Mimo oblast působnosti není mimo riziko: revize modelového rizika 2026 vynechala modely, které banky reálně nasazují

Dubnová revize přepsala patnáct let doktríny modelového rizika a nejzávažnější odstavec je ten, který říká, co dohledové pokyny nepokrývají. Dne 17. dubna 2026 vydaly Federal Reserve, OCC a FDIC revidované dohledové pokyny k řízení modelového rizika, které nahrazují rámec z roku 2011, kolem něhož se odvětví patnáct let organizovalo. Revize je pečlivá, založená na riziku a z velké části vítaná. Zároveň výslovně uvádí, že modely generativní a agentní AI nespadají do její oblasti působnosti — a že bude následovat veřejná konzultace. Banky se tak ocitají v mezidobí: nasazují modely, které rámec vylučuje, pod rámcem, který dosud nikdo nenapsal.

Shrnutí pro vedení

Uspořádání z roku 2011 končí. SR 26-2 a OCC Bulletin 2026-13, oba datované 17. dubna 2026, nahrazují dlouholeté pokyny z roku 2011 i jejich doplněk z roku 2021. Třípilířová architektura — kvalitní vývoj, účinné zpochybnění, průběžné monitorování — zůstává v platnosti.

Proporcionalita je nyní výslovná. Úřady uvádějí, že pokyny budou nejrelevantnější pro bankovní organizace s celkovými aktivy nad 30 miliard dolarů, přičemž zůstávají relevantní i pro menší instituce s významným modelovým rizikem. To je podstatný posun důrazu, nikoli výjimka.

Otázka AI byla odložena, nikoli zodpovězena. Generativní a agentní AI jsou z těchto pokynů vyloučeny a bude následovat veřejná konzultace k řízení modelového rizika obecně a k využívání AI bankami zvlášť.

Odklad není povolení. Správné čtení zní, že úřady dosud nerozhodly, jak nad těmito modely vykonávat dohled — což je něco zásadně jiného než rozhodnout, že žádné řízení nepotřebují.

Co úřady skutečně změnily

Odmyslete si komentáře a dubnová revize dělá tři věci.

Ukončuje uspořádání z roku 2011. Revidované pokyny nahrazují pokyny k modelovému riziku vydané v roce 2011 i jejich doplněk z roku 2021 a uzavírají tak patnáctiletou kapitolu, během níž se SR 11-7 stal de facto globální referencí pro řízení modelů daleko za hranicemi institucí, které zavazoval.

Činí proporcionalitu výslovnou. Pokyny mají být nejrelevantnější pro bankovní organizace s celkovými aktivy nad 30 miliard dolarů a zůstávají relevantní i pro menší organizace s významnou expozicí vůči modelovému riziku kvůli rozšířenosti a složitosti jejich modelů nebo činností mimo tradiční komunitní bankovnictví. Míra propracovanosti má odpovídat velikosti, složitosti a rizikovému profilu.

Zachovává architekturu. Koncepční správnost při vývoji, účinné zpochybnění prostřednictvím nezávislého přezkumu i průběžné monitorování oproti zdokumentovaným prahovým hodnotám přetrvávají. Instituce, které si podle rámce z roku 2011 postavily dobrý systém, nezačínají znovu.

Tabulka 1: Co se změnilo a co přetrvalo

Prvek	Rámec z roku 2011	Revidované pokyny 2026
Status	SR 11-7 a jeho doplněk z roku 2021	Nahrazen a zrušen, 17. dubna 2026
Základní architektura	Vývoj, validace, řízení	Přenesena v podstatě beze změny
Proporcionalita	Implicitní, uplatňovaná dohledem	Výslovná: přizpůsobená velikosti, složitosti a rizikovému profilu
Deklarovaná relevance	Široká	Nejrelevantnější nad 30 mld. USD celkových aktiv; nadále relevantní i pod touto hranicí tam, kde je modelové riziko významné
Generativní a agentní AI	Vznikly až po ní	Výslovně mimo oblast působnosti, s následnou veřejnou konzultací

Věta, na které záleží

Většina revize je evoluce. Jedna pasáž nikoli:

Modely generativní AI a agentní AI jsou nové a rychle se vyvíjejí. Jako takové nespadají do oblasti působnosti těchto pokynů.

Ve spojení se závazkem vydat veřejnou konzultaci k řízení modelového rizika obecně a k využívání AI bankami — včetně generativní a agentní AI — zvlášť je význam dost jasný. Úřady netvrdí, že jsou tyto systémy málo rizikové. Říkají, že dosud nevyřešily, jak nad nimi vykonávat dohled, a raději se poradí, než aby uzákonily rámec, který rychle se vyvíjející technologie během jednoho cyklu předběhne.

To je obhajitelné regulatorní řemeslo. Pro banku, která už má generativní AI v produkci, je to ale nepříjemná pozice.

Praktická otázka, kterou si klade výbor pro rizika, totiž nezní „spadá to do oblasti působnosti dubnových pokynů?“ Zní „když se to pokazí, na co se nás zeptají?“ A odpověď na druhou otázku se nezměnila.

Mimo oblast působnosti neznamená mimo riziko

Nejdražší chybný výklad dostupný v roce 2026 zní, že vyloučení z pokynů k modelovému riziku znamená vyloučení z dohledu. Neznamená. Model, který stojí mimo tento konkrétní rámec, i nadále spadá přímo do několika dalších.

Tabulka 2: Kam systém GenAI mimo oblast působnosti stejně spadne

Model dělá toto	Rámec, kterému se stále zodpovídá	Otázka, kterou vám položí
Běží na základovém modelu dodavatele	Riziko třetích stran a outsourcingu	Doložíte due diligence, exit a analýzu koncentrace u poskytovatele?
Zasahuje do úvěrového nebo cenového rozhodnutí	Ochrana spotřebitele a nediskriminační úvěrování	Prokážete, že výsledek nebyl diskriminační, a zrekonstruujete, jak k němu systém dospěl?
Sedí v procesu vůči klientovi nebo v provozním procesu	Operační riziko a odolnost	Co se stane, když se jeho kvalita zhorší, a kdo si toho všimne?
Produkuje výstup, na který se zaměstnanci spoléhají	Řízení a odpovědnost vrcholového vedení	Kdo je vlastníkem tohoto systému a co mu bylo řečeno o jeho limitech?
Je nasazen v EU nebo ve Spojeném království	Akt EU o AI; PRA SS1/23	Odpověď na oblast působnosti je zde jiná — viz níže

Žádná z nich není novou povinností. Právě o to jde: dubnové pokyny zúžily to, co pokrývají ony, a nic nepřesunuly ven z čehokoli jiného.

Stojí za to bez obalu pojmenovat i asymetrii dohledových očekávání. Když rámec mlčí, dohlížitelé mlčet nezačnou. Vrátí se k obecným očekáváním ohledně bezpečnosti a zdraví instituce, která jsou širší a méně předvídatelná než psaný standard pro modelové riziko. Být mimo oblast působnosti konkrétního pravidla často znamená být posuzován podle mlhavějšího.

Transatlantický rozkol, který teď musí skupinová banka ustát

Pro instituci působící na obou stranách Atlantiku vytváří dubnové rozhodnutí aktivní rozpor.

Britské dohledové stanovisko k zásadám řízení modelového rizika pro banky, SS1/23, nabylo účinnosti 17. května 2024. Stojí na pěti zásadách — identifikace a registr modelů, řízení, vývoj a implementace a použití, nezávislá validace a opatření ke zmírnění u modelů s nedostatky — a je záměrně technologicky neutrální. Umělá inteligence a strojové učení z něj vyňaty nejsou; naopak se s nimi počítá.

Tentýž generativní model, nasazený ve stejné skupině a ve stejné obchodní linii, tak leží uvnitř britského perimetru modelového rizika a mimo ten nově revidovaný americký. Přidejte povinnosti aktu EU o AI pro evropské nasazení a odpovědi jsou tři, nikoli dvě.

Instituce mají přesně dvě konzistentní reakce.

Provozovat jeden rámec podle nejpřísnějšího standardu. Řídit generativní AI, jako by spadala do oblasti působnosti všude, protože někde do ní spadá a po uzavření konzultace do ní bude spadat šířeji. Teď to stojí víc a je to obhajitelné v každé jurisdikci.

Provozovat skutečně oddělené perimetry. Právně možné, provozně mizerné. Znamená to dva registry, dva validační standardy a dvě sady důkazů pro jeden model — a k tomu reputační expozici z vysvětlování po incidentu, že verze kontroly, která by jej zachytila, byla ta uplatňovaná v druhé jurisdikci.

První je správnou odpovědí téměř pro každou instituci dost velkou na to, aby tohle vůbec byla otázka. Druhá je to, co nastane samospádem, když nikdo nerozhodne.

Co s mezidobím

Veřejná konzultace přijde. Okno mezi dneškem a ustáleným rámcem je ta část, kterou je nutné řídit záměrně, protože je to období, v němž nasazování pokračuje a dokumentace nikoli.

Tři závazky činí toto mezidobí zvládnutelným.

Inventarizujte teď, klasifikujte později. Nejcennějším artefaktem je úplný registr toho, kde generativní a agentní systémy skutečně běží — včetně těch pořízených jako funkce uvnitř produktů SaaS, kde se jich většina skrývá. Zda je každý z nich formálně „modelem“ podle nějaké budoucí definice, je otázka, kterou zodpovíte, až budete vědět, že existují. Nemůžete klasifikovat to, co jste nenašli.

Sepište validační přístup, který byste obhájili. Tradiční zpětné testování se na nedeterministický systém čistě nepřenáší, a přesně proto to úřady odložily. To ale není důvod nemít žádný přístup. Testování generování proti vyčleněným případům, sledování lidských zásahů, paralelní analýza výsledků oproti stávajícímu procesu a zdokumentované akceptační prahy jsou dostupné už dnes a všechny jsou pro dohled čitelné.

Odpovězte na konzultaci. Instituce, která si v mezidobí vybudovala funkční přístup, má co konkrétního říci, a právě v konzultaci se výsledný standard formuje. Firmy, které mlčí, zdědí to, co si vyjednají ty hlasité.

Provozní příručka

Přenastavte základnu podle revidovaných pokynů hned teď. Ověřte, které z vašich stávajících modelů se posunou pod výslovnou formulaci proporcionality, a to v obou směrech. Některé budou potřebovat méně, jiné víc.
Kvůli vyloučení AI neodstraňujte z registru modelů nic. Odstranění je rozhodnutí, které bude zpětně vypadat velmi špatně, a opětovné dohledávání stojí víc než ponechání.
Označte v registru každý generativní a agentní systém jako čekající na klasifikaci. Udělejte mezidobí v registru viditelným, místo aby v něm chybělo.
Namapujte každý z nich na rámce, kterým se skutečně zodpovídá — třetí strany, operační riziko, ochrana spotřebitele, nediskriminační úvěrování — a potvrďte, že každý má pod nimi jmenovitého vlastníka.
Přijměte přísnější transatlantický standard jako skupinovou politiku. Jeden registr, jedna laťka validace, jedna sada důkazů.
Připravte odpověď na konzultaci. Je to nejlevnější dostupný vliv na standard, podle kterého vás budou prověřovat.

Úřady v dubnu udělaly něco rozumného: odmítly psát pravidlo pro technologii, které zatím nerozumějí dost na to, aby ji ohraničily. Odpovídajícím rozumným činem banky je odmítnout to považovat za povolení.

Často kladené otázky

Znamenají dubnové pokyny z roku 2026, že generativní AI je v americkém bankovnictví neregulovaná?
Ne. Znamenají, že modely generativní a agentní AI stojí mimo oblast působnosti těchto konkrétních pokynů. Tyto systémy nadále podléhají řízení rizika třetích stran, operačnímu riziku, ochraně spotřebitele, nediskriminačnímu úvěrování a obecným očekáváním ohledně bezpečnosti a zdraví instituce. Úřady se rovněž zavázaly k veřejné konzultaci k využívání AI bankami, včetně generativní a agentní AI.

Co přesně bylo nahrazeno?
Revidované pokyny, vydané 17. dubna 2026 Federal Reserve, OCC a FDIC, nahrazují pokyny k řízení modelového rizika z roku 2011 i jejich doplněk z roku 2021. Základní architektura — kvalitní vývoj, účinné zpochybnění, průběžné monitorování — přetrvává.

Znamená práh 30 miliard dolarů, že menší banky to mohou ignorovat?
Ne. Pokyny uvádějí, že mají být nejrelevantnější pro organizace nad touto velikostí, a dodávají, že mohou být relevantní i pro menší organizace s významnou expozicí vůči modelovému riziku kvůli rozšířenosti a složitosti jejich modelů nebo činností mimo tradiční komunitní bankovnictví. Je to vyjádření proporcionality, nikoli hranice výjimky.

Jak to souvisí s britským SS1/23?
Rozchází se s ním. SS1/23, účinný od 17. května 2024, je technologicky neutrální a AI ani strojové učení nevylučuje. Skupinová banka, která provozuje tentýž model v obou jurisdikcích, teď čelí odlišným odpovědím na oblast působnosti, a proto je praktickou cestou řídit se přísnějším standardem.

Máme nyní odstranit nástroje generativní AI z registru modelů, když jsou mimo oblast působnosti?
Ne — a je to rozhodnutí, kterého budete nejspíš litovat. Úplnost registru je levné udržovat a drahé obnovovat. Označte tyto systémy raději jako čekající na klasifikaci, aby registr odrážel, co je skutečně nasazeno, až rámec dorazí.

Reference

Rada guvernérů Federálního rezervního systému, 2026. SR 26-2: Revised Guidance on Model Risk Management. Washington, DC: Federal Reserve. Dostupné z: Rada guvernérů Federálního rezervního systému, 2026..
Úřad kontrolora měny, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Washington, DC: OCC. Dostupné z: Úřad kontrolora měny, 2026..
Prudential Regulation Authority, 2023. SS1/23, Model risk management principles for banks. Londýn: Bank of England. Dostupné z: Prudential Regulation Authority, 2023..
Evropský parlament a Rada Evropské unie, 2024. Regulation (EU) 2024/1689, kterým se stanoví harmonizovaná pravidla pro umělou inteligenci (akt o umělé inteligenci). Brusel: Úřední věstník Evropské unie. Dostupné z: Evropský parlament a Rada Evropské unie, 2024..

Naposledy revidováno 2026-08-08.

Znovu publikovat tento článek

Mimo oblast působnosti není mimo riziko: revize modelového rizika 2026 vynechala modely, které banky reálně nasazují — Sebastien Rousseau

Dubnová revize modelového rizika 2026 postavila generativní a agentní AI výslovně mimo oblast působnosti. Mimo oblast působnosti není mimo riziko.

Tento článek je licencován pod Creative Commons Attribution 4.0 International. Při opětovné publikaci uveďte odkaz na kanonickou URL.

Mimo oblast působnosti není mimo riziko: revize modelového rizika 2026 vynechala modely, které banky reálně nasazují — Sebastien Rousseau

Dubnová revize modelového rizika 2026 postavila generativní a agentní AI výslovně mimo oblast působnosti. Mimo oblast působnosti není mimo riziko.

Originally published at https://sebastienrousseau.com/cs/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER