Pemberitahuan Regulasi 24-09 dari FINRA memperjelas bahwa broker-dealer harus menerapkan aturan yang sudah ada saat mereka mulai menggunakan alat AI generatif, dan pemberitahuan tersebut merinci secara tepat apa yang akan dicari oleh pemeriksa.

Pemberitahuan tersebut tidak menciptakan regulasi baru; ia mengingatkan perusahaan bahwa kewajiban pengawasan, komunikasi, privasi, penyimpanan catatan, dan kepentingan terbaik yang sama yang telah mengatur teknologi tradisional kini diperluas ke AI. Petugas kepatuhan harus mengubah tugas-tugas tersebut menjadi proses konkret yang dapat bertahan dalam inspeksi di lokasi.

Mengapa buku aturan yang ada penting bagi AI

Standar pengawasan FINRA—Aturan 3110 (pengawasan umum) dan Aturan 3120 (pengawasan orang-orang terkait)—mensyaratkan sistem yang memantau penerapan AI. Perusahaan memerlukan inventaris dari setiap model yang disetujui, tujuan untuk masing-masing model, dan orang-orang yang berwenang untuk menjalankannya. Meskipun klien tidak pernah melihat hasil buatan AI, penggunaan alat yang tidak disetujui dianggap sebagai kegagalan pengawasan.

Aturan 2210, yang mengatur komunikasi publik, menuntut akurasi dan keadilan. AI generatif dapat mengalami halusinasi fakta atau memalsukan data. Jika sebuah model menghasilkan ringkasan klien dengan angka yang salah, perusahaan melanggar Aturan 2210 saat materi tersebut didistribusikan. Oleh karena itu, pemberitahuan tersebut mewajibkan perusahaan untuk meninjau setiap komunikasi buatan AI sebelum sampai ke tangan klien.

Regulasi S-P melindungi informasi pribadi non-publik. Memasukkan data klien ke dalam layanan AI pihak ketiga berisiko menyebabkan pengungkapan yang tidak disengaja. Perusahaan harus menjaga hambatan informasi tetap utuh dan memverifikasi bahwa praktik penanganan data penyedia AI memenuhi standar regulasi tersebut.

Aturan 4511 mewajibkan pelestarian catatan. Pemberitahuan tersebut memperlakukan output AI itu sendiri sebagai sebuah catatan dan menambahkan bahwa perusahaan juga harus menyimpan prompt yang menghasilkan respons, versi model yang digunakan, serta identitas orang yang menyetujui konten tersebut. Pemeriksa akan meminta rincian tersebut untuk melacak asal-usul suatu pernyataan.

Regulasi BI (Best Interest) menuntut agar setiap rekomendasi yang dibuat atas nama klien dapat dibuktikan demi kepentingan terbaik klien. Ketika sistem AI berkontribusi pada suatu rekomendasi, perusahaan harus menjelaskan logika di balik saran tersebut. Model black-box tidak dapat memenuhi persyaratan explainability (kemampuan untuk dijelaskan) dan berisiko melanggar BI.

Membangun kerangka kerja kepatuhan

Rencana kepatuhan yang praktis harus menangani setiap area aturan yang disoroti dalam pemberitahuan tersebut:

  • Pengawasan – Susun kebijakan yang mencantumkan alat AI yang disetujui, menentukan siapa yang boleh mengaksesnya, dan menguraikan prosedur pemantauan. Sertakan audit berkala terhadap log penggunaan.
  • Akurasi – Tambahkan langkah peninjauan manusia yang wajib untuk setiap komunikasi klien buatan AI. Gunakan daftar periksa untuk memverifikasi kebenaran faktual sebelum dirilis.
  • Privasi data – Lakukan analisis aliran data untuk memastikan bahwa informasi klien tidak pernah meninggalkan lingkungan aman perusahaan tanpa enkripsi dan perlindungan kontraktual yang sesuai.
  • Penyimpanan catatan – Konfigurasikan platform AI untuk menangkap prompt, pengidentifikasi model, dan tanda tangan penyetuju secara otomatis, lalu simpan log tersebut dalam sistem retensi catatan perusahaan yang sudah ada.
  • Kepatuhan kepentingan terbaik – Dokumentasikan logika pendukung keputusan yang diberikan AI untuk setiap rekomendasi, dan simpan narasi yang menghubungkan output model dengan tujuan investasi klien.
  • Manajemen vendor – Terapkan daftar periksa uji tuntas (due-diligence) yang sama seperti yang digunakan untuk penyedia layanan pihak ketiga mana pun: nilai kontrol keamanan vendor, kebijakan privasi data, dan mekanisme penyelesaian sengketa. Ingat, alih daya (outsourcing) tidak mengalihkan tanggung jawab dari broker-dealer.

Pemberitahuan tersebut juga memperingatkan terhadap “AI washing”—melebih-lebihkan kemampuan AI sebuah perusahaan dalam materi pemasaran. Penambahan yang berlebihan seperti itu termasuk dalam larangan komunikasi yang menyesatkan di bawah Aturan 2210.

Kesimpulan: Pemberitahuan FINRA tidak menulis ulang buku aturan, tetapi memaksa broker-dealer untuk menerapkan setiap kewajiban yang ada ke dunia baru AI generatif. Inventaris yang disiplin, peninjauan manusia yang ketat, perlindungan privasi data yang sangat kuat, dan penyimpanan catatan yang menyeluruh adalah kontrol minimal yang diperlukan untuk tetap berada di sisi yang benar di mata regulator.