银行保险业AI应用“32条红线”出台：金融AI的合规边界在哪？

面，是风险暗涌。农业银行董事长谷澍在2026陆家嘴论坛上指出，大模型应用面临模型黑箱、模型“幻觉”，以及模型自主思考和决策带来的不确定性三大类风险。正是在这一背景下，《指导意见》应运而生。金融监管总局有关司局负责人表示，制定该意见的目的是规范银行业保险业金融机构对人工智能的开发应用，有效防控人工智能技术应用可能带来的风险，有序推进人工智能科技创新与金融业务深度融合。二、四大原则：谁使用谁负责《指导意见》开宗明义，确立了金融机构安全开发应用人工智能的四大原则。一是“谁使用谁负责”。

这一原则被放在了第一位。其核心要义在于压实金融机构作为“金融服务提供方”与“人工智能技术使用方”的双重主体责任。在金融机构大量采用外部AI技术供应商的背景下，部分机构试图以“技术外包”为由规避风险责任。《指导意见》通过“谁使用谁负责”的明确表述，彻底封堵了责任转嫁的空间——金融机构无论采用自研模型还是外部引入模型，无论技术来源如何，一旦应用于金融服务，即由金融机构承担最终的合规责任与风险责任。二是“自主可控”。 这一原则在当前国际科技竞争背景下具有特殊意涵。《指导意见》要求在关

键平台、关键软硬件层面具备自主决策能力和风险可控能力，避免对单一外部技术供应商形成深度依赖。在算力建设中进一步要求“建设自主可控、安全高效的算力底座，助力高水平科技自立自强”。三是“务实高效”。 以提升业务价值为导向，要求“科学规划人工智能开发应用投入，有效平衡成本与效益，摒弃‘为新而新、为用而用’的倾向”。这条原则的出台有着鲜明的现实针对性——部分机构在未清晰界定业务需求的情况下便盲目引入大模型，导致投入与产出严重失衡。四是“安全发展”。 严格落实国家网络安全和信息化工作要求，

遵守网络安全、数据安全各项法律法规制度，强化技术安全和应用安全保障。三、治理架构：从“部门自主”到“顶层约束”《指导意见》要求金融机构从治理架构层面建立AI管理的“顶层设计”。在最高决策层面，董（理）事会应指定专门委员会对人工智能开发应用管理负责，统筹制定发展规划，推进能力体系建设。这意味着AI治理不再是业务或科技部门的“自主事项”，而是上升到董事会层面的战略决策。在全生命周期管理层面，金融机构应建立健全人工智能应用需求分析、数据准备、训练开发、部署运行、维护迭代、评估退出的全生

命周期管理体系。值得注意的是，正式文件将全生命周期阶段由征求意见稿的“需求、开发、监控、迭代、退出”五阶段扩展为六阶段，“实施人工智能应用风险分类分级管理”也从后置动作前移为贯穿全生命周期的前置约束。在场景管理层面，《指导意见》新增了“加强人工智能应用场景和业务流程管理”条款，要求“将合适的人工智能技术应用于适当的业务场景”，同时“穿透管控关联交易、资金运用等重点领域风险问题”。此外，还要求“科学设定人工智能的功能边界、系统和数据权限，明确人员岗位责任”。四、高风险场景：六类AI

本文作者：睿信管理咨询公司