Singapura Tetapkan Peraturan Risiko AI untuk Firma Kewangan, dengan Tarikh Akhir pada 2027 dan 2028

Dua tarikh akhir meletakkan penyeliaan AI dalam agenda sektor kewangan

Institusi kewangan Singapura mempunyai sehingga 7 Oktober 2027 untuk memenuhi jangkaan teras penyeliaan terhadap tadbir urus kecerdasan buatan (AI), diikuti tarikh akhir kedua pada 7 Oktober 2028 bagi kawalan, keupayaan dan infrastruktur yang lebih menyeluruh. Monetary Authority of Singapore (MAS) menerbitkan Garis Panduan Pengurusan Risiko Kecerdasan Buatan pada 7 Oktober 2026, yang meliputi semua institusi kewangan dan semua bentuk teknologi AI.

Rangka kerja itu melangkaui chatbot dan perisian yang membantu kakitangan menggubal dokumen. Ia merangkumi pembelajaran mesin tradisional, AI generatif yang menghasilkan kandungan, serta ejen AI yang mampu membuat keputusan atau mengambil tindakan melalui alat yang saling berhubung. MAS memberi amaran bahawa ejen yang mempunyai akses kepada alat boleh secara autonomi melakukan tindakan yang salah atau tidak dibenarkan, menjadikan kuasa untuk bertindak sama penting dengan ketepatan jawapan.

Garis panduan risiko AI pengawal selia itu menetapkan jangkaan penyeliaan dan bukannya undang-undang berasingan yang menetapkan keperluan teknikal seragam untuk setiap firma. Prinsip terasnya ialah kesepadanan: institusi perlu mengenal pasti penggunaan AI mereka, menilai kepentingan dan risiko setiap aplikasi, serta menyediakan kawalan yang sepadan dengan tahap pendedahan tersebut.

Ini mewujudkan sempadan kawal selia yang luas tanpa memperlakukan setiap aplikasi dengan cara yang sama. Sistem yang mempengaruhi saranan pelaburan atau penilaian risiko pelanggan memerlukan tahap penelitian yang berbeza berbanding alat yang digunakan untuk menyemak e-mel dalaman. Perbezaan itu bergantung pada kemungkinan akibat, termasuk kemudaratan kepada pelanggan dan institusi lain, bukan sekadar sama ada sesuatu produk dilabel sebagai AI.

Siapa yang tertakluk kepada rangka kerja ini?

Skopnya merangkumi bank, pengurus dana, penasihat kewangan, syarikat insurans, institusi pembayaran, bursa, pusat penjelasan, kustodian, agensi penarafan kredit dan firma yang berurus niaga dalam produk pasaran modal. Broker niaga hadapan dan derivatif atas kaunter yang dikecualikan turut dinyatakan secara jelas.

Liputan ini merentasi teknologi AI, maka rangka kerja tersebut bukan sekadar buku peraturan AI generatif atau langkah yang hanya menyasarkan bank terbesar. MAS membenarkan institusi menyesuaikan pelaksanaan mengikut profil risiko masing-masing, termasuk skala dan sifat penggunaan AI mereka.

Garis panduan itu juga melengkapi keperluan dan prinsip sedia ada MAS, termasuk Keadilan, Etika, Akauntabiliti dan Ketelusan, yang dikenali sebagai FEAT. Ia menambah rangka kerja pengurusan risiko AI dan bukannya menggantikan kewajipan lebih luas yang sedia mengawal perkhidmatan kewangan.

Bagi institusi yang menentukan skala usaha yang diperlukan, perbezaan utama ialah antara liputan yang luas dengan tahap kawalan yang diperlukan. Tertakluk kepada garis panduan ini tidak bermakna setiap firma mesti membina struktur tadbir urus yang sama. Namun, setiap institusi perlu memahami dengan kukuh di mana AI digunakan dan perkara yang mungkin berlaku jika sistem itu berprestasi buruk atau tidak tersedia.

Apakah perubahan antara sekarang hingga Oktober 2028?

Penerbitan ini menyusuli rundingan yang dilancarkan pada November 2025. Dalam jawapan parlimen pada Ogos 2026, MAS berkata garis panduan yang dicadangkan akan dimuktamadkan tidak lama lagi dan mengesahkan bahawa ia merangkumi AI ejen. Pengumuman pada Oktober kemudian menetapkan dua peringkat pelaksanaan.

• November 2025: MAS melancarkan rundingan awam mengenai cadangan garis panduan pengurusan risiko AI.
• 5 Ogos 2026: Jawapan parlimen mengesahkan bahawa cadangan itu meliputi semua kes penggunaan AI oleh institusi kewangan, termasuk AI ejen.
• 7 Oktober 2026: MAS menerbitkan garis panduan muktamad.
• 7 Oktober 2027: Garis panduan berkuat kuasa, dengan jangkaan dalam Seksyen 3 dan 4 terpakai mulai tarikh ini.
• 7 Oktober 2028: Institusi perlu memenuhi jangkaan dalam Seksyen 5 dan 6.

Jadual ini memberi firma tempoh setahun dari tarikh penerbitan untuk mewujudkan rangka kerja teras bagi penyeliaan, pengurusan risiko dan dasar, diikuti setahun lagi untuk aturan operasi yang lebih menyeluruh. Tarikh akhir kemudian itu tidak menangguhkan keseluruhan rangka kerja sehingga 2028.

Laporan ringkas menyatakan tarikh kuat kuasa sebagai 7 Oktober tanpa menyebut tahun. Penerbitan dan pengumuman MAS menyatakannya dengan jelas: tarikh kuat kuasa ialah 7 Oktober 2027, dengan pelaksanaan berperingkat berterusan hingga 2028.

Lembaga kekal bertanggungjawab tanpa perlu menubuhkan jawatankuasa baharu

MAS menjangkakan lembaga dan pengurusan kanan memberikan penyeliaan berkesan terhadap risiko AI. Ini termasuk menetapkan tanggungjawab, menentukan selera risiko serta mewujudkan rangka kerja, dasar dan prosedur pengurusan risiko. Selera risiko bermaksud tahap dan jenis risiko yang sanggup diterima oleh sesebuah institusi.

Pengumuman penerbitan pengawal selia itu menangani kebimbangan praktikal yang dibangkitkan semasa rundingan: firma boleh menggunakan struktur tadbir urus sedia ada jika struktur tersebut menyediakan penyeliaan dan penyelarasan yang mencukupi merentas fungsi berkaitan. Jawatankuasa AI khusus tidak diwajibkan semata-mata untuk memenuhi jangkaan ini.

Perbezaan ini penting dalam pelaksanaan. Keperluannya ialah akauntabiliti yang berkesan, bukannya nama jawatankuasa atau carta organisasi tertentu. Aturan sedia ada boleh memenuhi jangkaan tersebut, tetapi hanya jika ia mampu menyelia risiko AI dan menyelaraskan pihak yang bertanggungjawab menguruskannya.

Institusi perlu mengurus risiko itu pada dua peringkat: di seluruh organisasi dan dalam aplikasi individu. Sesuatu aplikasi mungkin kelihatan mudah diurus secara berasingan, sedangkan penggunaan AI yang semakin meluas oleh firma memerlukan penyeliaan, kemahiran atau infrastruktur yang lebih menyeluruh. Oleh itu, MAS menjangkakan institusi membina keupayaan mereka seiring dengan pertambahan penggunaan AI.

Inventori menjadikan penilaian risiko lebih konkrit

Institusi kewangan perlu mengenal pasti penggunaan AI mereka dan menyelenggara inventori dengan tahap perincian yang sesuai. Inventori menjadi asas untuk menilai aplikasi yang paling penting dan menentukan kawalan yang diperlukan. Tanpa asas itu, pengurusan kanan tidak dapat menentukan pendedahan institusi dengan andal.

MAS juga menjangkakan penilaian terhadap materialiti risiko setiap aplikasi. Secara mudah, ini bermakna menilai sama ada kegagalan, prestasi buruk atau kehilangan ketersediaan boleh membawa akibat yang ketara kepada institusi, pelanggan atau pihak berkepentingan lain, termasuk institusi kewangan lain.

Rangka kerja itu mengenal pasti risiko kewangan, operasi, tatakelakuan, jenayah kewangan dan reputasi. AI generatif turut menimbulkan risiko keselamatan, privasi dan risiko yang berkaitan dengan penyedia luar. Kategori ini menjadikan penilaian lebih luas daripada sekadar menyemak sama ada model biasanya memberikan jawapan yang tepat.

MAS membenarkan dasar dan prosedur asas jika prestasi buruk atau ketidaktersediaan perkhidmatan AI tidak mungkin memberi kesan material. Kawalan yang lebih canggih wajar dilaksanakan apabila tahap pendedahan meningkat. Ujian praktikalnya ialah kemungkinan kesan kegagalan, bukannya kebaharuan teknologi tersebut.

Kawalan perlu diteruskan selepas sistem AI diperkenalkan

Garis panduan ini menghendaki kawalan yang sepadan sepanjang kitar hayat AI, iaitu peringkat daripada pembangunan dan pengujian hingga pelaksanaan, penggunaan dan perubahan seterusnya. MAS menyenaraikan tadbir urus data, pengujian, penyeliaan manusia, keselamatan siber, pemantauan dan pengurusan perubahan sebagai antara kawalan tersebut.

Tadbir urus data berkaitan dengan cara maklumat diurus dan digunakan. Pengujian menilai sama ada sesuatu sistem sesuai untuk tujuan yang dimaksudkan. Pemantauan menyemak prestasi semasa operasi, manakala pengurusan perubahan menangani pengubahsuaian yang boleh mengubah tingkah laku atau risiko. Ini ialah tanggungjawab yang saling berkaitan, bukannya satu proses kelulusan sebelum pelancaran.

Penyeliaan manusia juga merupakan sebahagian daripada rangka kerja ini. Bagi sistem AI yang boleh mempengaruhi atau melaksanakan keputusan kewangan, persoalannya bukan sekadar sama ada seseorang boleh membaca hasilnya. Institusi perlu mempertimbangkan bagaimana penyeliaan disesuaikan dengan risiko aplikasi dan tindakan yang boleh dilakukannya.

MAS menjangkakan kawalan disemak secara berkala apabila penggunaan AI berkembang dan teknologi berubah. Aturan yang direka untuk alat penggubal teks mungkin perlu dinilai semula jika alat itu kemudian mendapat akses kepada sistem yang membolehkannya mengambil tindakan. Garis panduan itu secara khusus mengaitkan semakan berkala dengan peningkatan penggunaan ejen autonomi.

Membeli AI tidak memindahkan akauntabiliti

Institusi kewangan kekal bertanggungjawab terhadap AI yang digunakan dalam perkhidmatan yang disediakan, termasuk sistem yang dibangunkan, dikendalikan atau dibekalkan oleh syarikat luar. Penyumberan luar teknologi tidak bermakna tanggungjawab terhadap risiko yang diwujudkannya turut disumberluarkan.

MAS menjangkakan firma mendapatkan jaminan yang mencukupi daripada penyedia dan menilai sama ada AI mereka sesuai untuk kegunaan yang dimaksudkan. Jika terdapat kekangan praktikal atau jurang dalam jaminan, institusi perlu menggunakan kawalan pampasan. Ini ialah langkah untuk mengurangkan risiko apabila jaminan atau kawalan yang diutamakan tidak tersedia.

Pengawal selia itu juga menetapkan tindakan yang perlu diambil apabila langkah tersebut tidak mencukupi. Jika risiko tidak dapat dikurangkan sehingga berada dalam lingkungan selera risiko institusi, institusi itu perlu mempertimbangkan untuk mengehadkan, menggantung atau menggantikan perkhidmatan AI tersebut. Penggunaan berterusan tidak wajar hanya kerana penyedia itu menarik dari sudut komersial atau sistem tersebut sudah diterapkan dalam operasi.

Ini menangani satu lagi kebimbangan dalam rundingan: AI yang diterapkan dalam produk dan perkhidmatan. Persoalan yang relevan ialah cara institusi menggunakan fungsi itu dan mengurus akibatnya, bukannya sama ada institusi itu membangunkan model tersebut sendiri. Penilaian perlu mengaitkan jaminan penyedia dengan penggunaan sebenar yang dimaksudkan oleh firma.

AI ejen diliputi sebelum panduan lanjut dikeluarkan

AI ejen boleh melakukan lebih daripada menghasilkan jawapan. Ia mungkin menggunakan alat untuk melaksanakan tugasan dan bertindak dengan lebih autonomi. Dalam perkhidmatan kewangan, hal ini menjadikan kebenaran, campur tangan dan rekod keputusan sebagai perkara utama dalam mengurus risiko tindakan yang salah atau tidak dibenarkan.

Dalam jawapan parlimen pada Ogos, Gan Kim Yong, Timbalan Perdana Menteri, Menteri Perdagangan dan Perusahaan serta Pengerusi MAS, mengesahkan bahawa garis panduan yang dicadangkan terpakai kepada semua kes penggunaan AI oleh institusi kewangan, termasuk AI ejen. Jawapan itu membalas soalan Mariam Jaafar, Ahli Parlimen bagi GRC Sembawang, mengenai ejen autonomi dan kemungkinan keperluan penyeliaan.

Gan turut menjelaskan sumber praktikal yang dibangunkan bersama industri. Di bawah Project MindForge, industri membangunkan Kit Alat Pengurusan Risiko AI untuk membantu institusi melaksanakan garis panduan tersebut. Rangka kerja Safeguards for Agentic Finance at Runtime, yang dikenali sebagai SAFR, menggariskan pendekatan berpotensi untuk membenarkan tindakan ejen, mengaktifkan penyeliaan manusia dan merekodkan perkara yang berlaku pada setiap keputusan penting.

Sumber-sumber itu mempunyai tujuan yang berbeza daripada rangka kerja penyeliaan. Kit alat itu menyokong pelaksanaan, manakala SAFR menerangkan pendekatan operasi yang berpotensi. Jawapan parlimen itu tidak mengumumkan bahawa SAFR sendiri akan diwajibkan.

MAS bercadang untuk berunding dengan sektor kewangan pada 2027 mengenai panduan tambahan untuk AI ejen yang mungkin berguna. MAS belum menetapkan tarikh khusus rundingan atau mengumumkan kandungan mana-mana panduan yang bakal dihasilkan. Ejen sudah termasuk dalam skop garis panduan, maka rundingan yang dirancang itu bukan alasan untuk menangguhkan pengurusan risikonya.

Kejelasan kawal selia, dengan had risiko yang boleh diterima

MAS membentangkan rangka kerja itu sebagai sokongan kepada penggunaan AI secara bertanggungjawab, bukannya larangan terhadap AI. Responden rundingan menyokong pendekatan berasaskan prinsip dan kawalan yang sepadan, sambil meminta penjelasan tentang struktur tadbir urus sedia ada, AI yang diterapkan dalam produk dan keadaan apabila dasar asas memadai. Rangka kerja muktamad mengekalkan jangkaan utama sambil menangani kebimbangan tersebut.

Ho Hern Shin, Timbalan Pengarah Urusan MAS, mengaitkan potensi manfaat AI dengan keperluan institusi memahami sistem yang semakin canggih. Beliau berkata:

Merealisasikan manfaat ini secara mampan memerlukan institusi kewangan memahami dan mengurus risiko yang datang bersama sistem AI yang semakin canggih.

Kenyataan beliau menggambarkan keseimbangan yang menjadi teras garis panduan itu. Institusi boleh mengejar peningkatan produktiviti, pengurusan risiko yang lebih kukuh dan perkhidmatan baharu, tetapi mereka mesti kekal bertanggungjawab terhadap sistem yang digunakan untuk menyediakannya.

Pencapaian tetap yang seterusnya ialah tarikh akhir pelaksanaan pada Oktober 2027 dan Oktober 2028. Rundingan tambahan mengenai AI ejen dirancang pada 2027, sementara MAS turut menyatakan bahawa pihaknya akan terus menyemak dan mengemas kini jangkaan penyeliaan jika perlu. Tiada tarikh akhir berasingan untuk keperluan baharu AI ejen diumumkan.

Perkara Utama

• MAS menerbitkan garis panduan pengurusan risiko AI pada 7 Oktober 2026, yang meliputi semua institusi kewangan dan teknologi AI.
• Jangkaan teras dalam Seksyen 3 dan 4 terpakai mulai 7 Oktober 2027; Seksyen 5 dan 6 perlu dilaksanakan menjelang 7 Oktober 2028.
• Lembaga dan pengurusan kanan perlu menyediakan penyeliaan yang berkesan, tetapi jawatankuasa AI khusus tidak diwajibkan.
• Institusi perlu menyenaraikan penggunaan AI, menilai materialitinya dan melaksanakan kawalan yang sepadan dengan potensi kemudaratan.
• Firma kekal bertanggungjawab terhadap AI yang dibekalkan penyedia luar dan perlu mempertimbangkan untuk mengehadkan atau menggantikan perkhidmatan yang mempunyai risiko tidak boleh diterima.
• AI ejen sudah termasuk dalam skop. MAS merancang rundingan lanjut pada 2027 mengenai kemungkinan panduan tambahan.