本文来自微信公众号： 金杜研究 ，作者：萧乃莹费思虞磊珉
随着金融机构持续采用生成式人工智能（“生成式AI”），监管机构的关注重点正由原则性政策表述转向实际落地应用。我们于2025年1月发布的《生成式AI金融机构指南》[1]已指出，生成式AI监管格局正在形成，尽管彼时相关框架仍以原则性为主。[2]
此后，监管重心已从宏观原则转向运营治理。中国香港正从试验阶段转向负责任的应用，而内地的监管则日趋细化，尤其体现在内容治理、数据处理、备案义务及模型监管方面。本文将重点介绍主要监管动态，以及金融机构在这一快速演变的环境中应采取的实务步骤。
香港：从试验走向结构化应用
香港近期的发展表明，金融服务领域正以更加成熟务实的方式推动生成式AI的应用。监管重点在于金融机构能否以负责任、可控制、注重投资者保护并经得起监管审查的方式部署相关技术。
香港金融管理局（“金管局”）于2025年4月发布的《GenA.I.新时代：促进金融服务负责任地应用人工智能》[3]报告指出，香港对生成式AI的认知正在发生转变——75%的受访金融机构已实施或正在开发AI应用，预计未来三至五年将达到87%。
与此同时，实务指引日益具体。例如，香港个人资料私隐专员公署于2025年3月发布的《雇员使用生成式AI的指引清单》[4]，将隐私及治理方面的关注转化为具体操作控制措施。该清单建议制定关于工具使用、数据输入、输出存储与保留、核实、偏差纠正与报告、水印与标注、设备访问及事件上报等方面的明确政策。
香港数字政策办公室于2025年4月首次发布并于同年12月更新的《香港生成式人工智能技术及应用指引》[5]进一步提供最佳实践指导，强调公平性、透明度、用户选择权及偏差纠正等原则。将生成式AI用于客户互动、推荐引擎、适当性支持、内部分类或风险筛选的金融机构，应将该指引视为整体合规框架的重要组成部分。
香港的监管基础设施持续扩展
一项尤为重要的进展是香港生成式AI监管框架的持续扩展。如我们2025年1月的文章所述，金管局于2024年与数码港合作推出了GenA.I.沙盒，为认可机构提供一个受控环境，以开发和测试银行业生成式AI的创新用例。
2025年10月，金管局发布了《第一期GenA.I.沙盒报告》[6]，指出风险管理、反欺诈措施及客户体验为三大测试领域，同时指出了内容幻觉和信息误差等技术及治理挑战。这标志着监管重心从鼓励创新转向理解如何将生成式AI安全融入银行运营。
此外，同年10月推出的第二期GenA.I.沙盒计划反映了从试验AI能力到实现安全可靠实施的重大转变。金管局遴选了27个用例，涉及20家银行和14家技术合作伙伴，重点强调主动AI治理、自动质量检测及对抗性模拟，以提升防范深度伪造欺诈的能力。这标志着向部署准备、控制有效性和AI驱动风险缓释的明确过渡。
2026年3月，金管局联同证券及期货事务监察委员会、保险业监管局及强制性公积金计划管理局推出GenA.I.沙盒++，将框架扩展至证券、资产及财富管理、保险、强积金及储值支付工具领域。其保留了风险管理、反欺诈和客户体验三大核心领域，同时明确继续推进“以AI对抗AI”的监管策略，即利用AI管控AI相关风险。
金管局的「金融科技2030」策略
金管局于2025年11月推出「金融科技2030」的战略，其中包含“人工智能x认可机构”策略，旨在推动人工智能在金融业的全面及负责任应用，并促进共享及可扩展基础设施及行业模型的发展。从法律和监管角度而言，这一策略强化了一个重要讯息：AI治理不再是孤立的创新议题，而应纳入企业架构、业务韧性、客户保护及监管准备之中。
2026年3月，金管局向所有认可机构发出关于数码转型下业务模式的通函[7]，指出包括代理式人工智能在内的新技术正加速数码化转型。通函阐明了金管局对所有认可机构的期望——主动评估并调整其长期业务模式以应对技术变革。除其他事项外，通函要求每家认可机构的董事会在2026年9月9日之前监督和批准一份关于数码化转型和金融数码化的正式战略计划。该战略计划应识别在产品供应、收入模式、客户互动、风险管理和运营方面进行调整或转型的机会。有关金管局数码转型通函的详细信息，请参阅我们的信息图。[8]
香港最新发展的实务意义
香港近期监管趋势反映，金融机构应建立涵盖数据、技术韧性、治理及问责的综合框架，并以严谨和有据可查的方式管理生成式AI在其整个生命周期中的管理方式。
在实务中，这包含以下要点：
（应用场景区分）应仔细区分不同的部署场景。内部工具、客户应用、监控与监测工具、决策支持用例和第三方模型可能引发不同的法律和风险考量，将其笼统归为单一类别的“AI使用”可能不足以满足要求；
（治理重心）机构应将通常被描述为纯技术性的问题（如提示词设计、检索机制、输出处理、模型验证、汇报阈值和人工审核的问题）纳入治理范畴；
（政策对齐）机构应将内部政策与香港指引中目前可见的术语和关注点保持一致，包括负责任的应用、公平性、准确性、透明度、隐私、问责和事故应对；
（监管平衡）机构应为创新支持与监管审查之间的空间收窄做好准备。虽然沙盒参与及其他监管互动可能加速部署，但也意味着更高治理要求；以及
（监管沟通）参与沙盒和试点项目应被视为监管准备活动，而非仅仅是创新机会。在与监管机构沟通之前，机构应确保明确的权责和审批、有据可查的测试和验证（包括偏差和幻觉控制）、明确的人工审核和汇报触发条件，以及一套完整的证据文件以备审查之需。
中国内地：迈向操作性及规则导向的监管路径
中国内地的生成式AI监管框架持续朝着更具操作性、规则性和监管导向的方向发展。对于金融机构而言，实务问题已不再仅是某项AI工具是否被允许使用，而是金融机构能否证明相关用例已被适当分类、在必要时完成备案、辅以适当的数据控制，并在其整个生命周期中受到监控。
这一点十分重要，因为监管边界正变得更加精细。近期在AI生成内容标注、算法和模型备案、安全评估、国家标准以及金融行业数据治理方面的发展均指向同一方向：内地的AI合规日益着重于实施证据。
内容标注和可追溯性正成为核心合规要求
由国家互联网信息办公室、工业和信息化部、公安部和国家广播电视总局联合发布的《人工智能生成合成内容标识办法》将高层次的透明度和治理关切转化为具体的、可操作的内容标注和元数据要求。
该办法的核心是双重标注制度，要求同时实施：
a)用户可见的显式标注；以及
b)嵌入文件元数据以实现可追溯性的隐式标注。
这种双重标注方法体现了明确的监管期望，即面向用户的透明度和用于监管、执法和问责的后端可追溯性必须并行运作。重要的是，该办法还将责任扩展到整个AI内容价值链。概括而言：
内容生成服务提供者应在内容生成阶段实施内容标注（包括显式和隐式标注），确保标注的准确性和持久性，并在AI生成内容受到监管审查或调查时支持可追溯性和问责；
内容传播平台应识别、保留和展示附加于AI生成内容上的现有标注，防止和处理故意移除、伪造或滥用标注的行为，并配合监管机构进行监管，包括内容溯源和可追溯性方面的监管；以及
用户不得故意移除、篡改、隐匿或伪造显式标注，不得故意篡改隐式标注或技术标识符，不得以误导他人的方式将AI生成内容虚假表述为人工创作，也不得以规避可追溯性或监管的方式使用合成内容。
该办法进一步区分了已确认、可能和疑似AI生成的内容，以支持适当的治理和监管。该等类别并未对传播平台或用户施加一般的AI检测义务。相反，它们承认内容来源确定性存在不同层级，强制标注义务仅适用于由受监管AI内容生成服务提供者所生成的已确认AI生成内容。
综合来看，该办法标志着向共担责任和基于生命周期的治理模式的转变，内容标注和可追溯性被定位为中国内地不断演变的监管框架下合成内容风险管理的基线合规控制。
算法和模型备案仍是监管架构的核心
尽管运营层面日益关注内容标注和可追溯性，但算法和模型备案仍是中国内地AI监管架构的核心支柱。虽然相关法律法规近期未有重大修订，但监管实践和实施仍在持续发展。
以下观察值得金融机构特别关注：
算法备案和模型备案是两个独立且可能重叠的监管程序。在满足相关条件的情况下，部分生成式AI服务提供者可能需要承担涵盖算法层面和模型层面的“双重备案”义务。
某些金融服务应用面临更大的监管不确定性。涉及特定金融服务用例的模型备案的监管方式仍在发展中。根据公开可查的备案记录，直接用于金融风险评估、信贷或贷款决策或AI驱动交易活动等功能的算法或模型，成功获批的案例有限。鉴于其对市场稳定性和消费者保护的潜在影响，此类用例似乎面临更严格的审查。
某些面向客户的用例备案趋势更为成熟。公开可查的备案信息表明，若干与面向客户的应用相关的算法和模型备案已获得批准，例如AI智能客服和助手，以及某些AI支持的理财或证券分析工具。值得注意的是，此类用例通常以内容生成或信息支持功能为特征，而非直接的决策或承担风险的活动。
监管重心已从一次性审批或备案转向持续监管
近期执法活动表明，监管审批或备案完成并不被视为最终的或静态的结果。对于提供算法推荐服务或生成式AI服务的机构，期望延伸至系统的整个生命周期。当出现法定或监管触发条件（例如用例变化、模型功能变化、数据来源变化、用户覆盖范围或传播渠道变化）时，机构可能需要酌情进行补充安全评估、更新现有备案或主动与监管机构沟通。
这一趋势因更广泛的执法倡议而得到加强。2025年4月，国家互联网信息办公室启动了为期三个月的全国性“清朗·整治AI技术滥用”专项行动，期间监管机构对大量不合规AI产品及相关内容采取了行动。这清楚表明，AI合规现已牢固嵌入常规监管执法活动之中，而非被视为例外性或过渡性问题。未能保持持续合规可能增加面临监管约谈、通报批评、整改令或行政处罚以及相应声誉风险的风险敞口。
不断演进的规则持续扩大生成式AI的监管边界
除内容标注、备案和安全评估外，中国内地生成式AI的更广泛监管边界在范围和精细度上持续扩大。近期的监管工具和政策倡议表明，监管机构正逐步将关注点从内容安全和技术合规扩展至行为影响、伦理治理和场景化风险管理，尤其是在较高风险情境中。
这一演进的一个重要维度是生成式AI治理与科技伦理审查框架以及《个人信息保护法》项下个人信息保护要求之间日益增长的互动。虽然这两个制度并非全新，但其在AI用例中的适用正变得更加可见和具有操作性。特别是，在AI系统涉及个人信息处理、自动化决策或可能重大影响个人权益的功能时，监管机构日益期望机构不仅评估合法性和安全性，还要评估公平性、可解释性和伦理风险。
由多个部门于2026年4月联合发布的《人工智能科技伦理审查与服务办法（试行）》表明，某些较高风险的AI研发和应用场景——特别是涉及敏感个人数据、行为干预或大规模社会影响的场景——可能需要在更广泛的合规框架中进行结构化伦理审查或专家评估。是否需要此类审查将取决于具体用例、涉及的数据和部署环境，应逐案评估。
对于金融机构而言，该等办法的直接合规影响可能有限。然而，作为监管方向的信号，这些发展具有重要意义。它们表明，内地AI监管正从宽泛的义务向基于场景、基于功能和以用户影响为导向的要求演进，生成式AI治理日益被期望超越技术稳健性，延伸至人机交互设计、保障措施和升级机制。
全面的AI相关国家标准体系正在形成
除正式法律和行政措施外，国家标准在塑造AI实务合规期望方面发挥着日益重要的作用。在生成式AI领域，监管机构已发布多项国家标准，就机器学习安全评估、合成内容标注、训练数据安全和基线服务要求等方面提供指导。与AI模型即服务安全、生命周期安全运行能力评估和代理式AI应用相关的进一步国家标准正在制定中。
该等国家标准发挥着监管标尺的功能，为监管机构如何在实践中评估安全措施、治理安排和运营控制的充分性提供参考。随着时间推移，它们可能在监管和执法领域发挥日益重要的影响力，塑造对AI系统何为"适当"保障措施的期望。
中国内地金融行业围绕数据和模型治理的监管趋紧
与AI专项措施并行，中国内地金融行业监管正日益强化围绕数据和模型治理的期望，对生成式AI部署产生直接影响。具体而言：
a)数据安全和生命周期治理要求正在加强。中国人民银行于2025年5月1日发布的《中国人民银行业务领域数据安全管理办法》要求金融机构实施数据分类分级，建立并定期更新数据清单，识别个人、敏感和重要数据，分配内部职责，并采取全生命周期的数据安全管理措施；以及
b)模型治理和集中监管正成为监管优先事项。国家金融监督管理总局于2025年12月发布的《银行业保险业数字金融高质量发展实施方案》鼓励机构建设企业级AI和模型管理平台，以支持模型的集中开发、部署和监控。
综合来看，该等监管趋势表明，金融行业的AI应用日益被期望伴随着结构化的生命周期模型治理、明确的人工干预节点以及对供应商和外包技术提供者的加强监管。因此，中国内地的AI合规正在与已确立的金融行业控制规范趋同，日益强调治理成熟度、文档质量和监管准备。
中国内地最新发展的实务意义
近期发展表明，中国内地正在深化AI监管的实施层。安全性、透明度和负责任的数据使用等宏观概念仍然重要，但监管压力日益集中于机构如何在实践中记录、证明和操作化该等概念。
对于金融机构而言，在中国内地采用AI应辅以结构化治理、生命周期控制和可辩护的记录。从一开始就将备案分析、数据治理、安全评估、模型风险管理和供应商监管纳入AI系统设计和运营的金融机构，将更有能力负责任地扩展AI的应用规模。
全球展望：监控、集中度与依赖性
着眼于香港和中国内地之外，金融稳定委员会于2025年10月发布的《监控金融行业AI的应用及相关脆弱性》[9]报告强调，金融行业中的AI不仅仅是行为或技术问题，也是金融稳定问题。该报告着重指出了AI模型发展的快速步伐、对第三方提供者的日益依赖，以及不断演变的供应链，以及当局监控应用、弥补数据缺口和理解与第三方依赖性、集中度风险相关脆弱性的需要。对机构的启示是，AI治理必须超越伦理政策和模型文档，还需涵盖外包、运营韧性和生态系统风险。例如：对少数基础模型提供者、云平台、数据供应商和AI集成层的依赖；对训练数据来源和模型更新周期的有限可见性；以及单一供应商中断、模型变更或安全事件同时影响多家机构的风险。
监管关注可能从单个模型输出扩展至更广泛的控制环境，包括合同及审计权利、变更管理和发布控制、业务连续性和替代规划、数据可携性、事件上报以及对第三方绩效和集中度敞口的持续监控。
对金融机构的实务影响
当前监管格局并未产生单一的通用清单。法律和监管期望将因行业、商业模式、用例、运营足迹和部署设计的不同而有所差异。尽管如此，近期发展指向了许多金融机构现在应当考虑的实务议程。
（治理与监督）董事会和高级管理层应确保对重大AI用例建立明确的问责制、报告路径和审批框架；
（用例评估）机构应确保影响较大的用例获得强化的法律、合规、模型风险和技术审查；
（数据和隐私）提示词、检索和训练工作流程应结合更广泛的数据治理和保密义务进行审查；
（透明度和输出处理）机构应审查客户披露、员工指引、输出标注和质量控制流程是否合乎目的；
（第三方和外包风险）供应商尽职调查、合同控制、替代规划和持续监控应予加强；以及
（测试、监控和事件上报）测试、记录、模型监控和事件上报安排应与用例保持比例相称。
单一的生成式AI部署可能涉及个人数据、银行保密、知识产权、客户通信、模型验证、运营韧性、外包和记录保存等多个方面。因此，将这些问题交由单一的创新或技术团队处理，通常是不够的。
人工监督同样至关重要。对于较高风险用例，泛泛提及“人类参与循环”可能不具有说服力，除非机构能够说明何时需要审核、由谁负责审核、审核者应检查什么、审核如何留证，以及何时触发上部或暂停。
全球金融机构AI治理实践观察
基于对特定全球金融机构AI治理实践的选择性、非穷尽性审查，我们作出以下一般性观察。请注意，该等观察是高层次且说明性的。AI治理没有放之四海而皆准的方法，每家金融机构的框架通常反映了多种因素的综合考量，包括相关司法管辖区适用的监管和监管期望、组织结构、风险偏好、技术成熟度阶段以及AI用例的性质。
普遍的三层治理架构正在形成：许多机构采用针对AI定制的“三道防线/三层”治理模型。在运营层面，AI用例通常由各业务部门以分散化方式提出和开发。在中间层面，机构通常设立跨职能委员会（如AI治理委员会或负责任AI理事会），由风险、合规、数据、技术和业务团队的高级代表组成，负责审核、批准和监控AI用例。在最高层面，董事会或董事会级别的委员会（通常是现有的风险或技术委员会，而非新设的专门董事会级AI委员会）保留对AI战略、风险和治理的最终监督。
机构通常不将AI治理作为独立框架：相反，AI通常纳入现有治理结构中，特别是模型风险管理、操作风险、技术治理和数据治理框架。许多机构将AI模型视为模型风险框架的延伸，使其接受与传统模型类似的验证、监控和定期审查流程，同时调整这些流程以应对AI特有的风险，如可解释性、偏差和模型漂移。
对内部"负责任AI"原则的强烈重视：许多机构制定了内部AI治理原则或标准，作为所有AI用例的基线要求。虽然术语有所不同，但这些原则通常围绕以下共同主题趋于一致：
公平性及避免偏差或歧视性结果；
模型输出和限制的透明度和可解释性；
数据治理、保密性和隐私保护；以及
持续的测试、监控和模型性能验证。
该等原则日益通过内部政策、控制框架和审批工作流程来操作化，而非仅停留在纯粹的宣誓性声明层面。
跨职能治理是核心特征：AI治理很少局限于单一职能。机构通常让数据、技术、法律、合规、风险和业务团队中的多方利益相关者参与其中。专门的AI治理委员会或卓越中心通常用于协调这些职能、制定共同标准，并确保各用例之间的一致性。在某些机构中，集中化的AI职能制定全集团政策和工具，而业务部门保留实施责任。
“逐用例审批委员会”并无统一做法：虽然部分机构设立了正式委员会来审批个别AI用例，但其他机构则依赖现有审批流程（如模型风险委员会或技术变更论坛）。在大型全球性机构中，通常趋向于将AI纳入现有治理基础设施，而非创建全新的审批机构，这反映着AI风险应作为更广泛企业风险框架的一部分加以管理。
生命周期治理日益受到重视：AI治理不仅限于初始审批。机构正更加注重端到端的生命周期控制，包括：
用例分类和风险分级；
部署前测试和验证；
持续的性能监控和漂移检测；
明确的人工干预和上报阈值；以及
定期审查、再训练和退役流程。
这反映了从静态控制向持续监督的更广泛转变。
人工监督仍是核心控制机制：各机构普遍认识到人工监督至关重要，尤其是对于较高风险用例。然而，更成熟的框架已超越泛泛的"人类参与循环"概念，力求更精确地界定何时需要审核、由谁负责审核、应适用何种标准，以及如何记录和留证。
数据治理和模型可解释性是优先关注领域：各机构普遍强调与数据质量、来源和访问控制相关的挑战，以及复杂模型的可解释性。这些通常被视为核心治理问题，而非纯粹的技术考量，特别是在可解释性和可审计性与监管期望密切相关的受监管金融服务环境中。
治理框架随用例和监管期望持续演进：大多数机构仍在迭代其AI治理框架。随着AI用例的扩展——尤其是在客户交互、决策支持和风险管理等领域——治理框架正在被完善以应对新风险、监管发展和运营教训。因此，AI治理应被视为一门动态和不断发展的学科，而非固定的框架。
综合来看，该等观察表明，全球正朝着整合化、以原则为基础和以生命周期为导向的AI治理框架趋同，该等框架植根于现有的风险和控制基础设施，但日益适应以应对AI系统的独特特征和风险。
*在本文中，“香港”指中华人民共和国香港特别行政区。
向下滑动阅览
脚注：
[1]https://www.kingandwood.com/hk/en/insights/latest-thinking/gen-ai-guide-for-financial-institutions.html?redirect
[2]本文重点介绍自我们2025年1月发表文章以来监管方面的最新进展。有关早期法律法规的详细信息，请参阅我们2025年1月发表的文章。
[3]https://www.aof.org.hk/docs/default-source/hkimr/applied-research-report/genairep1.pdf?sfvrsn=7b0261f_0
[4]https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/guidelines_ai_employees.pdf
[5]https://www.digitalpolicy.gov.hk/tc/our_work/data_governance/policies_standards/ethical_ai_framework/doc/HK_Generative_AI_Technical_and_Application_Guideline_tc.pdf
[6]https://brdr.hkma.gov.hk/eng/doc-ldg/docId/getPdf/20251031-6-EN/20251031-6-EN.pdf
[7]https://brdr.hkma.gov.hk/chi/doc-ldg/docId/getPdf/20260309-1-TC/20260309-1-TC.pdf
[8]https://www.kingandwood.com/content/dam/core-components-examples/library/Hong%20Kong%20Monetary%20Authority%20Circular%20on%20Digital%20Transformation.pdf
[9]https://www.fsb.org/uploads/P101025.pdf