ИИ в брокерских компаниях: как соблюсти требования FINRA (разбор Notice 24-09)

Позиция FINRA по генеративному ИИ короткая и умещается в одну фразу: правила технологически нейтральны и уже применяются. Ценность уведомления не в новизне, а в том, какие существующие нормы оно перечисляет. Именно против них и будут проводить экзамен.

Что такое Notice 24-09 и почему это не новая регуляторика

Regulatory Notice 24-09, выпущенный 27 июня 2024 года, называется «FINRA напоминает участникам об регуляторных обязательствах при использовании генеративного искусственного интеллекта и больших языковых моделей». Слово «напоминает» здесь работает по-настоящему. Уведомление не создаёт новых правил, не предлагает изменений и не требует одобрения SEC. Оно просто пересказывает, что правила FINRA технологически нейтральны, и указывает, какие обязательства чаще всего нарушаются.

Тем не менее именно этот документ стоит положить в основу комплаенс-файла. Практическая причина: он говорит, о чём экзаменаторов проинструктировали думать. Фирма, чьё ИИ-управление построено вокруг тех же заголовков правил, отвечает на вопросы в той форме, в которой их зададут. В ежегодном отчёте FINRA о надзоре тоже есть разделы про ИИ, но они описывают наблюдения и находки, а не требования.

Это не юридическая или комплаенс-консультация. Обязательства различаются в зависимости от направления бизнеса, категории регистрации и конкретного применения. Проконсультируйтесь со своими комплаенс- и юридическими функциями.

Какие правила FINRA важнее всего для ИИ

Rule 3110: надзорная система, а не просто документация

FINRA Rule 3110 требует от каждой фирмы создать и поддерживать надзорную систему, разумно разработанную для соблюдения законов о ценных бумагах и правил FINRA, а также иметь письменные процедуры. Rule 3120 — о тестировании и проверке этих процедур. Ключевое словосочетание — «разумно разработанная». Оно ориентировано на результат: процедура не является разумной только потому, что существует.

Вот конкретные вопросы надзора для генеративного ИИ:

• Инвентаризация и одобрение. Какие инструменты используются, кем одобрены и для чего. Несанкционированное использование зарегистрированными представителями — самая частая находка. Это провал надзора, даже если ничего не отправили клиенту.
• Контроль точности выходных данных. Модель, которая выдумывает коэффициент расходов фонда в клиентском резюме, — это нарушение правил о коммуникациях. Контроль — проверка перед использованием, а не уверенность в модели.
• Конфиденциальность и информационные барьеры. Общий ассистент с доступом к существенной непубличной информации или пересекающий барьер между исследованием и трейдингом — это проблема информационных барьеров в новой форме.
• Данные клиентов и Regulation S-P. Передача информации клиента третьему лицу — провайдеру модели — включает правила безопасности и обязательства по приватности.
• Тестирование. Rule 3120 означает, что контроль ИИ нужно тестировать, а не просто писать. Выборка выходов и проверка доказательств проверки — конкретная форма этого.

Rule 2210: ИИ-коммуникации и риск «размытого» одобрения

Rule 2210 управляет коммуникациями с публикой: они должны быть честными и сбалансированными, давать разумную основу для оценки фактов и не могут быть ложными, преувеличенными, обещающими или вводящими в заблуждение. Требования одобрения и файлинга зависят от типа коммуникации — розничная, институциональная или корреспонденция.

В Rule 2210 не важно, кто написал коммуникацию — человек или ИИ. ИИ-черновик розничной коммуникации требует одобрения руководителя до использования, точно так же, как и человеческий черновик. Риск комплаенса — объём: инструмент, позволяющий каждому представителю создавать персонализированные рыночные комментарии, генерирует очередь проверки, на которую не рассчитан существующий процесс одобрения. Типичный сценарий — одобрение становится номинальным.

Есть и второй план: заявления фирмы о собственном использовании ИИ сами являются коммуникациями по Rule 2210. Преувеличение возможностей ИИ — нарушение контентных стандартов FINRA, а для советников — ещё и путь к enforcement-действиям SEC в духе «AI washing».

Records, Reg BI и объяснимость рекомендаций

Rule 4511 требует от участников создавать и хранить книги и записи в соответствии с правилами FINRA и Exchange Act. Для ИИ это создаёт конкретное инженерное требование, которое легко пропустить: если генеративный инструмент создаёт коммуникацию с клиентом, эта коммуникация — запись. Вопрос, являются ли промпт и версия модели записями, менее однозначен, но только они позволяют реконструировать, как коммуникация стала такой, какая она есть. Фирма, которая не может этого сделать, окажется в плохом положении при проверке. Защитная практика — хранить промпт, идентификатор и версию модели, выход и имя утвердившего руководителя.

Regulation Best Interest включается везде, где ИИ участвует в рекомендации розничному клиенту. Обязанность заботы требует разумных оснований считать, что рекомендация в интересах клиента. Рекомендация, которую фирма не может объяснить, — это рекомендация, для которой она не может продемонстрировать разумное основание. В 2023 году SEC предложила правила о конфликтах интересов при использовании предиктивной аналитики, но это предложение встретило существенную оппозицию и не должно рассматриваться как действующее. Проверьте его текущий статус, прежде чем ссылаться.

Управление вендорами: вы покупаете ИИ, но ответственность остаётся на вас

Большинство ИИ в брокерских фирмах покупается, а не разрабатывается. FINRA напомнила об этом в Regulatory Notice 21-29: аутсорсинг не снимает обязанности по надзору и не освобождает от должной осмотрительности и постоянного мониторинга. ИИ-специфичные вопросы тщательной проверки те же, что у банков: какие провайдеры моделей стоят за продуктом, какие условия хранения и обучения, как вы узнаете о смене версии модели и что происходит при прекращении контракта.

Что FINRA оставило открытым

Notice 24-09 намеренно короток, и в нём есть вещи, на которые ответа нет. Честно это признать полезнее, чем выводить ответ за рамки текста.

• Является ли ИИ-сгенерированное резюме исследованием. Определения написаны для аналитиков-людей.
• Что надзор означает для внутреннего ассистента. Инструмент для черновиков внутренних меморандумов явно менее рискован, но порог нигде не указан.
• Обязаны ли промпты быть записями. Указано как хорошая практика, но не как обязательство.
• Как должна работать коммуникация с клиентами об ИИ. Общего правила о раскрытии факта использования ИИ нет. Некоторые штаты и не-американские юрисдикции движутся в этом направлении, FINRA — пока нет.

Фирма, которая отвечает на эти вопросы письменно и с обоснованием, окажется в гораздо лучшей позиции, чем та, что ответила на них молча, просто запустив продукт. Обоснование — это то, как выглядит разумно разработанная надзорная система, когда правило не даёт готового ответа.