شورای ثبات مالی در گزارش نهایی خود، ۱۲ رویه پیشنهادی برای استفاده مسئولانه از هوش مصنوعی در مؤسسات مالی ارائه کرده است. این گزارش، مسئولیت مدیران، الزامات داده و کنترل‌های اجرایی را در چارچوبی مشترک قرار می‌دهد که تمام مراحل توسعه، استفاده و کنارگذاری سامانه‌های هوش مصنوعی را دربر می‌گیرد.
گزارش نهایی شورای ثبات مالی درباره پذیرش مسئولانه هوش مصنوعی در ۱۵ اکتبر ۲۰۲۶ منتشر شد. اهمیت این سند، ارائه مجموعه‌ای از توصیه‌های عملی برای حاکمیت هوش مصنوعی در مؤسسات مالی است؛ توصیه‌هایی که هم تصمیم‌های مدیریتی و هم شیوه کنترل هر کاربرد را پوشش می‌دهند.
این سند طیف گسترده‌ای از کاربردها، شامل ارزیابی ریسک اعتباری، پیشگیری از تقلب، پایش تراکنش‌ها، خدمات مشتریان، برنامه‌نویسی و بررسی اسناد را در نظر می‌گیرد. هوش مصنوعی مولد و عامل‌های هوشمند نیز به دلیل افزایش توان سامانه‌ها برای تولید محتوا و انجام اقدامات، مورد توجه قرار گرفته‌اند.
گزارش در کنار ریسک‌های استفاده از این فناوری، به پیامدهای استفاده‌نکردن از آن، از جمله کاهش توان رقابتی و محدودشدن ظرفیت شناسایی و مدیریت تهدیدها اشاره می‌کند.
شورای ثبات مالی یا FSB چیست؟
شورای ثبات مالی (Financial Stability Board یا FSB) نهادی بین‌المللی است که فعالیت نهادهای مالی ملی و نهادهای تدوین‌کننده استاندارد را برای تقویت ثبات مالی هماهنگ می‌کند. این نهاد مسائل و آسیب‌پذیری‌های نظام مالی را بررسی می‌کند و برای مدیریت آن‌ها پیشنهاد می‌دهد.
توصیه‌های این گزارش، استاندارد بین‌المللی الزام‌آور محسوب نمی‌شوند. مؤسسات مالی می‌توانند آن‌ها را با توجه به شرایط خود در چارچوب‌های موجود حاکمیت، مدیریت ریسک، امنیت سایبری و مدیریت تأمین‌کنندگان به کار بگیرند. انتشار این سند نیز به‌خودی‌خود الزام مقرراتی تازه‌ای برای بانک‌های ایران ایجاد نمی‌کند.
در اجرای توصیه‌ها، سطح کنترل باید با حساسیت کاربرد و شرایط مؤسسه متناسب باشد. اندازه و پیچیدگی سازمان، ارتباط آن با دیگر بازیگران و نقش سامانه در فعالیت‌های حیاتی، بر میزان ارزیابی و نظارت لازم اثر می‌گذارند.
مرور سریع گزارش FSB
۱۲ توصیه در دو گروه تنظیم شده‌اند:
| محور | توصیه‌ها |
|---|---|
| حاکمیت در سطح سازمان | جهت‌گیری و نظارت مدیران، تقسیم مسئولیت‌ها، مدیریت ریسک و مستندسازی، یادگیری و سازگاری سازمانی |
| مدیریت چرخه عمر هر کاربرد | ارزیابی ریسک، انتخاب فناوری، حاکمیت داده، توضیح‌پذیری، پایش عملکرد، نظارت انسانی، امنیت سایبری و مدیریت تأمین‌کنندگان |
موضوع مشترک این دو گروه، روشن‌بودن مسئولیت‌ها و تداوم کنترل‌ها پس از استقرار سامانه است.
چهار توصیه برای حاکمیت هوش مصنوعی در سطح سازمان
۱. تعیین جهت‌گیری و نظارت در سطح هیئت‌مدیره
هیئت‌مدیره و مدیریت ارشد باید مشخص کنند استفاده از هوش مصنوعی چگونه با مدل کسب‌وکار، راهبرد و میزان ریسک‌پذیری مؤسسه هماهنگ می‌شود.
مسئولیت آن‌ها، تعیین رویکرد کلی و نظارت بر اجرای آن است. مدیران ارشد باید فرصت‌ها و ریسک‌های مهم را بشناسند و اطمینان یابند توسعه هوش مصنوعی در مسیر اهداف مؤسسه قرار دارد. تصمیم درباره سرمایه‌گذاری و توسعه کاربردها نیز باید با ظرفیت سازمان برای مدیریت پیامدهای آن‌ها هماهنگ باشد.
۲. روشن‌کردن نقش‌ها و مسئولیت‌ها
با گسترش استفاده از هوش مصنوعی در واحدهای مختلف، باید مشخص باشد چه کسی درباره هر کاربرد تصمیم می‌گیرد، چه کسی بر عملکرد آن نظارت دارد و چه کسی پاسخ‌گوی نتایج است.
چارچوب حاکمیتی باید مسئولیت‌ها و ارتباط میان واحدهای کسب‌وکار، فناوری و کنترل و نظارت را روشن کند. این تقسیم کار کمک می‌کند مسائل مربوط به یک سامانه میان واحدها بلاتکلیف نماند و تصمیم‌های توسعه و استفاده از آن هماهنگ گرفته شود.
۳. گنجاندن ریسک‌های هوش مصنوعی در چارچوب مدیریت ریسک
مؤسسه مالی باید ریسک‌های هوش مصنوعی را در چارچوب مدیریت ریسک خود بررسی کند. ثبت کاربردها، نتایج ارزیابی و تصمیم‌های مرتبط با آن‌ها نیز بررسی‌های بعدی، ممیزی و پیگیری مسئولیت‌ها را امکان‌پذیر می‌کند.
یکی از چالش‌های مطرح‌شده، «هوش مصنوعی سایه» (Shadow AI) است؛ استفاده کارکنان از ابزارهای هوش مصنوعی بدون مجوز سازمان یا برای فعالیت‌های تأییدنشده. در این وضعیت، سازمان ممکن است درباره ابزارهای مورد استفاده، داده‌های در اختیار آن‌ها و ریسک‌های ایجادشده اطلاع کافی نداشته باشد.
۴. یادگیری و سازگاری مستمر سازمان
قابلیت‌ها و ریسک‌های هوش مصنوعی تغییر می‌کنند. مؤسسات مالی نیز باید دانش کارکنان، توانمندی‌های تخصصی و شیوه‌های نظارت خود را متناسب با این تغییرات به‌روز کنند.
تجربه اجرای پروژه‌ها و شناسایی محدودیت‌های آن‌ها می‌تواند مبنای اصلاح سیاست‌ها و کنترل‌ها باشد. چارچوب حاکمیتی به بازبینی نیاز دارد تا با شیوه واقعی استفاده از فناوری در سازمان هماهنگ بماند.
هشت توصیه برای مدیریت چرخه عمر هوش مصنوعی
۵. ارزیابی اهمیت و ریسک هر کاربرد
پیش از شروع یک کاربرد، مؤسسه باید بررسی کند سامانه چه نقشی خواهد داشت و خطا یا اختلال آن چه پیامدهایی ایجاد می‌کند. منظور از ارزیابی «اهمیت» در گزارش، توجه به دامنه و شدت اثر کاربرد بر مؤسسه، مشتریان و فعالیت‌های مرتبط است.
میزان اختیار سامانه، گستره استفاده و امکان بازگرداندن نتایج اقدامات آن در این ارزیابی اهمیت دارند. با تغییر مدل، داده یا شرایط استفاده، ارزیابی نیز باید بازنگری شود.
۶. انتخاب فناوری بر اساس نیاز کسب‌وکار
انتخاب مدل باید با هدف کاربرد، نیازهای عملیاتی و فنی و ریسک‌های آن تناسب داشته باشد. در برخی موارد، یک مدل ساده‌تر، کم‌هزینه‌تر و توضیح‌پذیرتر می‌تواند نیاز مؤسسه را برآورده کند.
ارزیابی گزینه‌ها، هزینه‌های تجاری، محاسبات، انرژی و نیروی انسانی را نیز دربر می‌گیرد. افزایش هزینه با گسترش استفاده و هزینه‌های تداوم خدمت و برنامه‌های جایگزین، از دیگر ملاحظات انتخاب فناوری هستند.
۷. حاکمیت داده برای آموزش، آزمون و استفاده از هوش مصنوعی
داده مورد استفاده برای آموزش، آزمون و بهره‌برداری باید دقیق، کامل، سازگار، قابل اتکا و امن باشد. این موضوع هم درباره سامانه‌های توسعه‌یافته در داخل مؤسسه و هم درباره مدل‌ها و خدمات بیرونی مطرح است.
بخش حاکمیت داده در گزارش، مراحل کار را با جزئیات شرح می‌دهد. ابتدا باید دسترس‌پذیری، کیفیت، حجم و تناسب داده با کاربرد بررسی شود. سپس منشأ داده، طبقه‌بندی و فرایند آماده‌سازی آن ثبت شود. کیفیت داده پیش از استقرار ارزیابی شود و پس از شروع استفاده نیز مشکلات احتمالی، از جمله تغییر ویژگی‌های داده، زیر نظر قرار گیرد.
ثبت مسیر تغییر، پردازش و استفاده از داده، امکان پیگیری «تبار داده» (Data Lineage) را فراهم می‌کند. این اطلاعات به مؤسسه کمک می‌کنند هنگام بروز خطا، منشأ آن را پیدا کند و اقدامات اصلاحی را دقیق‌تر انجام دهد.
در استفاده از خدمات بیرونی، ممکن است دسترسی مؤسسه به داده‌های تأمین‌کننده محدود باشد. در این شرایط، بررسی فرایندهای حاکمیت داده و کنترل کیفیت ارائه‌دهنده یا استفاده از روش‌های جایگزین برای کاهش ریسک اهمیت پیدا می‌کند.
مطالعه مرتبط: آشنایی با حاکمیت داده و اجزای اجرایی آن
۸. شناخت محدودیت‌های توضیح‌پذیری و تأمین شفافیت
مؤسسه مالی باید بداند تا چه اندازه می‌تواند منطق و عوامل مؤثر بر خروجی یک مدل را توضیح دهد. این قابلیت در مدل‌ها متفاوت است و بر نحوه ارزیابی و کنترل آن‌ها اثر می‌گذارد.
در صورت تناسب و امکان، استفاده از مدل توضیح‌پذیرتر توصیه می‌شود. اگر توضیح‌پذیری محدود باشد، مؤسسه باید کنترل‌های جبرانی را بررسی کند؛ اقداماتی که برای کاهش ریسک ناشی از این محدودیت در نظر گرفته می‌شوند. اطلاعات ارائه‌شده به مشتریان، مدیران، ناظران و دیگر ذی‌نفعان نیز باید با نیاز و نقش آن‌ها متناسب باشد.
۹. ارزیابی عملکرد پیش از استقرار و در طول استفاده
ارزیابی عملکرد در زمان راه‌اندازی باید با پایش مستمر دنبال شود. تغییر شرایط واقعی، داده یا خود مدل می‌تواند بر نتایج آن اثر بگذارد.
شیوه ارزیابی به نوع هوش مصنوعی بستگی دارد. در مدل‌های سنتی، معمولاً می‌توان خروجی را با نتیجه واقعی یا هدف مشخص مقایسه کرد. در هوش مصنوعی مولد، ممکن است چند پاسخ قابل قبول وجود داشته باشد و سنجش کیفیت به قضاوت انسانی و معیارهایی مانند انسجام و ارتباط پاسخ نیاز پیدا کند.
برای عامل‌های هوشمند، ارزیابی باید هم نتیجه نهایی و هم مناسب‌بودن اقداماتی را که برای رسیدن به آن انجام شده‌اند، بررسی کند.
۱۰. طراحی نظارت انسانی با امکان مداخله واقعی
ناظر انسانی باید توان، اختیار و انگیزه کافی برای بررسی خروجی و مداخله در عملکرد سامانه داشته باشد. کارکنان باید قابلیت‌ها و محدودیت‌های ابزار را بشناسند و بتوانند درباره پذیرش یا رد پیشنهاد آن تصمیم بگیرند.
شکل نظارت به کاربرد بستگی دارد. در برخی موارد، تأیید هر تصمیم توسط انسان مناسب است. در موارد دیگر، انسان هنگام کاهش اطمینان به پاسخ یا بروز شرایط خاص وارد عمل می‌شود. تعیین حدود اختیار و امکان توقف یا محدودکردن فعالیت سامانه نیز از شکل‌های نظارت هستند.
گزارش به خطر اتکای بیش از حد کارکنان به خروجی هوش مصنوعی توجه دارد. ثبت موارد اصلاح یا رد پیشنهادهای سامانه و بررسی کیفیت تصمیم‌های ناظران، می‌تواند به بهبود نظارت کمک کند.
۱۱. پوشش ریسک‌های سایبری و فناوری اطلاعات
مؤسسات مالی باید تهدیدهای مرتبط با هوش مصنوعی را در مدیریت امنیت سایبری و ریسک فناوری اطلاعات و ارتباطات لحاظ کنند.
در موارد مناسب، سناریوهای مرتبط با هوش مصنوعی باید در آزمون‌ها و تمرین‌های امنیتی گنجانده شوند. اشتراک‌گذاری اطلاعات مرتبط و استفاده از قابلیت‌های هوش مصنوعی برای تقویت دفاع سایبری نیز در این بخش مطرح شده است.
این رویکرد، توان فناوری برای کمک به شناسایی تهدیدها و امکان استفاده مهاجمان از آن برای افزایش سرعت و دامنه حملات را در نظر می‌گیرد.
۱۲. بررسی و مدیریت وابستگی به تأمین‌کنندگان
مؤسسه مالی هنگام استفاده از مدل، زیرساخت یا خدمت بیرونی، همچنان در قبال نتایج استفاده از آن پاسخ‌گوست. ارزیابی تأمین‌کننده باید موضوعاتی مانند عملکرد، شفافیت، کیفیت داده، امنیت و تداوم خدمت را پوشش دهد.
ریسک تمرکز نیز اهمیت دارد؛ برای مثال، وقتی چند خدمت مؤسسه به تعداد محدودی ارائه‌دهنده وابسته می‌شوند، اختلال در یکی از آن‌ها می‌تواند دامنه وسیع‌تری پیدا کند.
گزارش در نمونه‌های اجرایی به ارزیابی مستمر ارائه‌دهندگان، دریافت اطلاعات متناسب با ریسک و درج ملاحظات اختصاصی هوش مصنوعی در قراردادها اشاره می‌کند. نحوه نگهداری داده، اعلام تغییرات سامانه و مسئولیت‌های امنیتی از جمله این ملاحظات هستند.
عامل‌های هوشمند و ضرورت تعیین حدود اختیار
عامل‌های هوشمند (Agentic AI) برای انجام مأموریت خود می‌توانند به ابزارها و سامانه‌های دیگر متصل شوند و مجموعه‌ای از اقدامات را دنبال کنند. دسترسی به ابزارهای تازه یا دریافت دستورهای جدید نیز ممکن است رفتار و قابلیت‌های آن‌ها را تغییر دهد.
این عامل‌ها ممکن است هدف تعیین‌شده را به شیوه‌ای پیش‌بینی‌نشده تفسیر کنند. در نتیجه، احتمال اقدام خارج از محدوده مجاز، افشای اطلاعات یا اختلال در سامانه‌های متصل وجود دارد.
این ویژگی‌ها، اهمیت کنترل دسترسی و تعیین حدود اختیار را افزایش می‌دهند. مؤسسه باید بتواند اقدامات عامل را زیر نظر بگیرد و در صورت لزوم، فعالیت آن را محدود یا متوقف کند. سطح کنترل‌ها نیز باید با حساسیت مأموریت و پیامدهای اقدامات عامل هماهنگ باشد.
استفاده از توصیه‌ها در بازبینی وضعیت مؤسسه
نمونه‌های اجرایی گزارش برای توضیح کاربردها و کنترل‌ها ارائه شده‌اند. نتایج آن‌ها، معیار بازده یا عملکرد مورد انتظار برای همه مؤسسات نیستند. FSB نیز اعلام کرده با تحول فناوری، تحولات را رصد و در صورت نیاز توصیه‌ها را به‌روز خواهد کرد.
بر پایه محورهای گزارش، مؤسسه مالی می‌تواند در بازبینی وضعیت خود این پرسش‌ها را مطرح کند:
- مسئول تصمیم‌گیری و نظارت بر هر کاربرد مشخص است؟
- منشأ، کیفیت و شیوه دسترسی به داده‌های سامانه بررسی شده است؟
- عملکرد مدل پس از استقرار چگونه پایش می‌شود؟
- چه کسی اختیار اصلاح، محدودکردن یا توقف فعالیت سامانه را دارد؟
- در صورت تغییر یا اختلال خدمت تأمین‌کننده، تداوم فعالیت چگونه مدیریت می‌شود؟
این پرسش‌ها جمع‌بندی تحریریه از محورهای گزارش‌اند و فهرست رسمی مستقلی از FSB محسوب نمی‌شوند. پاسخ به آن‌ها می‌تواند مبنایی برای بازبینی کنترل‌ها و تعیین اقدام‌های بعدی باشد.
مطالعه مرتبط: مدیریت و بهره‌برداری از مدل‌های هوش مصنوعی در مقیاس سازمانی
منبع: گزارش نهایی شورای ثبات مالی درباره پذیرش مسئولانه هوش مصنوعی
متن کامل: دریافت گزارش FSB در قالب PDF
