两个期限将人工智能监管提上金融业议程
新加坡金融机构须在2027年10月7日前达到人工智能监督的核心监管预期，随后在2028年10月7日前落实更广泛的控制措施、能力建设和基础设施要求。新加坡金融管理局（MAS）于2026年10月7日发布《人工智能风险管理指引》，适用于所有金融机构和各种形式的人工智能技术。
目录
该框架的范围不限于聊天机器人和帮助员工起草文件的软件，还涵盖传统机器学习、能够生成内容的生成式人工智能，以及可通过连接的工具作出决策或采取行动的人工智能代理。MAS警告称，能够访问工具的代理可能会自主执行错误或未经授权的操作，因此行动权限的重要性不亚于回答的准确性。
监管机构的人工智能风险指引设定的是监管预期，而非一部要求所有公司满足相同技术要求的独立法律。其核心原则是比例原则：机构应识别自身的人工智能用途，评估每项应用的重要性和风险，并采取与风险暴露程度相匹配的控制措施。
由此形成了广泛的监管边界，但并非一视同仁。影响投资建议或客户风险评估的系统，应接受比用于校对内部邮件的工具更严格的审查。两者的区别取决于可能造成的后果，包括对客户和其他机构的损害，而不只是产品是否贴有人工智能标签。
哪些机构纳入框架？
适用范围包括银行、基金管理公司、财务顾问、保险公司、支付机构、交易所、清算机构、托管机构、信用评级机构和资本市场产品交易公司。获豁免的期货及场外衍生品经纪商也被明确纳入其中。
该框架涵盖各种人工智能技术，因此既不只是生成式人工智能规则手册，也不是仅针对大型银行的措施。MAS允许机构根据自身风险状况调整落实方式，包括考虑人工智能用途的规模和性质。
该指引还补充了MAS现有的要求和原则，包括公平、道德、问责与透明原则（FEAT）。它新增了人工智能风险管理框架，而不是取代现有的金融服务监管义务。
对于正在评估所需工作量的机构而言，关键在于区分广泛的适用范围和控制措施的严格程度。纳入监管范围并不意味着每家公司都必须建立相同的治理架构，但每家机构都需要清楚掌握自身使用人工智能的情况，并能够合理说明这些系统表现不佳或无法使用时可能造成的后果。
从现在到2028年10月有哪些变化？
此次发布的指引源于2025年11月启动的一项公众咨询。MAS在2026年8月的一份议会答复中表示，拟议指引即将定稿，并确认其涵盖代理式人工智能。随后，MAS在10月公布了分两个阶段实施的安排。
- 2025年11月：MAS就拟议的人工智能风险管理指引启动公众咨询。
- 2026年8月5日：一份议会答复确认，拟议指引涵盖金融机构的所有人工智能应用场景，包括代理式人工智能。
- 2026年10月7日：MAS发布最终版指引。
- 2027年10月7日：指引生效，第3节和第4节的要求自此日期起适用。
- 2028年10月7日：机构应达到第5节和第6节的要求。
这一时间表为公司留出一年时间，在发布指引后建立核心监督、风险管理和政策框架，之后再用一年落实更广泛的运营安排。较晚的期限并不意味着整个框架要到2028年才开始实施。
一份简要报告称生效日期为10月7日，但未注明年份。MAS的指引和公告则明确指出，生效日期为2027年10月7日，分阶段实施将持续至2028年。
董事会仍负有责任，但无需设立新委员会
MAS要求董事会和高级管理层有效监督人工智能风险，包括明确职责、设定风险偏好，并建立风险管理框架、政策和程序。风险偏好是指机构愿意接受的风险程度和类型。
监管机构的发布公告回应了公众咨询期间提出的一项实际关切：如果现有治理架构能够对相关职能进行充分监督和协调，公司可以继续使用这些架构。为满足这一要求，无需专门设立人工智能委员会。
这一区别对落实要求很重要。监管要求的是切实有效的问责，而非特定的委员会名称或组织架构图。现有安排可以满足要求，但前提是能够监督人工智能风险，并协调相关负责人。
机构必须从两个层面管理这些风险：组织整体层面和单项应用层面。某项应用单独看来或许易于管理，但随着机构扩大人工智能应用，整体监督、技能或基础设施方面的需求也可能增加。因此，MAS要求机构随着应用范围扩大而提升自身能力。
清单让风险评估落到实处
金融机构应识别自身的人工智能用途，并按照适当的详细程度维护清单。这份清单是评估哪些应用最重要、决定需要哪些控制措施的基础。缺少这一基础，高级管理层就无法可靠地判断机构面临的风险。
MAS还要求评估每项应用的风险重要性。简单来说，就是判断系统发生故障、表现不佳或无法使用时，是否可能对机构、客户或其他利益相关方（包括其他金融机构）造成重大影响。
该框架列出了金融、运营、行为、金融犯罪和声誉风险。生成式人工智能还带来安全、隐私以及与外部供应商相关的风险。因此，评估范围不只是检查模型通常能否给出准确答案。
如果人工智能服务表现不佳或无法使用不太可能造成重大影响，MAS允许机构采用基本政策和程序。风险暴露越大，就应采取越完善的控制措施。实际判断标准是故障可能造成的影响，而非技术的新颖程度。
人工智能系统上线后仍须持续管控
指引要求在人工智能生命周期的各个阶段采取适度控制。生命周期涵盖开发和测试、部署和使用，以及后续变更。MAS列出的控制措施包括数据治理、测试、人工监督、网络安全、监控和变更管理。
数据治理涉及信息的管理和使用。测试用于评估系统是否适合预定用途。监控用于检查系统运行期间的表现，变更管理则负责处理可能改变系统行为或风险的修改。这些是相互关联的持续职责，而不是上线前的一次性审批。
人工监督也是框架的一部分。对于可能影响或执行金融决策的人工智能系统，问题不只是人能否查看其输出。机构还必须考虑如何根据应用的风险和系统能够采取的行动来安排监督。
MAS要求随着人工智能应用扩大和技术演进，定期审查控制措施。如果原本用于起草文本的工具后来获得了可执行操作的系统访问权限，就可能需要重新评估相关安排。该指引特别指出，定期审查与自主代理的日益普及有关。
购买人工智能服务不代表责任随之转移
金融机构仍须对其提供服务所使用的人工智能负责，包括由外部公司开发、运营或提供的系统。将技术外包，并不意味着由此产生的风险责任也一并外包。
MAS要求公司从供应商处获得充分保证，并评估其人工智能是否适用于预定用途。如果存在实际限制或保证不足，机构应采取补偿性控制措施，即在无法获得理想保证或控制时，用来降低风险的措施。
监管机构还规定了这些措施不足时的应对方式。如果风险无法控制在机构的风险偏好范围内，就应考虑限制、暂停或更换人工智能服务。不能仅仅因为供应商在商业上具有吸引力，或系统已融入运营流程，就认为可以继续使用。
这也回应了公众咨询期间提出的另一项关切：嵌入产品和服务中的人工智能。相关问题在于机构如何使用这项功能以及如何管理其后果，而不在于模型是否由机构自行开发。评估必须将供应商提供的保证与公司的实际预定用途联系起来。
在更多指引出台前，代理式人工智能已纳入监管
代理式人工智能不仅能够生成回复，还可能调用工具来完成任务，并以更高的自主性采取行动。在金融服务领域，权限设置、人工干预和决策记录对于管理错误或未经授权操作的风险至关重要。
在8月的议会答复中，新加坡副总理、贸工部长兼MAS主席颜金勇确认，拟议指引适用于金融机构的所有人工智能应用场景，包括代理式人工智能。这份答复回应了三巴旺集选区议员玛丽亚姆·贾法尔关于自主代理及可能的监管要求提出的问题。
颜金勇还介绍了与业界共同开发的实用资源。在MindForge项目下，业界制定了人工智能风险管理工具包，帮助机构落实指引。名为SAFR（金融领域代理式人工智能运行时防护框架）的框架，则提出了一种可能的操作方案，用于授权代理行动、启动人工监督，并记录每项重大决策的过程。
这些资源与监管框架的作用不同。工具包用于支持落实，SAFR则提出一种潜在的操作方案。议会答复并未宣布SAFR本身将成为强制要求。
MAS计划于2027年就代理式人工智能的哪些额外指引对金融业有所帮助展开咨询，但尚未公布具体咨询日期或可能发布的指引内容。代理式人工智能已经纳入指引范围，因此，计划中的咨询不构成推迟管理相关风险的理由。
明确监管要求，同时划定可接受风险的边界
MAS将这一框架定位为推动负责任地采用人工智能，而非禁止人工智能。公众咨询的参与者支持以原则和适度控制为基础的做法，同时希望进一步明确现有治理架构、嵌入式人工智能，以及何时采用基本政策即可满足要求。最终框架保留了主要要求，并回应了这些关切。
MAS副总经理何新颖指出，人工智能的潜在益处，必须与机构理解能力不断增强的系统这一需要相结合。她表示：
要持续实现这些益处，金融机构必须了解并管理能力不断增强的人工智能系统所带来的风险。
她的表述点明了指引的核心平衡。机构可以追求效率提升、更完善的风险管理和新服务，但必须对用于提供这些服务的系统持续负责。
接下来的固定节点是2027年10月和2028年10月的实施期限。有关代理式人工智能的额外咨询计划于2027年举行，MAS也表示将在必要时继续审查和更新监管预期。目前尚未公布代理式人工智能新要求的单独期限。
要点
- MAS于2026年10月7日发布人工智能风险管理指引，适用于所有金融机构和人工智能技术。
- 第3节和第4节的核心要求自2027年10月7日起适用；第5节和第6节应于2028年10月7日前落实。
- 董事会和高级管理层必须有效履行监督职责，但无需专门设立人工智能委员会。
- 机构应清点人工智能用途、评估风险重要性，并根据潜在损害采取相称的控制措施。
- 公司仍须对外部供应商提供的人工智能负责，并应考虑限制或更换风险不可接受的服务。
- 代理式人工智能已纳入监管。MAS计划于2027年就可能的额外指引开展进一步咨询。
