Учтены рекомендации Банка России по безопасности ИИ в финансовой организации

Документ — методические рекомендации, а не нормативный акт: он не вводит обязанность, но задаёт ожидаемый регулятором уровень практики.

Рекомендации охватывают угрозы, связанные с ИИ, меры защиты, работу с внешними поставщиками моделей и подтверждение критических операций.

Отклонение от рекомендаций само по себе не нарушение, но при инциденте организации придётся объяснить, чем закрыт соответствующий риск.

Финансовые организации

• Кредитные и некредитные финансовые организации, применяющие ИИ.

• проведён ли анализ применимости рекомендаций к AI-сценариям организации
• учтены ли угрозы, связанные с ИИ, в модели угроз
• подтверждаются ли критические операции без опоры только на решение модели

• от организации: документ или регламент, в котором закреплено правило
• от организации: перечень AI-сценариев и систем, к которым правило применяется
• Локальные акты
• Регламенты и договоры
• Отчёты и протоколы

• сопоставить рекомендации с действующими мерами защиты и зафиксировать расхождения
• включить требования к поставщикам ИИ в договоры