Регуляторное уведомление FINRA 24-09 четко указывает на то, что брокеры-дилеры должны применять свои существующие правила при начале использования инструментов генеративного ИИ, и в нем подробно разъясняется, на что именно будут обращать внимание инспекторы.

Уведомление не вводит новых правил; оно напоминает фирмам, что те же обязательства по надзору, коммуникации, конфиденциальности, ведению учета и обеспечению наилучших интересов, которые регулировали традиционные технологии, теперь распространяются и на ИИ. Сотрудники по комплаенсу должны превратить эти обязанности в конкретные процессы, способные выдержать проверку на месте.

Почему существующая нормативная база важна для ИИ

Стандарты надзора FINRA — Правило 3110 (общий надзор) и Правило 3120 (надзор за ассоциированными лицами) — требуют наличия системы, которая отслеживает внедрение ИИ. Фирмам необходим реестр каждой утвержденной модели, описание цели использования каждой из них и список лиц, уполномоченных ими управлять. Даже если клиент никогда не видит результат работы ИИ, использование неутвержденного инструмента считается нарушением надзора.

Правило 2210, регулирующее публичные коммуникации, требует точности и справедливости. Генеративный ИИ может «галлюцинировать» фактами или фальсифицировать данные. Если модель выдает резюме для клиента с неверными цифрами, фирма нарушает Правило 2210 в тот самый момент, когда материал распространяется. Таким образом, уведомление обязывает фирмы проверять каждое сообщение, созданное ИИ, прежде чем оно попадет к клиенту.

Регламент S-P защищает непубличную персональную информацию. Передача клиентских данных стороннему ИИ-сервису создает риск непреднамеренного разглашения. Фирмы должны сохранять целостность информационных барьеров и проверять, соответствуют ли методы обработки данных поставщика ИИ стандартам регламента.

Правило 4511 требует сохранения записей. В уведомлении результат работы ИИ рассматривается как запись, и также добавляется, что фирмы должны сохранять промпт, сгенерировавший ответ, использованную версию модели и данные лица, утвердившего контент. Инспекторы будут запрашивать эти детали, чтобы отследить происхождение заявления.

Регламент BI (Best Interest — наилучшие интересы) требует, чтобы любая рекомендация, сделанная от имени клиента, была доказуемо выгодной для клиента. Если ИИ-система участвует в формировании рекомендации, фирма должна объяснить логику, стоящую за предложением. Модель типа «черный ящик» не может удовлетворить требованию «объяснимости» (explainability) и создает риск нарушения регламента BI.

Создание системы комплаенса

Практический план комплаенса должен охватывать каждую область правил, выделенную в уведомлении:

  • Надзор – Разработайте политику, в которой перечислены утвержденные инструменты ИИ, определено, кто может иметь к ним доступ, и описаны процедуры мониторинга. Включите периодические аудиты журналов использования.
  • Точность – Добавьте обязательный этап проверки человеком любого сообщения для клиентов, созданного ИИ. Используйте контрольный список для проверки фактической правильности перед публикацией.
  • Конфиденциальность данных – Проведите анализ потоков данных, чтобы подтвердить, что клиентская информация никогда не покидает защищенную среду фирмы без шифрования и соответствующих договорных гарантий.
  • Ведение учета – Настройте ИИ-платформу для автоматического сохранения промптов, идентификаторов моделей и подписей лиц, утвердивших контент, а затем сохраняйте эти журналы в существующей системе хранения записей фирмы.
  • Соблюдение принципа наилучших интересов – Документируйте логику поддержки принятия решений, которую ИИ предоставляет для каждой рекомендации, и сохраняйте пояснение, связывающее результат работы модели с инвестиционными целями клиента.
  • Управление поставщиками – Применяйте тот же контрольный список комплексной проверки (due diligence), который используется для любого стороннего поставщика услуг: оценивайте средства контроля безопасности поставщика, политику конфиденциальности данных и механизмы разрешения споров. Помните, что аутсорсинг не снимает ответственности с брокера-дилера.

Уведомление также предостерегает от «AI washing» — преувеличения возможностей ИИ фирмы в маркетинговых материалах. Подобные приукрашивания подпадают под прямой запрет Правила 2210 на вводящие в заблуждение коммуникации.

Итог: Уведомление FINRA не переписывает правила, но оно заставляет брокеров-дилеров применять каждое существующее обязательство к новому миру генеративного ИИ. Дисциплинированный учет, тщательная проверка человеком, надежные меры защиты конфиденциальности данных и детальное ведение учета — это минимальный набор мер контроля, необходимый для соблюдения требований регулятора.