Mielőtt az AI élesbe megy: ki dönt, ki felel, ki állítja le?
Elkészül egy AI-pilot egy bankban, a tesztek jól sikerülnek, az üzleti terület látja benne az értéket, a technológia működik. Ilyenkor könnyű azt gondolni, hogy a következő lépés az élesítés. Ekkor kerülnek azonban egy asztalhoz azok, akiknek a kísérleti bevezetés során még nem feltétlenül kellett minden döntésben részt venniük: az üzleti terület, az IT, az információbiztonság, a kockázatkezelés, a compliance és a jog. Ki mondja ki, hogy a megoldás használható? Ki vállalja a felelősséget a modell működéséért? Hol marad kötelező emberi kontroll? Ki figyeli az AI-t az élesítés után? És kinek van joga leállítani, ha a rendszer eltér attól, amit a tesztelés során láttak?
A TechShow X. második napjának „1.B · Governance és compliance a gyakorlatban” szekciója ezt a döntési helyzetet bontja ki. A CMS a szabályozási keretet, az MNB a felügyeleti elvárásokat helyezi kontextusba, majd az Erste, az OTP és a K&H vezetői mutatják meg, hogyan találkoznak ezek a követelmények a banki működéssel.
Az első feladat: tudni, milyen AI van előttünk
Az AI-governance egyik legnehezebb része már az élesítés előtt elkezdődik. Pontosan meg kell határozni, mire használja az intézmény a rendszert, milyen döntésekhez kapcsolódik, milyen adatokat kezel, kikre lehet hatással, és milyen kockázati kategóriába tartozik. Ez azért fontos, mert nem minden AI-alkalmazásra ugyanazok a követelmények vonatkoznak.
Az AI Act a magas kockázatú rendszerek alkalmazóitól többek között megfelelő technikai és szervezeti intézkedéseket, emberi felügyeletet és a rendszer működésének monitorozását várja el. Az emberi felügyeletet olyan személyekre kell bízni, akik rendelkeznek a szükséges kompetenciával és tényleges döntési jogosultsággal. Bizonyos esetekben pedig a használat felfüggesztése is az alkalmazó feladata, ha a rendszer működése kockázatot jelenthet.
A DORA világos vezetői felelősséget rendel az IKT-kockázatok kezeléséhez: a pénzügyi intézmény vezető testülete felel az IKT-kockázatkezelési keret jóváhagyásáért és felügyeletéért, miközben külső technológiai szolgáltató használata esetén sem kerül át hozzá a szabályozói felelősség. Egy külső AI-szolgáltatás bevezetése ezért egyszerre vethet fel AI-governance, informatikai kockázati, adatkezelési és beszállítói kérdéseket.
A felügyelet már a szervezeti működést is látni akarja
A hazai bankoknak saját intézményi keretet is ki kellett építeniük. Az MNB 13/2025. ajánlása külön fejezetet szentel a felelős MI-használatnak, és elvárta, hogy a hitelintézetek 2026. június 30-ig MI-alstratégiával egészítsék ki digitális transzformációs stratégiájukat. Az ajánlás a szervezetirányítás mellett az adatkormányzás, az informatikai és kiberbiztonság, valamint a szükséges MI-kompetenciák kialakítását is érinti.
2026 őszére ezért már nem egy jövőbeli felkészülési feladatról beszélünk. A bankoknak el kellett kezdeniük szervezeti keretbe rendezni, hogyan választják ki, fejlesztik, engedélyezik és felügyelik az AI-megoldásokat. A dokumentáció ebben az értelemben nem adminisztratív melléktermék: abból válik visszakövethetővé, hogy milyen kockázatokat mérlegelt az intézmény, ki hagyta jóvá a használatot, milyen kontrollokat építettek be, és mi alapján avatkoznak közbe, ha a rendszer működése megváltozik.
Az élesítésnél találkozik a szabályzat a szervezeti valósággal
A szekció záró kerekasztalán három különböző banki szerepkör találkozik. Az üzleti terület a felhasználási eset eredményét és ügyfélértékét nézi. A technológiai oldalnak a rendszer működését, integrációját és monitorozhatóságát kell biztosítania. A megfelelési terület azt vizsgálja, hogy az alkalmazás belefér-e a szabályozási és intézményi keretekbe. A kockázatkezelés és az információbiztonság saját kontrollokat hoz ugyanahhoz a döntéshez. Az élesítéshez ezeknek a nézőpontoknak működő döntési renddé kell összeállniuk.
A valódi próba pedig az első eltérésnél érkezik. Ha a modell teljesítménye romlik, szokatlan választ ad, megváltozik az alapjául szolgáló technológia vagy új kockázat jelenik meg, előre meghatározott felelősségi rendre van szükség. Valakinek észlelnie kell a problémát, valakinek értékelnie kell a kockázatot, és valakinek rendelkeznie kell azzal a felhatalmazással, hogy korlátozza vagy leállítsa a működést. Ettől válik az AI-governance kézzelfoghatóvá.
A TechShow X. „1.B · Governance és compliance a gyakorlatban” szekciója így a jogszabályi térképtől eljut a felügyeleti elvárásokon keresztül egészen az éles banki döntési helyzetig. Egy AI-rendszer biztonságos használatához végül nem elég tudni, mire képes a technológia. A szervezetnek azt is pontosan tudnia kell, ki hozza meg a döntéseket, ki viseli értük a felelősséget, és ki avatkozik be, amikor erre szükség van.
