2. 金融AI治理基础

金融行业对AI的采用并非“要不要用”的问题，而是“用到哪里、以什么边界用、由谁负责”的问题。理解金融AI治理，必须先看清AI在金融业务中的真实落点，再识别这些落点带来的风险类型，最后才能理解治理的定义与监管趋势。本节围绕这四个层次展开，为后续控制矩阵与证据留痕建立共同语言。

一、AI在金融业的核心应用场景

金融AI的应用可按“客户交互—决策支持—运营自动化—风险与合规”四条主线归类。不同主线对模型可解释性、实时性和监管敏感度的要求差异显著。

• 客户交互层：智能客服、语音机器人、智能投顾、个性化产品推荐。特点是高频、面向客户、易产生误导性表述。
• 决策支持层：信贷审批评分、反欺诈识别、保险定价与核保、量化交易信号。特点是直接影响资金与客户权益，属于高监管敏感区。
• 运营自动化层：单据OCR识别、合同要素抽取、KYC资料核验、对账与清算辅助。特点是替代重复劳动，错误会批量传导。
• 风险与合规层：可疑交易监测、市场风险预警、合规文本审查、内部审计线索发现。特点是模型输出常作为监管报送或处置依据。

二、主要风险类型：从模型到组织

金融AI风险不是单一的技术风险，而是模型、数据、业务、合规与组织风险的交织。常见类型如下：

这些风险往往同时出现。例如模型漂移会先表现为模型风险，进而引发合规风险和声誉风险。因此治理不能按风险类型各自为政，而需要统一的责任与证据机制。

三、治理定义：从“管模型”到“管责任链”

金融AI治理，是指围绕AI系统的全生命周期，明确决策权、责任归属、控制措施与证据留存的一整套制度与技术安排。它的核心不是让AI“更聪明”，而是让AI的使用“可解释、可控制、可追责、可审计”。

治理的四个基本问题可以概括为：

1. 谁批准：模型上线、变更、下线由谁审批，审批依据是什么。
2. 谁执行：数据准备、训练、验证、部署、监控分别由哪个角色负责。
3. 谁监督：独立验证、内部审计、合规审查如何介入。
4. 留什么证据：每个关键动作留下什么记录，保存多久，如何检索。

四、监管趋势：从原则倡导到可验证要求

全球金融AI监管正从“原则倡导”走向“可验证、可审计、可追责”。主要趋势包括：

• 风险分级分类：按场景敏感度设定不同强度的治理要求，高敏感场景需人工复核与可解释输出。
• 全生命周期管理：覆盖设计、开发、验证、部署、监控、退出的每个阶段。
• 算法可解释与公平性：要求对信贷、保险等场景提供特征重要性与偏差评估。
• 第三方与外包责任：机构对采购模型仍负最终责任，需保留审计权。
• 证据留痕与可追溯：监管检查时能提供版本、参数、审批、监控与处置记录。

下图展示金融AI治理的责任链与证据流：从业务场景出发，经过风险识别、控制措施、责任角色，最终落到证据留痕与监管检查。

五、常见误区与复盘要点

在治理落地过程中，机构常陷入以下误区：

• 把治理等同于技术合规：只关注模型指标，忽略审批、责任与证据。
• 先上线后补治理：导致历史版本、参数和审批记录缺失，无法追溯。
• 证据留痕形式化：只保存最终报告，不保存中间决策与变更原因。
• 第三方模型免责幻想：认为采购模型出问题由供应商负责，忽视机构最终责任。