上周跟一位城商行风险部的老同学吃饭,他跟我倒苦水:行里年初上的那套"智能审批助手",上个月被合规部叫停了。原因说出来
这不是个案。2024年底《银行保险机构数据安全管理办法》落地,2025年6月1日正式施行;再往前,人民银行那份《金融领域科技伦理指引》已经把"算法可解释、防歧视"写进了行业标准。加上《个人信息保护法》第二十四条那句"个人有权拒绝仅通过自动化决策的方式作出决定"——红线其实早就画好了,只是很多银行忙着上模型,没顾上低头看线在哪。我的判断很直接:AI进信贷不是能不能用的问题,是哪些环节碰不得的问题,而这道线,划在"人对结论的最终控制权"上。
忙着上模型,没顾上低头看线在哪。我的判断很直接:AI进信贷不是能不能用的问题,是哪些环节碰不得的问题,而这道线,划在"人对结论的最终控制权"上。监管划的不是一条线,是四道闸
很多人以为监管在限制AI,其实不是。翻完这几份文件你会发现,监管限制的是"无痕、无据、无人"的自动化决策。
数据闸最硬。《银行保险机构数据安全管理办法》明确要求数据分类分级,个人金融信息属于敏感数据,处理要有专门的评估和授权。翻译成一线场景就是:你不能把客户征信、流水、财报直接贴进一个公网大模型让它生成授信报告。这事我见过不止一次,客户经理图省事,把企业年报和征信明细往对话框里一粘,几秒钟出一份像模像样的调查模板——效率是真高,数据出域也是真的。
决策闸最敏感。个保法第二十四条那半句话,是信贷审批绕不过去的坎。拒贷、降额、提高定价,这些对客户权益有重大影响的决定,客户有权要求说明,也有权拒绝"仅由机器作出"。注意是"仅"字,这意味着人工复核不是可选项,是法定配置。
解释闸和留痕闸是一对。《金融领域科技伦理指引》要求算法可解释、避免歧视,《生成式人工智能服务管理暂行办法》要求生成内容可标识
客服答错一句话,客户骂两句就过去了。可一笔该放的贷款被拒了,一个小微企业主的资金链可能就断在那个节点上;一笔不该放的贷款过了,三年后就是一笔不良,还要写进1104报表,还要在监管检查时逐笔解释。这个场景里,错误的成本不是对称的,而且都落在具体的人身上。
翼翼?因为后果不可逆。客服答错一句话,客户骂两句就过去了。可一笔该放的贷款被拒了,一个小微企业主的资金链可能就断在那个节点上;一笔不该放的贷款过了,三年后就是一笔不良,还要写进1104报表,还要在监管检查时逐笔解释。这个场景里,错误的成本不是对称的,而且都落在具体的人身上。
更现实的是,信贷是全行数据链条最完整、也最敏感的环节。征信、税务、工商、流水、押品估值,全都在这儿汇合。交叉核验这四个字,不是流程上的装饰,是风险的第一道防线。我见过有分行用AI生成贷后管理报告,字段填得漂漂亮亮,但客户实际经营地址变更了三个月都没人发现——模型不会去现场,它只会把已有的数据重新排列组合一遍。
可银行为什么还是非得用
说实话,如果把AI从信贷链条上一刀切掉,很多银行的零售和小微业务会直接停摆。
2025年一季度,商业银行净息差已经降到1.43%,比2024年末又低了近10个基点。这个数字意味着什么?意味着靠利差吃饭的日子越来越薄,只能从运营效率里抠利润。客户经理人均管户数、单笔贷款的作业成本、贷后检查的覆盖频率,每一项都是真金白银。六大行2024年的信息科技投入合计超过1200亿元,招行一家就是130多亿——这么多钱砸下去,你让它只用来做报表?不可能。
所以矛盾不在"用不用",在"怎么用"。我甚至认为,接下来两年银行之间真正的分化,不是谁家的模型参数大,而是谁家的AI应用边界画得清楚、制度跟得上。
能放开的地方,其实比不能碰的多得多
我的经验是,把信贷链条上的AI场景拆开看,大致分三层。
可以放心用的是辅助层:材料OCR识别、财报数据抽取、工商司法信息比对、贷后预警线索初筛、反洗钱可疑交易线索聚类。这些场景的共同点是,AI只负责"找出值得看的东西",结论由人下。出了问题,是漏筛不是误判,风险性质完全不同。
需要设条件的是建议层:客户分层、额度预授信测算、定价区间参考。可以用,但必须留下人工调整的痕迹,而且调整理由要能说清。这一层最容易被做歪——系统给个建议,客户经理懒得改,一路点下一步,最后变成了事实上的自动化决策。
真正碰不得的是决定层:自动拒绝授信、自动调整额度、自动生成直接触达客户的营销话术、自动给出定价并直接生效。这几件事,客户权益影响大、可解释性要求高、投诉概率高,一旦出事就是监管处罚级的问题。
中小银行没有议价权,但有选择权
大行可以自建千卡集群,中小行不行。这是现实。但中小行也不是只能等着被落下。
一条路是私有化部署或者行业云,把数据关在域内,模型能力弱一点没关系,能跑通几个高频场景就够。另一条路是外采模型,但这时候供应商管理就成了新风险点。《银行保险机构数据安全管理办法》里对外包和第三方管理有明确要求,模型供应商同样适用——你把数据和决策逻辑交给别人,风险也就跟着出去了。我见过有农商行签合同时连"训练数据是否包含本行客户信息"这一条都没问,后来发现被坑得不轻。
第三条路最实在:先把制度建起来,再谈模型。AI应用台账、模型输入数据清单、拒绝类决策人工复核规程,这三样东西花不了多少钱,但能挡住八成的合规麻烦。
我会这么干
如果让我给一家准备上AI的银行提建议,就三条。
第一,把所有AI应用场景列一张清单,按"辅助/建议/决定"三层归类,决定层的场景先冻结,一个一个过合规评审,过不了就退回建议层。
第二,把拒绝类决策的人工复核写进正式制度,不是操作习惯,是白纸黑字的规程,日志要能追溯到人、到时间、到理由。检查的时候,检查的是制度,不是你口头解释。
第三,把数据分级清单和模型输入清单对齐一遍。哪类数据能进哪个模型,写清楚。这件事做完你会出一身汗——我敢保证,至少有三四个现在跑着的场景,数据其实是越界的。
红线不是用来拦路的,是用来告诉你哪条路能走远。信贷这行做了这么多年,我始终相信一句话:能解释的决策才是负责任的决策,AI也一样。
本文由「银行人实用工具箱」(deepwater84.cn)出品,专注银行从业者的效率工具与专业内容。
