ה-OCC פרסם מסגרת ראשונה לבדיקת סוכני AI בבנקים

משרד המפקח על המטבע בארה״ב, OCC, פרסם ב-4 בנובמבר מסגרת ראשונה שמיועדת לבוחני בנקים הבודקים שימוש ב-AI ובסוכנים אוטונומיים. המסמך חל על בנקים לאומיים, אגודות חיסכון פדרליות וסניפים פדרליים של בנקים זרים שנמצאים בפיקוח המשרד. הוא משתמש במונח Super Intelligence שנקבע בממשל האמריקאי, אבל ההגדרה בפועל כוללת גם מערכות AI רגילות וסוכנים שמבצעים פעולות.

המסגרת אינה חוק חדש ואינה יוצרת דרישות אכיפה נפרדות. ה-OCC מדגיש שבנקים אינם נדרשים להגדיר קטגוריית סיכון מיוחדת ל-AI, והבוחנים אמורים לשלב את השימוש בטכנולוגיה בתוך בדיקות קיימות של סיכון תפעולי, אשראי, ציות, פרטיות וסייבר. Reuters דיווח שזו הפעם הראשונה שהמשרד נותן לבוחנים הנחיה ייעודית כזאת.

הסיכון נקבע לפי הפעולה

העיקרון המרכזי פשוט: הבוחן צריך לבדוק מה המערכת רשאית לעשות ומה עלול לקרות אם היא טועה. סוכן בסיסי שמורשה להעביר כסף יכול לקבל סיווג חמור יותר ממודל מתקדם שמנסח מסמך פנימי. הגורמים שנבדקים כוללים את האפשרות להפוך פעולה, היקף ההרשאות, רגישות הנתונים, הזמן שעובר עד לנקודת ביקורת אנושית והנזק האפשרי ללקוחות, לבנק או לשוק.

המסמך כולל שישה תחומים: מטרה, סיכון, בקרות, פיקוח, התאוששות והבטחה שהבקרות פועלות. תחתיהם מופיעים 16 רכיבים מפורטים. הבנק עשוי להידרש להראות מי רשאי להפעיל את הסוכן, לאילו מערכות הוא מחובר, אילו פעולות דורשות אישור אנושי, כיצד מזהים חריגה מהתפקיד ומי יכול להשעות את המערכת. ה-OCC מציין גם קצבי פעולה, הגבלת הרשאות, מתגי עצירה, רישום פעולות ובדיקות חוזרות כאמצעים אפשריים.

גם סוכן חיצוני נכנס לתמונה

נקודה חשובה לבנקים ולחברות פינטק היא ההתייחסות לסוכנים שמגיעים מחוץ לבנק. לקוח, ספק או שירות מסחר אוטומטי עשויים לבקש גישה לחשבון דרך ערוץ קיים. המסגרת מציעה לבחון זהות, מקור, האצלת סמכות, מגבלות מהירות, טיפול במחלוקות ויכולת לבטל את ההרשאה. האחריות לניהול הסיכון נשארת אצל הבנק גם כאשר המודל או שירות האירוח מגיעים מספק חיצוני.

מבחינה מעשית, בנק שמפעיל סוכני AI יצטרך להחזיק רשימה עדכנית של שימושים, הרשאות, בעלי תפקידים, ספקים וגרסאות. תיעוד של ניסוי מוצלח אחד לא יספיק למערכת שמשתנה או מפיקה תשובות שונות לאותה בקשה. המסמך מכוון לבדיקה חוזרת, דגימה בייצור, מעקב אחרי שינויים אצל הספק ותרגול של השעיה, שחזור ותיקון נזק ללקוח.

עדיין לא ידוע כיצד בוחני OCC יישמו את המסגרת בבדיקות אמיתיות, באיזו תדירות היא תעודכן ואילו ממצאים ידרשו שינוי בפועל. המשרד אומר שהבדיקה תותאם לגודל ולמורכבות של כל בנק, כולל בנקים קהילתיים. לכן זהו מסמך פיקוח שימושי ומפורט, אך המשקל המעשי שלו יתברר רק לאחר סבב הבחינות הראשון.