Notis Kawal Selia 24-09 FINRA menjelaskan bahawa broker-dealer mesti melaksanakan peraturan sedia ada apabila mereka mula menggunakan alatan AI generatif, dan ia memperincikan dengan tepat apa yang akan diperiksa oleh pemeriksa.

Notis tersebut tidak mewujudkan peraturan baharu; ia mengingatkan firma bahawa kewajipan penyeliaan, komunikasi, privasi, penyimpanan rekod dan kepentingan terbaik yang sama yang telah mengawal teknologi tradisional kini diperluaskan kepada AI. Pegawai pematuhan mesti menukarkan tugas-tugas tersebut kepada proses konkrit yang mampu melepasi pemeriksaan di tapak.

Mengapa buku peraturan sedia ada penting untuk AI

Piawaian penyeliaan FINRA—Peraturan 3110 (penyeliaan am) dan Peraturan 3120 (penyeliaan orang yang berkaitan)—memerlukan sistem yang memantau penggunaan AI. Firma memerlukan inventori bagi setiap model yang diluluskan, tujuan bagi setiap satu, dan individu yang diberi kuasa untuk menjalankannya. Walaupun pelanggan tidak pernah melihat output yang dihasilkan oleh AI, penggunaan alatan yang tidak diluluskan dianggap sebagai kegagalan penyeliaan.

Peraturan 2210, yang mengawal komunikasi awam, menuntut ketepatan dan keadilan. AI generatif boleh mengalami halusinasi fakta atau memalsukan data. Jika sesuatu model menghasilkan ringkasan pelanggan dengan angka yang salah, firma tersebut melanggar Peraturan 2210 sebaik sahaja bahan tersebut diedarkan. Oleh itu, notis tersebut mewajibkan firma untuk menyemak setiap komunikasi yang dihasilkan oleh AI sebelum ia sampai kepada pelanggan.

Peraturan S-P melindungi maklumat peribadi bukan awam. Memasukkan data pelanggan ke dalam perkhidmatan AI pihak ketiga berisiko menyebabkan pendedahan yang tidak disengajakan. Firma mesti mengekalkan halangan maklumat (information barriers) dengan utuh dan mengesahkan bahawa amalan pengendalian data penyedia AI memenuhi piawaian peraturan tersebut.

Peraturan 4511 memerlukan pemeliharaan rekod. Notis tersebut menganggap output AI itu sendiri sebagai satu rekod dan menambah bahawa firma juga harus menyimpan arahan (prompt) yang menghasilkan respons tersebut, versi model yang digunakan, dan identiti individu yang meluluskan kandungan tersebut. Pemeriksa akan meminta butiran tersebut untuk mengesan asal-usul sesuatu kenyataan.

Peraturan BI (Kepentingan Terbaik) menuntut agar sebarang cadangan yang dibuat bagi pihak pelanggan dapat dibuktikan demi kepentingan terbaik pelanggan. Apabila sistem AI menyumbang kepada sesuatu cadangan, firma mesti menjelaskan logik di sebalik cadangan tersebut. Model "black-box" tidak dapat memenuhi keperluan "kebolehjelasan" (explainability) dan berisiko menyebabkan pelanggaran BI.

Membina rangka kerja pematuhan

Pelan pematuhan yang praktikal harus menangani setiap bidang peraturan yang diketengahkan dalam notis tersebut:

  • Penyeliaan – Draf polisi yang menyenaraikan alatan AI yang diluluskan, menetapkan siapa yang boleh mengaksesnya, dan menggariskan prosedur pemantauan. Sertakan audit berkala terhadap log penggunaan.
  • Ketepatan – Tambah langkah semakan manusia yang wajib bagi sebarang komunikasi pelanggan yang dihasilkan oleh AI. Gunakan senarai semak untuk mengesahkan ketepatan fakta sebelum diterbitkan.
  • Privasi data – Jalankan analisis aliran data untuk mengesahkan bahawa maklumat pelanggan tidak pernah meninggalkan persekitaran selamat firma tanpa penyulitan (encryption) dan perlindungan kontrak yang sewajarnya.
  • Penyimpanan rekod – Konfigurasikan platform AI untuk menangkap arahan (prompt), pengenal pasti model, dan tandatangan pelulus secara automatik, kemudian simpan log tersebut dalam sistem pengekalan rekod sedia ada firma.
  • Pematuhan kepentingan terbaik – Dokumentasikan logik sokongan keputusan yang disediakan oleh AI bagi setiap cadangan, dan simpan naratif yang menghubungkan output model dengan objektif pelaburan pelanggan.
  • Pengurusan vendor – Gunakan senarai semak usaha wajar (due-diligence) yang sama seperti yang digunakan untuk mana-mana penyedia perkhidmatan pihak ketiga: nilai kawalan keselamatan vendor, polisi privasi data, dan mekanisme penyelesaian pertikaian. Ingat, penyumberan luar (outsourcing) tidak mengalihkan tanggungjawab daripada broker-dealer.

Notis tersebut juga memberi amaran terhadap “AI washing”—melebih-lebihkan keupayaan AI sesebuah firma dalam bahan pemasaran. Perbuatan memperindahkan fakta sedemikian jatuh secara langsung di bawah larangan Peraturan 2210 terhadap komunikasi yang mengelirukan.

Rumusan: Notis FINRA tidak menulis semula buku peraturan, tetapi ia memaksa broker-dealer untuk melaksanakan setiap kewajipan sedia ada ke dalam dunia AI generatif yang baharu. Inventori yang berdisiplin, semakan manusia yang ketat, perlindungan privasi data yang kukuh, dan penyimpanan rekod yang menyeluruh adalah kawalan minimum yang diperlukan untuk kekal mematuhi peraturan pengawal selia.