 г. FINMA опубликовала Руководство 08/2024 об управлении и управлении рисками при использовании искусственного интеллекта. Руководство обобщает наблюдения FINMA, сделанные в ходе надзора, и констатирует, что большинство учреждений всё ещё находились на ранней стадии, а структуры управления и управления рисками только формировались. В нём выделяются операционные риски, прежде всего риски моделей, такие как недостаточная устойчивость, корректность или объяснимость, а также предвзятость. В нём также перечислены риски, связанные с данными, — в отношении их безопасности, качества и доступности, — ИТ- и киберриски, растущая зависимость от третьих лиц, а также правовые и репутационные риски.2
Содержание руководства
Руководство описывает меры, которые FINMA считает надлежащими и по которым она оценивает учреждения в ходе надзора. От учреждений ожидается создание чёткой системы управления с определёнными зонами ответственности за разработку, внедрение, мониторинг и использование ИИ. Им следует составить реестр используемых в организации ИИ-систем и классифицировать их по степени риска. Необходимо обеспечить качество данных, поскольку во многих приложениях качество данных важнее выбора модели. Системы следует тестировать до внедрения и непрерывно контролировать, опираясь на исчерпывающую и легкодоступную документацию. Объяснимость должна быть обеспечена там, где решения необходимо обосновывать перед клиентами, сотрудниками или надзорными органами, а в соответствующих случаях следует проводить независимые проверки. Наконец, персонал должен проходить обучение, чтобы ИИ использовался надлежащим образом и этично. FINMA формулирует всё это с учётом принципа соразмерности: интенсивность мер должна зависеть от существенности ИИ-систем и от вероятности реализации связанных с ними рисков.3
Две особенности руководства заслуживают особого внимания. Первая — подход к третьим лицам. Если учреждение использует модели, оборудование или облачные услуги внешних поставщиков, оно остаётся ответственным за риски, и FINMA ожидает комплексного подхода, следующего логике правил об аутсорсинге. Вторая касается правовой природы документа. Руководства FINMA не являются обязательными нормами права, однако описывают надзорную практику, которую FINMA применяет, оценивая, соответствует ли учреждение установленному законом требованию о надлежащей организации и управлении рисками. Учреждение, отступающее от руководства, должно быть в состоянии объяснить, почему его собственный подход обеспечивает такую же защиту. На практике реестр, классификация рисков и документация тестирования — это элементы, которые аудиторы и FINMA запрашивают в первую очередь.
Приоритеты надзора после 2024 г.
В Risk Monitor 2025 FINMA не выделяет искусственный интеллект в качестве самостоятельного основного риска. В нём названы девять основных рисков, из которых аутсорсинг, кибератаки и сложность информационно-коммуникационных технологий непосредственно связаны с ИИ. FINMA призвала к более надёжному контролю за передачей критически важных функций на аутсорсинг и отметила, что почти половина всех зарегистрированных инцидентов была связана с третьими лицами.4 Такая классификация логична. С точки зрения надзора большинство рисков ИИ реализуются как операционные риски, риски аутсорсинга или киберриски, поэтому их можно охватить существующими категориями. Сбой ИИ-модели — это операционный инцидент; утечка данных через модель — вопрос кибербезопасности и защиты данных; зависимость от единственного американского поставщика языковых моделей — риск аутсорсинга и концентрации. Таким образом, подход FINMA помещает ИИ в систему, уже знакомую швейцарским учреждениям, что снижает неопределённость, но одновременно означает, что соответствующие правила рассредоточены по нескольким инструментам.
Примечания
- FINMA, “Künstliche Intelligenz: Die FINMA formuliert ihre Erwartungen” (досье «Fintech»), https://www.finma.ch/en/documentation/dossier/dossier-fintech/kuenstliche-intelligenz/ (дата обращения: сентябрь 2026 г.). Согласно досье, отрасль приветствовала технологическую нейтральность и риск-ориентированный подход FINMA. ↩
- FINMA, “FINMA guidance on governance and risk management when using artificial intelligence”, пресс-релиз от 18 декабря 2024 г., https://www.finma.ch/en/news/2024/12/20241218-mm-finma-am-08-24/. ↩
- Pestalozzi, “FINMA guidance on governance and risk management when using AI”, https://pestalozzilaw.com/en/insights/news/legal-insights/finma-guidance-on-governance-and-risk-management-when-using-ai/ (дата обращения: сентябрь 2026 г.), с кратким изложением Руководства FINMA 08/2024. ↩
- FINMA, “FINMA Risk Monitor 2025: accentuated geopolitical risks – cyber and real estate risks continue to grow”, 17 ноября 2025 г., https://www.finma.ch/en/news/2025/11/20251117-mm-risikomonitor/. ↩
Только для общего ознакомления. Настоящая статья не является юридической или налоговой консультацией, не заменяет консультацию по конкретному делу и не создаёт отношений между адвокатом и клиентом. Она отражает правовое положение по состоянию на октябрь 2026 г.