EU AI Act fis-Settur Finanzjarju: Banek, Kumpaniji tal-Assigurazzoni, u Istituzzjonijiet tal-Kreditu

Il-banek, il-kumpaniji tal-assigurazzoni, il-maniġers tal-assi, u l-istituzzjonijiet ta' pagament jiffaċċjaw obbligi tal-EU AI Act stratifikati fuq ir-regolazjoni finanzjarja eżistenti (DORA, MiFID II, GDPR, CRR). Din il-paġna tispjega liema użi tal-AI huma ta' riskju għoli, kif ir-regolaturi settorjali jinteraġixxu mal-AI Act, u x'iridu jagħmlu l-istituzzjonijiet finanzjarji biex jikkonformaw.

L-AI Act Jasal lill-Finanzi

L-istituzzjonijiet finanzjarji — banek, kumpaniji tal-assigurazzoni, maniġers tal-assi, fornituri ta' pagament, beriti tal-kreditu — huma fost l-aktar utenti intensivi tal-AI fl-Ewropa. L-iskoring tal-kreditu, id-detezzioni tal-frodi, in-negozjar algoritmiku, il-profiling tar-riskju tal-klijenti, l-underwriting tal-assigurazzoni, l-awtomazzoni tar-rappurtar regolatorju, u l-iskrining AML/KYC jiddependu kollha fuq sistemi tal-AI li jistgħu jkunu soġġetti għall-EU AI Act.

Għall-istituzzjonijiet finanzjarji, l-EU AI Act ma jasalx iżolat. Jiġi stratifikat fuq stack regolatorju diġà dens: DORA (reżiljenza diġitali), MiFID II (servizzi ta' investiment), GDPR (protezzjoni tad-data), CRR/CRD (rekwiżiti tal-kapital), Solvency II (assigurazzoni), PSD2/PSD3 (servizzi ta' pagament), u linji gwida settorjali EBA, EIOPA, u ESMA. L-għarfien ta' kif l-AI Act jintegra ma' — u xi drabi jikkonflawwa ma' — ir-regolazzioni finanzjarja eżistenti huwa essenzjali għal konformità effiċjenti.

Liema Użi tal-AI Huma ta' Riskju Għoli fil-Finanzi?

L-Anness III tal-EU AI Act jidentifika użi-każi li huma awtomatikament ta' riskju għoli. Fis-settur finanzjarju, l-aktar rilevanti direttament huma:

Kategorija 5(b): Valutazzioni tal-Kapaċità ta' Kreditu

Ta' riskju għoli. Sistemi tal-AI użati biex jevalwaw il-kapaċità ta' kreditu ta' persuni naturali jew biex jikklassifikaw il-persuni naturali f'termini ta' riskju tal-kreditu huma elenkati b'mod esplicit. Dan jkopri:

• Skoring awtomatizzat tal-kreditu għal self lill-konsumaturi, overdrafts personali, karti tal-kreditu, u morgi
• Mudelli li jevalwaw il-probabbiltà ta' ħlas, ir-riskju ta' inadempjenza, jew il-kapaċità tad-dejn tal-konsumaturi individwali
• Sistemi tal-AI li jirrakkomandaw limiti tal-kreditu jew ammonti tas-self bbażati fuq valutazzioni tar-riskju individwali

Mhux awtomatikament kopert: Mudelli tal-kreditu korporattivi li jevalwaw entitajiet legali minflok persuni naturali, għalkemm dawn jistgħu xorta jissettjaw l-obbligi ta' trasparenza tal-Art. 50 skont id-deplijament.

Kategorija 5(b): Deċiżjonijiet tal-Primjum u l-Kopertura tal-Assigurazzoni

Ta' riskju għoli jekk jaffettwa b'mod sinifikanti l-persuni naturali. Sistemi tal-AI li jagħmlu jew jinfluwenzaw b'mod qawwi deċiżjonijiet dwar:

• Kopertura tal-assigurazzoni (aċċettazzioni jew rifjut ta' applikanti)
• Livelli tal-primjum (mudelli attwali li jistabbilixxu primjums individwali)
• Valutazzioni u ssettjar tat-talbiet (ġestjoni awtomatizzata tat-talbiet)

Mudelli ta' ipprezzar tal-assigurazzoni tal-mutur, l-underwriting tal-assigurazzoni tas-saħħa, u mudelli tal-assigurazzoni tal-proprjetà għall-familji huma direttament fl-ambitu. Il-fattur determinanti huwa jekk is-sistema tal-AI tagħmilx jew tinfluwenzax b'mod sinifikanti deċiżjoni li taffettwa b'mod materjali l-aċċess ta' persuna naturali għal servizz privat essenzjali.

Kategorija 1: Identifikazjoni Bijometrika

Ta' riskju għoli. Sistemi tal-AI użati għal:

• Identifikazjoni bijometrika remota tal-klijenti (verifikazzoni tal-vidjo KYC, awtentikazzioni kontinwa)
• Kategorizzazzioni bijometrika fejn tinfluwenza l-klassifikazzioni tar-riskju jew l-aċċess għas-servizz

L-identifikazzioni bijometrika remota f'ħin reali fl-ispazji aċċessibbli pubblikament għall-infurzar tal-liġi hija pprojbita taħt l-Art. 5. Sistemi kummerċjali ta' verifikazzioni tal-identità li jużaw ir-rikonoxximent tal-wiċċ għal KYC huma soġġetti għar-rekwiżiti ta' riskju għoli iżda mhux pprojbiti.

Kategorija 6: AML/KYC u Infurzar tal-Liġi Adjaċenti

Sistemi tal-AI użati mill-istituzzjonijiet finanzjarji biex jappoġġjaw l-iskrining AML/KYC, il-filtrazzoni tas-sanzjonijiet, jew il-monitoraġġ tat-tranżazzjonijiet fejn ir-riżultat jiġi rrappurtat jew użat mill-infurzar tal-liġi jistgħu jaqgħu fil-kategorija 6 tal-Anness III (infurzar tal-liġi). Dan jinkludi:

• Rapporti ta' Attività Suspettuża (SARs) ġġenerati mill-AI trasmessi lill-FIUs
• Sistemi awtomatizzati ta' iskrining tal-PEP (Persuna Politikament Esposta)

Sistemi użati purament għall-ġestjoni tar-riskju intern mingħajr output tal-infurzar tal-liġi aktarx ma jitqisux bħala ta' riskju għoli taħt il-kategorija 6, għalkemm jistgħu japplikaw kategoriji oħra.

X'Ifissru l-Obbligi tal-AI ta' Riskju Għoli għall-Istituzzjonijiet Finanzjarji

Jekk sistema tal-AI użata minn istituzzjoni finanzjarja hija ta' riskju għoli taħt l-Anness III, l-obbligi jiddifferenzjaw skont jekk l-istituzzjoni hijiex fornitur (bena s-sistema) jew deplijatur (xtrata jew liċenzjata).

Jekk Int il-Fornitur (Bnejt is-Sistema)

• Sistema ta' ġestjoni tar-riskju (Art. 9): Stabbilixxi u żomm proċess ta' ġestjoni tar-riskju iddokumentat li jitera matul iċ-ċiklu ta' ħajja tas-sistema
• Governanza tad-data (Art. 10): Id-data tat-taħriġ, il-validazzioni, u t-testjar iridu jkunu soġġetti għal prattiki tal-governanza li jkopru r-rilevanza, ir-rappreżentattività, u l-valutazzioni tal-preġudizzju
• Dokumentazzioni teknika (Anness IV): Fajl tekniku sħiħ inkluż deskrizzjoni tas-sistema, arkitettura, approċċ tat-taħriġ, metriki tal-prestazzoni, u pjan ta' monitoraġġ wara s-suq
• Trasparenza (Art. 13): Istruzzjonijiet tal-użu li jippermettu lid-deplijaturi jifhmu l-kapaċitajiet, il-limitazjonijiet, u r-rekwiżiti ta' sorveljanza
• Sorveljanza umana (Art. 14): Miżuri tad-disinn li jippermettu s-sorveljanza umana u l-intervent
• Preċiżjoni, robuستezza, ċibersigurtà (Art. 15): Livelli tal-prestazzoni muri u reżiljenza
• Valutazzioni tal-konformità: Awtovalutazzioni (Anness VI) għall-biċċa l-kbira tas-sistemi tal-Anness III, jew valutazjoni tal-korp notifikat għas-sistemi bijometriċi
• Marka CE u dikjarazzoni tal-konformità tal-UE
• Reġistrazzoni fid-database tal-AI tal-UE
• Monitoraġġ wara s-suq (Art. 72): Sistema attiva għall-ġbir ta' data tal-prestazzoni mill-ħajja reali u rappurtar tal-inċidenti

Jekk Int id-Deplijatur (Xtrat/Liċenzjat is-Sistema)

• Konformità mal-istruzzjonijiet: Uża s-sistema biss skont l-istruzzjonijiet tal-fornitur
• Sorveljanza umana: Innomina persunal kwalifikat biex iwettaq sorveljanza b'awtorità u riżorsi adegwati
• Kwalità tad-data tal-input: Tiżgura li d-data tal-input hija rilevanti u rappreżentattiva għall-kuntest speċifiku tad-deplijament
• Żamma tar-reġistri: Attiva u żomm ir-reġistri awtomatizzati għall-perjodu meħtieġ
• Rappurtar tal-inċidenti: Irrapporta inċidenti serji lill-fornitur u, f'xi każi, direttament lill-awtoritajiet
• Valutazzioni tal-impatt fuq id-drittijiet fundamentali (Art. 27): Meħtieġa għall-korpi pubbliċi; rakkomandata għad-deplijaturi tas-settur privat f'kuntest sensittiv

Interazzioni ma' DORA

L-Att dwar ir-Reżiljenza Operazzjonali Diġitali (DORA) daħal fl-applikazzioni f'Jannar 2025 u jimponi rekwiżiti komprensivi ta' ġestjoni tar-riskju tal-ICT fuq l-istituzzjonijiet finanzjarji — inkluż is-sistemi tal-AI bħala komponenti tal-ICT.

Punti ewlenin ta' interazzioni:

Qafas ta' Ġestjoni tar-Riskju tal-ICT

DORA jeħtieġ li l-istituzzjonijiet finanzjarji jżommu qafas ta' ġestjoni tar-riskju tal-ICT li jkopri l-identifikazzioni, il-protezzjoni, id-detezzioni, ir-rispons, u l-irkupru. Is-sistemi tal-AI huma għodod tal-ICT soġġetti għal dan il-qafas. L-EU AI Act iżid rekwiżiti speċifiċi għall-AI fuq: testjar tal-preġudizzju, dokumentazjoni ta' trasparenza, disinn ta' sorveljanza umana, u ġestjoni taċ-ċiklu ta' ħajja.

Fil-prattika: Mudell tal-iskoring tal-kreditu tal-AI ta' bank irid jikkonforma kemm mal-ġestjoni tar-riskju tal-ICT ta' DORA (detezzioni tal-inċidenti, ppjanar tal-kontinwità, ġestjoni tal-bidla) kif ukoll mar-rekwiżiti ta' riskju għoli tal-EU AI Act (sistema ta' ġestjoni tar-riskju, dokumentazzioni teknika, monitoraġġ wara s-suq).

Riskju tal-Parti Terza (Fornituri tal-ICT tal-Parti Terza)

DORA jimponi rekwiżiti dettaljati għall-ġestjoni tal-fornituri tal-ICT tal-parti terza — inkluż rekwiżiti kuntrattwali, drittijiet tal-awditjar, u sorveljanza tal-fornituri kritiċi. Meta istituzzjoni finanzjarja tuża sistema tal-AI tal-parti terza (pereżempju, mudell tal-iskoring tal-kreditu pprovdut mill-bejjiegħ), ir-rekwiżiti ta' ġestjoni tar-riskju tal-parti terza ta' DORA japplikaw għal dak il-bejjiegħ.

L-obbligi tad-deplijatur tal-EU AI Act japplikaw ukoll — li jeħtieġu lill-fornitur jipprovdi istruzzjonijiet, dokumentazzioni tal-konformità, u kapaċità ta' reġistrar. L-istituzzjonijiet finanzjarji għandhom jiżguraw li l-kuntratti tal-bejjiegħ tal-AI tal-parti terza tagħhom jissodisfaw kemm ir-rekwiżiti tal-fornitur tal-ICT ta' DORA kif ukoll id-drittijiet ta' informazzioni tad-deplijatur tal-EU AI Act.

Rappurtar tal-Inċidenti

DORA għandu l-qafas ta' rappurtar tal-inċidenti tiegħu stess għal inċidenti ewlenin relatati mal-ICT, irrapportati lis-supervisuri settorjali (EBA, EIOPA, ESMA). L-EU AI Act jeħtieġ li inċidenti serji li jinvolvu sistemi tal-AI ta' riskju għoli jiġu rrapportati lill-awtoritajiet nazzjonali ta' sorveljanza tas-suq.

Dawn huma obbligi ta' rappurtar separati lil awtoritajiet differenti. Inċident serius li jinvolvi sistema tal-AI tal-iskoring tal-kreditu jista' jissettja kemm rapport tal-inċident ta' DORA (lill-EBA/superviżur finanzjarju nazzjonali) kif ukoll rapport tal-inċident tal-EU AI Act (lill-awtorità ta' sorveljanza tas-suq).

Superviżuri Settorjali u Infurzar tal-AI Act

Għall-istituzzjonijiet finanzjarji, is-superviżuri finanzjarji settorjali — EBA (banek), EIOPA (assigurazzoni), ESMA (titoli u swieq) — għandhom rwol speċifiku fl-implementazzioni tal-EU AI Act, għalkemm mhumiex l-awtorità primarja tal-infurzar tal-AI Act.

Taħt l-AI Act, l-istituzzjonijiet finanzjarji li huma fornituri ta' sistemi tal-AI ta' riskju għoli jridu jirreġistraw fid-database tal-AI tal-UE. Fis-settur finanzjarju, l-awtorità superviżorja finanzjarja rilevanti tista' tiġi nominata bħala jew tikollabora mal-awtorità nazzjonali ta' sorveljanza tas-suq responsabbli mis-sorveljanza tal-AI Act ta' dak is-settur.

L-Awtoritajiet Superviżorji Ewropej (ESAs) kienu attivi fil-:

• Pubblikazzoni ta' gwida dwar il-governanza tal-AI fis-servizzi finanzjarji (linji gwida EBA dwar il-governanza interna, ML/AI fir-riskju tal-kreditu)
• Kontribut fil-gwida tal-implementazzioni tal-EU AI Act għas-settur finanzjarju
• Koordinament mal-EU AI Office fuq is-sorveljanza tal-mudell GPAI hekk kif taffettwa s-servizzi finanzjarji

Prijoritajiet Prattiċi tal-Konformità għall-Istituzzjonijiet Finanzjarji

1. Ikkartalana s-sistemi tal-AI kollha fl-użu — ikklassifika kull wieħed kontra l-kriterji tal-Anness III. Agħti prijorità lis-sistemi tal-kapaċità ta' kreditu, l-ipprezzar tal-assigurazzoni, u l-biometrika/KYC.

2. Iddetermina l-istatus ta' fornitur vs. deplijatur għal kull sistema — qed tuża mudelli pprovduti mill-bejjiegħ jew tibni internament?

3. Allinja l-governanza tal-AI mal-qafas tar-riskju tal-ICT ta' DORA — integra l-obbligi tal-AI Act fl-istruttura ta' governanza ta' DORA eżistenti biex tevita proċessi duplikati.

4. Irrevedi l-kuntratti tal-bejjiegħ tal-AI tal-parti terza — tiżgura li l-kuntratti jipprovdu: dokumentazzioni tal-konformità, istruzzjonijiet tal-użu, aċċess għar-reġistrar, impenn ta' notifikazzioni tal-inċidenti, obbligi ta' aġġornament, u drittijiet tal-awditjar.

5. Stabbilixxi mekkaniżmi ta' sorveljanza umana — għall-użi tal-AI ta' riskju għoli, tiżgura li l-persunal kwalifikat ikollhom l-awtorità, l-għodod, u l-ħin biex jirrevedu b'mod sinifikanti l-outputs tal-AI qabel ma jiġu magħmula deċiżjonijiet konsekwenti.

6. Qabbad mal-monitoraġġ wara s-suq — estendi l-proċessi eżistenti tal-ġestjoni tar-riskju tal-mudell (validazzioni tal-mudell Basel, ġestjoni tal-bidla ta' DORA) biex ikopru r-rekwiżiti ta' monitoraġġ wara s-suq tal-Art. 72.

7. Ħejji għad-database tal-AI tal-UE — jekk int fornitur ta' sistemi tal-AI ta' riskju għoli, ir-reġistrazzoni hija obbligatorja. Jekk int korp pubbliku deplijatur, ir-reġistrazzoni tista' wkoll tkun meħtieġa.