Thông báo Quy định 24-09 của FINRA nêu rõ rằng các công ty môi giới-tự doanh (broker-dealers) phải áp dụng các quy tắc hiện hành khi bắt đầu sử dụng các công cụ AI tạo sinh (generative AI), đồng thời chỉ rõ chính xác những gì các thanh tra viên sẽ kiểm tra.

Thông báo này không tạo ra các quy định mới; nó nhắc nhở các công ty rằng các nghĩa vụ về giám sát, truyền thông, quyền riêng tư, lưu trữ hồ sơ và lợi ích tốt nhất vốn đã điều chỉnh các công nghệ truyền thống thì nay cũng áp dụng cho AI. Các cán bộ tuân thủ (compliance officers) phải chuyển đổi các nhiệm vụ đó thành các quy trình cụ thể để có thể vượt qua các đợt kiểm tra tại chỗ.

Tại sao bộ quy tắc hiện hành lại quan trọng đối với AI

Các tiêu chuẩn giám sát của FINRA—Quy tắc 3110 (giám sát chung) và Quy tắc 3120 (giám sát các cá nhân liên kết)—yêu cầu một hệ thống có khả năng theo dõi việc triển khai AI. Các công ty cần có danh mục kiểm kê mọi mô hình đã được phê duyệt, mục đích của từng mô hình và những người được ủy quyền vận hành chúng. Ngay cả khi khách hàng không bao giờ nhìn thấy kết quả do AI tạo ra, việc sử dụng một công cụ chưa được phê duyệt vẫn được coi là một lỗi vi phạm giám sát.

Quy tắc 2210, quy định về truyền thông công khai, yêu cầu tính chính xác và công bằng. AI tạo sinh có thể gặp hiện tượng "ảo giác" (hallucinate) về các sự thật hoặc bịa đặt dữ liệu. Nếu một mô hình tạo ra bản tóm tắt cho khách hàng với các con số sai lệch, công ty sẽ vi phạm Quy tắc 2210 ngay khi tài liệu đó được phân phối. Do đó, thông báo buộc các công ty phải xem xét mọi nội dung truyền thông do AI tạo ra trước khi gửi tới khách hàng.

Quy định S-P bảo vệ thông tin cá nhân không công khai. Việc đưa dữ liệu khách hàng vào một dịch vụ AI của bên thứ ba có nguy cơ dẫn đến tiết lộ thông tin ngoài ý muốn. Các công ty phải duy trì nguyên vẹn các rào cản thông tin (information barriers) và xác minh rằng các thực hành xử lý dữ liệu của nhà cung cấp AI đáp ứng các tiêu chuẩn của quy định.

Quy tắc 4511 yêu cầu bảo tồn hồ sơ. Thông báo coi chính kết quả đầu ra của AI là một hồ sơ và bổ sung thêm rằng các công ty cũng nên lưu giữ câu lệnh (prompt) đã tạo ra phản hồi, phiên bản mô hình được sử dụng và danh tính của người đã phê duyệt nội dung. Các thanh tra viên sẽ yêu cầu những chi tiết này để truy xuất nguồn gốc của một tuyên bố.

Quy định BI (Lợi ích tốt nhất) yêu cầu bất kỳ khuyến nghị nào được đưa ra thay mặt cho khách hàng đều phải chứng minh được là vì lợi ích tốt nhất của khách hàng. Khi một hệ thống AI đóng góp vào một khuyến nghị, công ty phải giải thích được logic đằng sau gợi ý đó. Một mô hình "hộp đen" (black-box model) không thể đáp ứng yêu cầu về "tính có thể giải thích được" (explainability) và có nguy cơ vi phạm quy định BI.

Xây dựng khung tuân thủ

Một kế hoạch tuân thủ thực tế nên giải quyết từng lĩnh vực quy tắc được nêu bật trong thông báo:

  • Giám sát – Soạn thảo chính sách liệt kê các công cụ AI đã được phê duyệt, xác định ai có quyền truy cập và phác thảo các quy trình giám sát. Bao gồm cả việc kiểm tra định kỳ các nhật ký sử dụng (usage logs).
  • Tính chính xác – Thêm bước xem xét bắt buộc bởi con người đối với bất kỳ nội dung truyền thông nào cho khách hàng do AI tạo ra. Sử dụng danh sách kiểm tra (checklist) để xác minh tính chính xác của sự thật trước khi phát hành.
  • Quyền riêng tư dữ liệu – Thực hiện phân tích luồng dữ liệu để xác nhận rằng thông tin khách hàng không bao giờ rời khỏi môi trường bảo mật của công ty mà không có mã hóa và các biện pháp bảo vệ hợp đồng thích hợp.
  • Lưu trữ hồ sơ – Cấu hình nền tảng AI để tự động ghi lại các câu lệnh (prompts), mã định danh mô hình và chữ ký của người phê duyệt, sau đó lưu trữ các nhật ký đó vào hệ thống lưu trữ hồ sơ hiện có của công ty.
  • Tuân thủ lợi ích tốt nhất – Ghi lại logic hỗ trợ quyết định mà AI cung cấp cho mỗi khuyến nghị, và lưu giữ một bản tường thuật liên kết kết quả đầu ra của mô hình với các mục tiêu đầu tư của khách hàng.
  • Quản lý nhà cung cấp – Áp dụng cùng một danh sách kiểm tra thẩm định (due-diligence) được sử dụng cho bất kỳ nhà cung cấp dịch vụ bên thứ ba nào: đánh giá các kiểm soát bảo mật, chính sách quyền riêng tư dữ liệu và cơ chế giải quyết tranh chấp của nhà cung cấp. Hãy nhớ rằng, việc thuê ngoài không làm chuyển dịch trách nhiệm khỏi công ty môi giới-tự doanh.

Thông báo cũng cảnh báo về tình trạng “AI washing”—việc thổi phồng khả năng AI của một công ty trong các tài liệu tiếp thị. Những sự tô vẽ như vậy vi phạm trực tiếp lệnh cấm của Quy tắc 2210 đối với các truyền thông gây hiểu lầm.

Bài học rút ra: Thông báo của FINRA không viết lại bộ quy tắc, nhưng nó buộc các công ty môi giới-tự doanh phải áp dụng mọi nghĩa vụ hiện có vào thế giới mới của AI tạo sinh. Việc kiểm kê có kỷ luật, xem xét kỹ lưỡng bởi con người, các biện pháp bảo vệ quyền riêng tư dữ liệu chặt chẽ và lưu trữ hồ sơ đầy đủ là những kiểm soát tối thiểu cần thiết để luôn tuân thủ đúng quy định của cơ quan quản lý.