TL;DR. Перегляд правил модельного ризику у квітні 2026 року прямо вивів генеративний та агентний ШІ поза сферу застосування. Поза сферою — не поза ризиком.

Ключові висновки

Що регулятори змінили насправді. Приберіть коментарі — і квітневий перегляд робить три речі.
Речення, яке має значення. Більша частина перегляду — це еволюція.
Поза сферою застосування — не поза ризиком. Найдорожче хибне прочитання, доступне у 2026 році, — вважати, що виключення з рекомендацій з модельного ризику означає виключення з нагляду.
Трансатлантичний розрив, який тепер має тягнути груповий банк. Для установи, що працює по обидва боки Атлантики, квітневе рішення створює живу розбіжність.

Поза сферою застосування — не поза ризиком: перегляд правил модельного ризику 2026 року оминув моделі, які банки насправді впроваджують

П'ятнадцять років доктрини модельного ризику переписали у квітні, і найвагоміший абзац — той, що каже, чого наглядові рекомендації не охоплюють. 17 квітня 2026 року Федеральна резервна система, OCC і FDIC видали переглянуті наглядові рекомендації з управління модельним ризиком, які замінили рамку 2011 року, навколо якої галузь вибудовувалася півтора десятиліття. Перегляд виважений, ризик-орієнтований і здебільшого доречний. Він також прямо зазначає, що моделі генеративного та агентного ШІ не належать до його сфери застосування, — а запит на коментарі буде згодом. Тож банки живуть у проміжку: впроваджують моделі, які рамка виключає, за рамкою, якої ще не написано.

Резюме для керівництва

Домовленість 2011 року вичерпано. SR 26-2 і OCC Bulletin 2026-13, обидва датовані 17 квітня 2026 року, заміняють давні рекомендації 2011 року та їхній супровідний документ 2021 року. Тристовпова архітектура — якісна розробка, незалежна критична перевірка, постійний моніторинг — переходить далі.

Пропорційність тепер явна. Регулятори кажуть, що рекомендації найбільш релевантні банківським організаціям із сукупними активами понад 30 млрд доларів, залишаючись релевантними і для менших установ зі значущим модельним ризиком. Це помітна зміна акценту, а не виняток.

Питання ШІ відклали, а не вирішили. Генеративний та агентний ШІ виключено з цих рекомендацій, а згодом буде запит на коментарі щодо управління модельним ризиком загалом і використання банками ШІ зокрема.

Відкладення — не дозвіл. Правильне прочитання таке: регулятори ще не вирішили, як наглядати за цими моделями, — і це суттєво відрізняється від висновку, що моделям не потрібне урядування.

Що регулятори змінили насправді

Приберіть коментарі — і квітневий перегляд робить три речі.

Він закриває домовленість 2011 року. Переглянуті рекомендації заміняють рекомендації з модельного ризику, видані 2011 року, та їхній супровідний документ 2021 року, завершуючи п'ятнадцятирічний розділ, протягом якого SR 11-7 став де-факто світовим орієнтиром урядування моделей далеко за межами установ, яких він зобов'язував.

Він робить пропорційність явною. Рекомендації найбільш релевантні банківським організаціям із сукупними активами понад 30 млрд доларів і залишаються релевантними для менших організацій зі значущою підданістю модельному ризику через поширеність і складність їхніх моделей чи діяльність за межами традиційного локального банкінгу. Ступінь опрацювання має відповідати розміру, складності та профілю ризику.

Він зберігає архітектуру. Концептуальна обґрунтованість під час розробки, незалежна критична перевірка через незалежний огляд і постійний моніторинг за задокументованими порогами — усе це вціліло. Установи, які добре побудували роботу за рамкою 2011 року, не починають спочатку.

Таблиця 1: що змінилося, а що перейшло далі

Елемент	Рамка 2011 року	Переглянуті рекомендації 2026 року
Статус	SR 11-7 і супровідний документ 2021 року	Замінено й скасовано 17 квітня 2026 року
Базова архітектура	Розробка, валідація, урядування	Перенесено практично без змін
Пропорційність	Неявна, застосована через нагляд	Явна: припасована до розміру, складності та профілю ризику
Заявлена релевантність	Широка	Найбільш релевантні понад 30 млрд доларів сукупних активів; релевантні й нижче, де модельний ризик значущий
Генеративний та агентний ШІ	Передує самому питанню	Прямо поза сферою застосування, з подальшим RFI

Речення, яке має значення

Більша частина перегляду — це еволюція. Один пасаж — ні:

Моделі генеративного та агентного ШІ є новими і стрімко розвиваються. Тому вони не належать до сфери застосування цих наглядових рекомендацій.

Прочитайте це разом із зобов'язанням видати запит на коментарі щодо управління модельним ризиком загалом і використання банками ШІ, включно з генеративним та агентним, зокрема — і сенс достатньо прозорий. Регулятори не кажуть, що ці системи низькоризикові. Вони кажуть, що ще не визначилися, як за ними наглядати, і радше проконсультуються, ніж закріплять рамку, яку стрімка технологія обжене за один цикл.

Це захищена регуляторна робота. Це також незручна позиція для банку, у якого генеративний ШІ вже працює в продуктиві.

Бо практичне запитання ризик-комітету — не «чи входить це у сферу застосування квітневих рекомендацій?». Воно звучить так: «якщо це піде не так, що в нас запитають?» А відповідь на друге запитання не змінилася.

Поза сферою застосування — не поза ризиком

Найдорожче хибне прочитання, доступне у 2026 році, — вважати, що виключення з рекомендацій з модельного ризику означає виключення з нагляду. Не означає. Модель, яка випадає з цієї конкретної рамки, і далі сидить усередині кількох інших.

Таблиця 2: куди все одно потрапляє система GenAI поза сферою застосування

Модель робить це	Рамка, якій вона все одно підзвітна	Запитання, яке вам поставлять
Працює на базовій моделі постачальника	Ризик третіх сторін і аутсорсингу	Чи можете ви документально підтвердити належну перевірку, план виходу й аналіз концентрації щодо постачальника?
Торкається кредитного або цінового рішення	Захист прав споживачів і недискримінаційне кредитування	Чи можете ви довести, що результат не був дискримінаційним, і відтворити, чому його досягнуто?
Стоїть у клієнтському чи операційному процесі	Операційний ризик і стійкість	Що станеться, коли її якість деградує, і хто це помітить?
Видає результат, на який спираються працівники	Урядування і відповідальність вищого керівництва	Хто власник цієї системи і що йому сказали про її межі?
Впроваджена в ЄС або Великій Британії	EU AI Act; PRA SS1/23	Відповідь щодо сфери застосування тут інша — див. нижче

Жоден із цих обов'язків не новий. У цьому й суть: квітневі рекомендації звузили те, що охоплюють вони, і не вивели нічого з решти.

Варто прямо назвати ще одну асиметрію наглядових очікувань. Коли рамка мовчить, інспектори не замовкають. Вони повертаються до загальних очікувань щодо надійності та фінансової стійкості, а ті ширші й менш передбачувані, ніж писаний стандарт модельного ризику. Бути поза сферою застосування конкретного правила часто означає, що вас оцінять за туманнішим.

Трансатлантичний розрив, який тепер має тягнути груповий банк

Для установи, що працює по обидва боки Атлантики, квітневе рішення створює живу розбіжність.

Британська наглядова заява про принципи управління модельним ризиком для банків, SS1/23, набула чинності 17 травня 2024 року. Вона побудована на п'яти принципах — ідентифікація і реєстр моделей, урядування, розробка та впровадження і використання, незалежна валідація, а також заходи пом'якшення для моделей із недоліками — і вона навмисно технологічно нейтральна. Штучний інтелект і машинне навчання не винесено за дужки; їх передбачено.

Тож та сама генеративна модель, впроваджена в тій самій групі, у тій самій бізнес-лінії, перебуває всередині британського периметра модельного ризику і поза щойно переглянутим американським. Додайте обов'язки за EU AI Act для європейського впровадження — і відповідей стане три, а не дві.

В установ є рівно дві узгоджені реакції.

Тримати одну рамку за найсуворішим стандартом. Урядувати генеративним ШІ так, ніби він у сфері застосування всюди, бо він у сфері застосування десь і буде в ній ширше, щойно завершиться RFI. Це дорожче зараз і захищене в кожній юрисдикції.

Тримати справді окремі периметри. Юридично можливо, операційно нестерпно. Це означає два реєстри, два стандарти валідації та два набори доказів для однієї моделі — плюс репутаційну підданість поясненню після інциденту, що версія контролю, яка його вловила б, застосовувалася в іншій юрисдикції.

Перше — правильна відповідь майже для кожної установи, достатньо великої, щоб це питання взагалі виникло. Друге — те, що стається за замовчуванням, коли ніхто не вирішує.

Що робити з проміжком

RFI буде. Вікно між нинішнім моментом і усталеною рамкою — саме та частина, якою треба керувати свідомо, бо це період, у якому впровадження триває, а документування — ні.

Три зобов'язання роблять цей проміжок стерпним.

Спершу реєстр, класифікація потім. Найцінніший артефакт — повний реєстр того, де насправді працюють генеративні та агентні системи, включно з тими, що куплені як функції всередині SaaS-продуктів, — саме там ховається більшість. Чи є кожна з них формально «моделлю» за якимось майбутнім визначенням — питання, на яке ви відповісте, коли знатимете, що вони існують. Ви не можете класифікувати те, чого не знайшли.

Напишіть той підхід до валідації, який ви захищатимете. Традиційний бектестинг не переноситься чисто на недетерміновану систему, і саме тому регулятори відклали питання. Це не підстава не мати підходу взагалі. Тестування генерації на відкладених кейсах, відстеження випадків втручання людини, паралельний аналіз результатів проти чинного процесу і задокументовані пороги прийнятності доступні вже сьогодні й усі зрозумілі наглядовцю.

Відповідайте на RFI. Установа, яка вибудувала робочий підхід у проміжку, має що сказати по суті, а майбутній стандарт формується саме в консультації. Фірми, які мовчать, успадковують те, що виторгували голосні.

Операційний плейбук

Перекалібруйте себе за переглянутими рекомендаціями вже зараз. Підтвердьте, які з ваших наявних моделей рухаються під явним формулюванням пропорційності — в обидва боки. Для одних знадобиться менше, для інших більше.
Не вилучайте нічого з реєстру моделей через виключення ШІ. Вилучення — рішення, яке заднім числом читатиметься дуже погано, а повторне виявлення коштує дорожче за збереження.
Позначте кожну генеративну й агентну систему в реєстрі як таку, що очікує класифікації. Зробіть проміжок видимим у реєстрі, а не відсутнім у ньому.
Зіставте кожну з рамками, яким вона таки підзвітна — треті сторони, операційний ризик, захист прав споживачів, недискримінаційне кредитування — і підтвердьте, що в кожної є названий власник за цими рамками.
Ухваліть суворіший трансатлантичний стандарт як групову політику. Один реєстр, одна планка валідації, один пакет доказів.
Підготуйте відповідь на RFI. Це найдешевший доступний вплив на стандарт, за яким вас перевірятимуть.

У квітні регулятори зробили розумну річ: відмовилися писати правило для технології, якої ще не розуміють достатньо, щоб її окреслити. Відповідна розумна дія банку — відмовитися сприймати це як дозвіл.

Поширені запитання

Чи означають квітневі рекомендації 2026 року, що генеративний ШІ в банкінгу США не регулюється?
Ні. Це означає, що моделі генеративного та агентного ШІ перебувають поза сферою застосування саме цих рекомендацій. Ці системи й далі підпадають під управління ризиком третіх сторін, операційний ризик, захист прав споживачів, недискримінаційне кредитування і загальні очікування щодо надійності та фінансової стійкості. Регулятори також зобов'язалися видати запит на коментарі щодо використання банками ШІ, включно з генеративним та агентним.

Що саме було замінено?
Переглянуті рекомендації, видані 17 квітня 2026 року Федеральною резервною системою, OCC і FDIC, заміняють рекомендації з управління модельним ризиком 2011 року та їхній супровідний документ 2021 року. Базова архітектура — якісна розробка, незалежна критична перевірка, постійний моніторинг — переходить далі.

Чи означає поріг у 30 млрд доларів, що менші банки можуть це ігнорувати?
Ні. Рекомендації зазначають, що вони найбільш релевантні організаціям понад цей розмір, і додають, що можуть бути релевантними й меншим організаціям зі значущою підданістю модельному ризику через поширеність і складність їхніх моделей чи діяльність за межами традиційного локального банкінгу. Це твердження про пропорційність, а не лінія звільнення.

Як це взаємодіє з британським SS1/23?
Розходиться з ним. SS1/23, чинний із 17 травня 2024 року, технологічно нейтральний і не виключає ШІ чи машинне навчання. Груповий банк, який тримає ту саму модель в обох юрисдикціях, тепер має різні відповіді щодо сфери застосування, — і саме тому урядування за суворішим стандартом є практичним шляхом.

Чи варто вилучити інструменти генеративного ШІ з нашого реєстру моделей, якщо вони поза сферою застосування?
Ні — і це рішення, про яке найімовірніше пошкодуєте. Повноту реєстру дешево підтримувати й дорого відбудовувати. Натомість позначте ці системи як такі, що очікують класифікації, щоб реєстр відображав фактично впроваджене, коли рамка з'явиться.

Джерела

Рада керуючих Федеральної резервної системи, 2026. SR 26-2: Revised Guidance on Model Risk Management. Вашингтон, округ Колумбія: Федеральна резервна система. Доступно за посиланням: Рада керуючих Федеральної резервної системи, 2026..
Управління контролера грошового обігу, 2026. OCC Bulletin 2026-13, Model Risk Management: Revised Guidance. Вашингтон, округ Колумбія: OCC. Доступно за посиланням: Управління контролера грошового обігу, 2026..
Управління пруденційного регулювання, 2023. SS1/23, Model risk management principles for banks. Лондон: Банк Англії. Доступно за посиланням: Управління пруденційного регулювання, 2023..
Європейський Парламент і Рада Європейського Союзу, 2024. Regulation (EU) 2024/1689 про встановлення гармонізованих правил щодо штучного інтелекту (Artificial Intelligence Act). Брюссель: Офіційний вісник Європейського Союзу. Доступно за посиланням: Європейський Парламент і Рада Європейського Союзу, 2024..

Останній перегляд 2026-08-08.

Перевидати цю статтю

Поза сферою застосування — не поза ризиком: модельний ризик 2026 — Sebastien Rousseau

Перегляд правил модельного ризику у квітні 2026 року прямо вивів генеративний та агентний ШІ поза сферу застосування. Поза сферою — не поза ризиком.

Ця стаття поширюється за ліцензією Creative Commons Attribution 4.0 International. Перевидання вимагає посилання на канонічну URL-адресу.

Поза сферою застосування — не поза ризиком: модельний ризик 2026 — Sebastien Rousseau

Перегляд правил модельного ризику у квітні 2026 року прямо вивів генеративний та агентний ШІ поза сферу застосування. Поза сферою — не поза ризиком.

Originally published at https://sebastienrousseau.com/uk/2026-07-30-model-risk-management-generative-ai-out-of-scope-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER