Banku sektors un finanses — ES MI akta atbilstības ceļvedis

ES MI akta pienākumi bankām, kredītiestādēm un fintech uzņēmumiem. Kredītvērtēšanas MI, NILLTPF sistēmas, algoritmiskā tirdzniecība, DORA mijiedarbība un EBI vadlīnijas.

Kāpēc banku sektors saskaras ar koncentrētu ES MI akta iedarbību

Banku un finanšu pakalpojumu sektors atrodas ES MI akta stingrāko pienākumu un ES viskomplicētākās regulatīvās vides krustpunktā. Finanšu iestādes ir vieni no lielākajiem MI izmantotājiem Eiropā — kredītu parakstīšanā, krāpšanas atklāšanā, NILLTPF/TPFN pārbaudēs, klientu pienācīgā pārbaudē, algoritmiskajā tirdzniecībā un bagātības pārvaldībā. ES MI akts tieši vērsts uz šo lietošanas gadījumu vissvarīgākajiem aspektiem caur III pielikumu, klasificējot vairākus finanšu MI lietojumus kā augsta riska pēc definīcijas.

Banku sektors darbojas arī blīvā jau pastāvošā regulatīvā slānī: DORA, MiFID II, CRD IV/CRR, NILLTPF direktīvas, VDAR un BCBS 239. ES MI akts neaizstāj šos satvarus — tas papildina tos. Kredītiestādei, kas izvieto MI balstītu kredītvērtēšanas modeli, vienlaikus rodas pienākumi saskaņā ar MI aktu (III pielikums, Art. 9–16), DORA (IKT riska pārvaldība) un EBI modeļu riska pārvaldības vadlīnijām.

Augsta riska MI lietošanas gadījumi banku nozarē saskaņā ar III pielikumu

III pielikuma 5(b) kategorija skaidri uzskaita MI, ko izmanto fizisko personu kredītspējas vai kredītreitinga novērtēšanai, un MI, ko izmanto juridisko personu kredītriska novērtēšanai, kur MI nosaka vai būtiski ietekmē rezultātu. Tas aptver plašu finanšu MI izvietojumu klāstu.

Kredītvērtēšanas un parakstīšanas modeļi — automatizētas sistēmas, kas nosaka aizdevuma atbilstību, kredīta limitus vai procentu likmes mazumtirdzniecības un MVU klientiem — ir augsta riska MI saskaņā ar Art. 6(2) kopā ar III pielikumu. Bankām, kas darbojas kā šādu sistēmu nodrošinātājas, jāpabeidz atbilstības novērtējumi, jāuztur tehniskā dokumentācija saskaņā ar Art. 11, jāievieš riska pārvaldības sistēmas saskaņā ar Art. 9, jānodrošina cilvēka uzraudzības mehānismi saskaņā ar Art. 14 un jāreģistrē sistēma ES MI akta datubāzē (Art. 71) pirms izvietošanas.

NILLTPF un krāpšanas atklāšanas sistēmas sniedz niansētāku ainu. Sistēmas, kas piemēro sankciju pārbauді, darījumu uzraudzību vai uzvedības analītiku, lai atzīmētu aizdomīgu darbību, parasti ietekmē finanšu iestādes, nevis tieši nosaka iznākumus personām. Ja MI rezultāts ir primārais pamats negatīvai rīcībai pret klientu (konta iesaldēšana, pakalpojuma atteikums), augsta riska klasifikācija var tikt aktivizēta saskaņā ar III pielikuma kat. 5(b) vai kat. 6 (tiesībaizsardzība) atkarībā no valsts iestādes lomas. Bankām jāveic rūpīga klasifikācijas analīze.

VMMI balstīti rīki — lielie valodas modeļi, ko izmanto klientu apkalpošanai, dokumentu apstrādei vai ieguldījumu analīzei — ir pakļauti Art. 50 pārredzamības prasībām (izpaušana, ka lietotāji mijiedarbojas ar MI) un, ja modeļa nodrošinātājam ir sistēmisks risks, Art. 55 pienākumiem.

Nodrošinātāja un izvietotāja pienākumi bankām

Bankas var darboties kā nodrošinātājas (veidojot savus MI modeļus), izvietotājas (izmantojot trešo pušu MI sistēmas) vai abās lomās. Šī atšķirība nosaka pienākumu profilu:

Bankas, kas iegādājas kredītvērtēšanas MI no fintech pārdevēja, darbojas kā izvietotājas saskaņā ar Art. 26. Tām jāpārbauda, vai pārdevējs ir pabeidzis atbilstības novērtējumu, jāintegrē cilvēka pārbaude nelabvēlīgu lēmumu procesos, jāuztur lietošanas žurnāli 10 gadus (Art. 26(6)) un jānodrošina, ka MI lēmumi tiek izskaidroti ietekmētajām personām saskaņā ar VDAR Art. 22 un ES MI akta Art. 13.

Nozares regulējuma pārklāšanās: DORA, MiFID II un Maksātspēja II

DORA (Regula 2022/2554) attiecas uz bankām, ieguldījumu brokeru sabiedrībām, apdrošināšanas sabiedrībām un IKT trešo pušu pakalpojumu sniedzējiem. Konkrēti attiecībā uz MI, DORA pieprasa:

• MI sistēmas tiek uzskatītas par IKT sistēmām, uz kurām attiecas riska pārvaldības satvari (Art. 6 DORA)
• Ar IKT saistīto incidentu klasifikācija un ziņošana — MI kļūmes var būt nozīmīgi IKT incidenti
• Kritisko IKT sistēmu noturības testēšana — MI modeļi iekļauti, ja tie ir būtiski operācijām
• Trešo pušu riska pārvaldība, kas aptver MI pārdevēju līgumus, izstāšanās stratēģijas un revīzijas tiesības

MiFID II (Finanšu instrumentu tirgu direktīva) attiecas uz algoritmisko tirdzniecību un ieguldījumu konsultācijām. Ar MI ģenerēti ieguldījumu ieteikumi aktivizē piemērotības novērtēšanas prasības; algoritmiskās tirdzniecības sistēmām nepieciešami pirmstirdzniecības kontroles pasākumi, ārkārtas apturēšanas slēdži un regulatīvs paziņojums.

EBI vadlīnijas par IKT un drošības riska pārvaldību (EBA/GL/2019/04, atjauninātas 2022) uzliek tehnoloģiju riska pārvaldību, kas aptver MI modeļus, operacionālās nepārtrauktības prasības un modeļu validācijas neatkarību. Tās būtiski saskan ar ES MI akta Art. 9 riska pārvaldības prasībām.

Izpildes iestādes

ES MI akta izpilde banku MI jomā darbojas caur divslāņu iestāžu struktūru:

Valsts kompetentās iestādes (VKI), ko katra dalībvalsts iecēlusi saskaņā ar Art. 70, ir galvenās MI akta izpildes struktūras. Tās var veikt tirgus uzraudzību, pieprasīt tehnisko dokumentāciju un uzlikt sodus (līdz 30 miljoniem EUR vai 6% no globālā gada apgrozījuma saskaņā ar Art. 99).

Eiropas Banku iestāde (EBI) koordinē nozarei specifisko MI uzraudzību banku savienībā, sniedz tehniskos standartus IKT riskam un izdod vadlīnijas, kas veido valsts uzraudzības cerības. EBI arī piedalās Eiropas MI padomē, kas izveidota saskaņā ar Art. 65.

ECB un valstu prudenciālie uzraugi var pieprasīt MI modeļu dokumentāciju kā daļu no SREP (Uzraudzības pārskata un novērtēšanas procesa) novērtējumiem saskaņā ar CRD IV, kur MI vada materiālus kredīta vai operacionālā riska lēmumus.

Atbilstības ceļvedis bankām

Nekavējoties (tagad → 2026. gada augusts): Pabeidz aizliegumu atbilstības pārbaudi — pārskatiet visas MI sistēmas attiecībā uz praksēm, kas aizliegtas saskaņā ar Art. 5, ieskaitot sociālo vērtēšanu un reāllaika biometrisko identifikāciju publiskās vietās. Šie aizliegumi nekavējoties attiecas uz jauniem līgumiem.

2026. gada 3. ceturksnis — augsta riska klasifikācijas revīzija: Kartējiet visas izvietotās un izstrādājamās MI sistēmas atbilstoši III pielikumam, īpaši 5(b) un 5(c) kategorijām. Dokumentējiet klasifikācijas pamatojumu. Iesaistiet juridiskos un atbilstības speciālistus DORA pārklāšanās novērtēšanai.

2026. gada 4. ceturksnis — nodrošinātāja pienākumi iekšēji veidotam MI: Kredītvērtēšanas un parakstīšanas modeļiem, kas veidoti iekšēji, uzsāciet atbilstības novērtēšanas procedūras, izstrādājiet tehnisko dokumentāciju saskaņā ar IV pielikumu un ieviesiet KVS saskaņā ar Art. 17.

2027. gads — izvietotāja pienākumi trešo pušu MI: Veiciet revīziju visiem MI pārdevēju līgumiem attiecībā uz ES MI akta atbilstību. Pieprasiet nodrošinātājiem sniegt atbilstības deklarācijas un reģistrācijas numurus. Atjauniniet datu apstrādes līgumus, lai atspoguļotu Art. 26 žurnālu uzturēšanas pienākumus.

2027. gada augusts — VMMI pienākumi stājas spēkā: Nodrošiniet, ka visi trešo pušu LLM un pamata modeļi, ko izmanto banku lietojumos, atbilst Art. 51–55. Pārbaudiet, vai nodrošinātāji ir publicējuši pārredzamības dokumentāciju saskaņā ar Art. 53.

2027. gada decembris — augsta riska MI termiņš: Pilnīga atbilstība nepieciešama visām III pielikuma augsta riska MI sistēmām. Nodrošiniet reģistrāciju ES MI akta datubāzē, darbotiesspējīgus cilvēka uzraudzības mehānismus un pēctirgus uzraudzības plānus saskaņā ar Art. 72.