Az új amerikai banki útmutató kizárja az LLM-eket a modellkockázati szabályokból

Új szabály váltotta fel a korábbi útmutatót

Az SR 26-2, teljes nevén Revised Guidance on Model Risk Management, a Federal Reserve, az Office of the Comptroller of the Currency (OCC) és a Federal Deposit Insurance Corporation (FDIC) közös felügyeleti útmutatója. A dokumentum 2026. április 17-én jelent meg, és felváltotta a 2011-es SR 11-7-et, valamint a Bank Secrecy Act és a pénzmosás elleni rendszerek modellkockázat-kezeléséről szóló, 2021-es SR 21-8-at.

Az új szöveg megtartja a modellfejlesztés, a bevezetés és használat, az ellenőrzés, valamint az irányítás életciklusát. A korábbi, részletesen előíró megközelítés helyett azonban kockázatalapú működést ír le. Az egyes gyakorlatok szigorúságát a modell lényegességéhez és a bank működésének összetettségéhez kell igazítani. Az útmutató nem határoz meg kötelező kategóriarendszert, ezért a bankoknak saját modellkockázati besorolásukat és annak indoklását kell dokumentálniuk.

Az SR 26-2 kimondja, hogy nem állapít meg kikényszeríthető standardokat vagy előíró követelményeket. A dokumentum be nem tartása önmagában nem vezet felügyeleti kritikához, ugyanakkor a jogsértésekből vagy nem biztonságos működésből eredő modellkockázat továbbra is felügyeleti intézkedést válthat ki.

A generatív és ügynöki AI kimarad a hatályból

Az útmutató szűkebben határozza meg a modellt, mint az SR 11-7. Olyan összetett, mennyiségi módszereket, rendszereket vagy megközelítéseket sorol ide, amelyek statisztikai, gazdasági vagy pénzügyi elméleteket használnak bemeneti adatok mennyiségi becslésekké alakítására. Az egyszerű számtani számítások, a determinisztikus szabályalapú folyamatok és az ilyen elméletekre nem épülő szoftverek kívül esnek ezen a meghatározáson.

Az útmutató harmadik lábjegyzete külön is rögzíti, hogy a generatív és az ügynöki AI-modellek nem tartoznak a dokumentum hatálya alá. A bankoknak ugyanakkor saját kockázatkezelési és irányítási gyakorlataik alapján kell meghatározniuk az ezekhez szükséges kontrollokat. A nem generatív és nem ügynöki AI-modellek továbbra is az útmutató elvei alá tartoznak.

Ez alapján egy gradiensfokozó hitelbírálati modell az útmutató hatályán belül marad, egy ügyfélszolgálati, alapmodellre épülő ügynök vagy dokumentum-összefoglaló LLM-alkalmazás viszont alapértelmezés szerint kívül esik rajta. Jerome Powell helyett a forrásban idézett Federal Reserve-alelnök, Michelle Bowman szerint az útmutató most szűken a hagyományos modellekre és az alapvető AI-alkalmazásokra vonatkozik, a bankok pedig meglévő kockázatkezelési kereteiket használják az AI kezelésére.

A bankoknak saját kontrollokat kell kialakítaniuk

A Fiddler AI értelmezése szerint a generatív AI és az ügynöki rendszerek fennmaradó kockázatát sok bank saját AI-irányítási programjához rendelheti. Ehhez írásban kell rögzíteni, hogy mely rendszereket fedi le a modellkockázati, és melyeket az AI-irányítási szabályzat, valamint ki hagyja jóvá a rendszert akkor, ha az egyik kategóriából a másikba kerül.

A szervezetnek akkor is felelőssége marad a modell ellenőrzése és folyamatos figyelése, ha külső szolgáltatótól vásárolja azt, vagy a szolgáltató nem ad hozzáférést a kódhoz, az adatokhoz és a módszertanhoz. A szolgáltató saját biztosítéka önmagában nem elegendő, a banknak saját maga vagy külső fél bevonásával kell validálnia és monitoroznia a modellt.

A folyamatos ellenőrzés jelentőségét a forrás egy ügyfélszolgálati ügynök példájával szemlélteti. Egy márciusi bevezetés előtti vizsgálat után a modell szolgáltatója júniusban frissítést ad ki, az ügynök pedig egy korábban visszavont díjmentességi szabályt kezd idézni. A bank azért nem észleli a változást, mert az ellenőrzést egyszeri eseményként kezelte. A forrás a GPT-4 egyik mérését is idézi, amely szerint a prímszám-feladat pontossága a 2023. márciusi és júniusi verzió között 84,0 százalékról 51,1 százalékra csökkent.

Az útmutató a 30 milliárd dollárnál nagyobb eszközállománnyal rendelkező bankoknál a leginkább releváns. A FDIC szerint általában nem vonatkozik az ennél kisebb intézményekre, kivéve, ha jelentős modellkockázati kitettségük van. Az OCC közlése szerint a felügyeletek később információkérést terveznek a modellkockázat-kezelésről és a bankok AI-használatáról, beleértve a generatív és ügynöki AI-t is.