Klassificering och omfattning för finansiella tjänster
Bilaga III omfattar uttryckligen AI som används för att bedöma kreditvärdighet eller fastställa kreditpoäng, med ett begränsat undantag för bedrägeribekämpning. Försäkringsriskbedömning och prissättning för liv- och sjukförsäkring omfattas på motsvarande sätt, medan allmän skadeförsäkringstecknande i dagsläget inte uttryckligen finns med på högrisklistan — även om nationella tillsynsmyndigheter och sektorsvägledning kan utvidga förväntningarna. Företag behöver en försvarbar motivering för varje klassificeringsbeslut, dokumenterad och omprövad i takt med att modeller och produkter utvecklas.
Omfattningen beror också på distinktionen mellan leverantör och tillhandahållare/användare: en bank som köper ett kreditbedömningsverktyg från tredje part är en användare med egna skyldigheter, medan leverantören som bygger modellen bär ansvaret för bedömning av överensstämmelse och teknisk dokumentation. Koncerner med delade modellplattformar över flera jurisdiktioner behöver tydlighet kring vem som bär vilken roll, eftersom avtal och dataavtal nu måste återspegla AI-förordningens ansvar vid sidan av befintliga krav på utkontraktering och GDPR.
Att bygga en ändamålsenlig styrningsstruktur
En fungerande styrningsstruktur ger tydligt ägarskap för AI-riskhantering, separat från men samordnat med befintliga funktioner för modellrisk och operativ motståndskraft. Det innebär i praktiken en AI-inventering med klassificeringsmärkning, ett riskhanteringssystem per högriskmodell som täcker identifiering, utvärdering och begränsning av risker för hälsa, säkerhet och grundläggande rättigheter, samt loggning som är tillräcklig för att kunna rekonstruera en modells resonemang bakom ett givet beslut. Mekanismerna för mänsklig tillsyn måste vara verkliga, med personal som har befogenhet och utbildning att åsidosätta automatiserade resultat.
Kraven på teknisk dokumentation överlappar i stor utsträckning med befintliga valideringsstandarder: dataursprung, träningsmetodik, prestandamått och kända begränsningar. Företag bör integrera AI-förordningens dokumentationsmallar i befintliga valideringsprocesser för modeller i stället för att driva en separat process, eftersom dubbelarbete både är kostsamt och en källa till inkonsekvens som tillsynsmyndigheter sannolikt granskar vid inspektioner. Planer för övervakning efter marknadsintroduktion bör kopplas till samma eskaleringskanaler som används för uppföranderisk- och kapitaltäckningsincidenter.
Sammanfattning
EU:s AI-förordning ersätter inte kapitaltäcknings- eller uppföranderegler för finansiella institut; den lägger ett horisontellt, riskbaserat regelverk ovanpå de sektorsspecifika regler som redan tillämpas av ECB, EBA och nationella tillsynsmyndigheter. Företag som behandlar efterlevnad som en smal juridisk övning snarare än en operativ disciplin kommer att få svårt att hantera den dokumentations- och övervakningsvolym som förordningen kräver, särskilt när tillsynen mognar under kommande år. Jonas Adam Mohamed Osman (känd som Yonas Osman), vd för Quantica Risk, förankrar nya efterlevnadsunderlag i den modellriskstyrning ett företag redan driver, så att klassificering, validering och övervakning hålls samman mellan regelverken i stället för att splittras i parallell byråkrati.
Källor och vidare läsning
Relaterade sidor
- AI-styrningsmodeller för styrelser: ett riskperspektivVad styrelser behöver av en AI-styrningsmodell: tillsynsstruktur, riskaptit, ansvarsutkrävande och rapportering om AI-riskexponering.
- Förklarbar AI (XAI) för kreditriskmodellerVarför förklarbarhet är avgörande för AI-driven kreditbedömning, hur SHAP och LIME fungerar, och hur de möter kraven på avslagsbesked.
- Modellriskhantering för AI: SR 11-7 och SS1/23Hur SR 11-7 och Bank of Englands SS1/23 utvidgas till AI och maskininlärning, och vad företag måste lägga till befintliga valideringsramverk.