FINRA యొక్క రెగ్యులేటరీ నోటీసు 24-09, బ్రోకర్-డీలర్లు జనరేటివ్-AI సాధనాలను ఉపయోగించడం ప్రారంభించినప్పుడు తమ ప్రస్తుత నిబంధనలను తప్పనిసరిగా వర్తింపజేయాలని స్పష్టం చేస్తోంది, మరియు తనిఖీదారులు (examiners) ఖచ్చితంగా దేనిని వెతుకుతారో ఇది వివరిస్తుంది.

ఈ నోటీసు కొత్త నిబంధనలను సృష్టించడం లేదు; సాంప్రదాయ సాంకేతికతను నియంత్రించే అదే పర్యవేక్షణ (supervisory), కమ్యూనికేషన్, గోప్యత (privacy), రికార్డ్-కీపింగ్ మరియు ఉత్తమ ప్రయోజన (best-interest) బాధ్యతలు ఇప్పుడు AIకి కూడా వర్తిస్తాయని ఇది సంస్థలకు గుర్తు చేస్తుంది. కంప్లయన్స్ ఆఫీసర్లు ఆ విధులు ఆన్-సైట్ తనిఖీలో నిలబడేలా వాటిని స్పష్టమైన ప్రక్రియలుగా మార్చాలి.

AI కోసం ప్రస్తుత నిబంధనల పుస్తకం ఎందుకు ముఖ్యమైనది

FINRA యొక్క పర్యవేక్షణ ప్రమాణాలు—Rule 3110 (సాధారణ పర్యవేక్షణ) మరియు Rule 3120 (అసోసియేటెడ్ వ్యక్తుల పర్యవేక్షణ)—AI వినియోగాన్ని పర్యవేక్షించే వ్యవస్థను కోరుతాయి. సంస్థలు ప్రతి ఆమోదించబడిన మోడల్ యొక్క జాబితా (inventory), దాని ఉద్దేశ్యం మరియు వాటిని నడపడానికి అధికారం ఉన్న వ్యక్తుల వివరాలను కలిగి ఉండాలి. క్లయింట్ ఎప్పుడూ AI-జనరేటెడ్ అవుట్‌పుట్‌ను చూడకపోయినా, ఆమోదించబడని సాధనాన్ని ఉపయోగించడం పర్యవేక్షణ వైఫల్యంగా పరిగణించబడుతుంది.

పబ్లిక్ కమ్యూనికేషన్లను నియంత్రించే Rule 2210, ఖచ్చితత్వం మరియు నిష్పాక్షికతను కోరుతుంది. జనరేటివ్-AI వాస్తవాలను తప్పుగా చూపవచ్చు (hallucinate) లేదా డేటాను సృష్టించవచ్చు (fabricate). ఒక మోడల్ తప్పు సంఖ్యలతో క్లయింట్ సమ్మరీని అందిస్తే, ఆ సమాచారం పంపిణీ చేయబడిన వెంటనే సంస్థ Rule 2210ను ఉల్లంఘించినట్లు అవుతుంది. అందువల్ల, ప్రతి AI-జనరేటెడ్ కమ్యూనికేషన్ క్లయింట్‌కు చేరకముందే దానిని సమీక్షించాలని ఈ నోటీసు సంస్థలను ఆదేశిస్తుంది.

Regulation S-P బహిరంగం కాని వ్యక్తిగత సమాచారాన్ని రక్షిస్తుంది. క్లయింట్ డేటాను థర్డ్-పార్టీ AI సర్వీస్‌లోకి పంపడం వల్ల తెలియకుండానే సమాచారం బయటపడే ప్రమాదం ఉంది. సంస్థలు సమాచార అడ్డంకులను (information barriers) పటిష్టంగా ఉంచాలి మరియు AI ప్రొవైడర్ యొక్క డేటా-హ్యాండ్లింగ్ పద్ధతులు నిబంధనల ప్రమాణాలకు అనుగుణంగా ఉన్నాయని నిర్ధారించుకోవాలి.

Rule 4511 రికార్డుల నిల్వను (record preservation) కోరుతుంది. ఈ నోటీసు AI అవుట్‌పుట్‌ను ఒక రికార్డుగా పరిగణిస్తుంది మరియు ప్రతిస్పందనను రూపొందించిన ప్రాంప్ట్ (prompt), ఉపయోగించిన మోడల్ వెర్షన్ మరియు కంటెంట్‌ను ఆమోదించిన వ్యక్తి యొక్క వివరాలను కూడా సంస్థలు భద్రపరచాలని పేర్కొంది. ఒక స్టేట్‌మెంట్ యొక్క మూలాన్ని గుర్తించడానికి తనిఖీదారులు ఆ వివరాలను అడుగుతారు.

Regulation BI (Best Interest) ప్రకారం, క్లయింట్ తరపున చేసే ఏ సిఫార్సు అయినా క్లయింట్ యొక్క ఉత్తమ ప్రయోజనంలో ఉందని నిరూపించబడాలి. ఒక AI వ్యవస్థ సిఫార్సులో భాగమైనప్పుడు, ఆ సూచన వెనుక ఉన్న తర్కాన్ని (logic) సంస్థ వివరించాలి. 'బ్లాక్-బాక్స్' మోడల్ "వివరణాత్మకత" (explainability) అవసరాన్ని తీర్చలేదు మరియు ఇది BI ఉల్లంఘనకు దారితీసే ప్రమాదం ఉంది.

కంప్లయన్స్ ఫ్రేమ్‌వర్క్‌ను నిర్మించడం

ఒక ఆచరణాత్మక కంప్లయన్స్ ప్లాన్ నోటీసులో పేర్కొన్న ప్రతి నిబంధన అంశాన్ని పరిష్కరించాలి:

  • Supervision (పర్యవేక్షణ) – ఆమోదించబడిన AI సాధనాల జాబితాను రూపొందించే విధానాన్ని (policy) సిద్ధం చేయండి, వాటిని ఎవరు ఉపయోగించవచ్చో నిర్వచించండి మరియు పర్యవేక్షణ విధానాలను రూపొందించండి. వినియోగ లాగ్‌ల (usage logs) యొక్క క్రమానుగత ఆడిట్‌లను కూడా చేర్చండి.
  • Accuracy (ఖచ్చితత్వం) – AI-జనరేటెడ్ క్లయింట్ కమ్యూనికేషన్‌కు తప్పనిసరి మానవ-సమీక్షా (human-review) దశను జోడించండి. సమాచారాన్ని విడుదల చేసే ముందు వాస్తవాల సరైనతను ధృవీకరించడానికి చెక్‌లిస్ట్‌ను ఉపయోగించండి.
  • Data privacy (డేటా గోప్యత) – ఎన్‌క్రిప్షన్ మరియు తగిన ఒప్పంద రక్షణలు లేకుండా క్లయింట్ సమాచారం సంస్థ యొక్క సురక్షిత వాతావరణం నుండి బయటకు వెళ్లదని నిర్ధారించుకోవడానికి డేటా-ఫ్లో విశ్లేషణను నిర్వహించండి.
  • Recordkeeping (రికార్డ్-కీపింగ్) – ప్రాంప్ట్‌లు, మోడల్ ఐడెంటిఫైయర్‌లు మరియు ఆమోదించే సంతకాలను స్వయంచాలకంగా క్యాప్చర్ చేసేలా AI ప్లాట్‌ఫారమ్‌ను కాన్ఫిగర్ చేయండి, ఆపై ఆ లాగ్‌లను సంస్థ యొక్క ప్రస్తుత రికార్డ్-రిటెన్షన్ సిస్టమ్‌లో నిల్వ చేయండి.
  • Best-interest compliance (ఉత్తమ ప్రయోజన కంప్లయన్స్) – ప్రతి సిఫార్సు కోసం AI అందించే నిర్ణయ-సహాయక తర్కాన్ని (decision-support logic) డాక్యుమెంట్ చేయండి మరియు మోడల్ అవుట్‌పుట్‌ను క్లయింట్ యొక్క పెట్టుబడి లక్ష్యాలతో అనుసంధానించే వివరణను భద్రపరచండి.
  • Vendor management (వెండర్ మేనేజ్‌మెంట్) – ఏవైనా థర్డ్-పార్టీ సర్వీస్ ప్రొవైడర్ కోసం ఉపయోగించే అదే due-diligence చెక్‌లిస్ట్‌ను వర్తింపజేయండి: వెండర్ యొక్క సెక్యూరిటీ కంట్రోల్స్, డేటా-ప్రైవసీ పాలసీలు మరియు వివాద పరిష్కార యంత్రాంగాలను (dispute-resolution mechanisms) అంచనా వేయండి. గుర్తుంచుకోండి, అవుట్‌సోర్సింగ్ చేయడం వల్ల బ్రోకర్-డీలర్ యొక్క బాధ్యత తగ్గిపోదు.

మార్కెటింగ్ మెటీరియల్స్‌లో సంస్థ యొక్క AI సామర్థ్యాలను అతిశయోక్తిగా చెప్పే "AI washing" గురించి కూడా ఈ నోటీసు హెచ్చరిస్తోంది. ఇటువంటి అతిశయోక్తులు తప్పుదారి పట్టించే కమ్యూనికేషన్‌లపై Rule 2210 యొక్క నిషేధ పరిధిలోకి వస్తాయి.

ముఖ్య అంశం (Takeaway): FINRA నోటీసు నిబంధనల పుస్తకాన్ని తిరిగి రాయడం లేదు, కానీ జనరేటివ్ AI యొక్క కొత్త ప్రపంచానికి ప్రతి ప్రస్తుత బాధ్యతను వర్తింపజేయాలని బ్రోకర్-డీలర్లను ఇది ఒత్తిడి చేస్తుంది. నియంత్రణ సంస్థ (regulator) దృష్టిలో సరైన పక్షాన ఉండటానికి క్రమబద్ధమైన ఇన్వెంటరీ, కఠినమైన మానవ సమీక్ష, పటిష్టమైన డేటా-ప్రైవసీ రక్షణలు మరియు సమగ్రమైన రికార్డ్-కీపింగ్ అనేవి అవసరమైన కనీస నియంత్రణలు.