Mi az az AI-governance, és miért számít a pénzügyi szektornak?

Egy utas 2022 novemberében a nagymamája temetésére készült, és az Air Canada honlapján működő chatbottól kérdezte meg, hogyan veheti igénybe a gyászolóknak járó kedvezményt.

A chatbot azt válaszolta, hogy megveheti a jegyet teljes áron, majd 90 napon belül visszaigényelheti a kedvezményt.

A légitársaság saját szabályzata szerint erre nem volt lehetőség: a kedvezményt a foglalás előtt kellett kérni.

Az utas a chatbot válasza alapján megvette a jegyet. Amikor később benyújtotta az igényét, a légitársaság elutasította. Az ügy végül a British Columbia tartomány polgári vitarendezési fóruma elé került, amely 2024 februárjában az utasnak adott igazat.¹

A megítélt összeg néhány száz kanadai dollár volt. Az ügy mégis sokat idézett esetté vált, mert nagyon egyszerűen megmutatta a felelősségi kérdést.

Ha egy szervezet AI-t használ az ügyfélkiszolgálásban, előre tisztáznia kell, ki engedélyezte a rendszer használatát, mire használható, ki figyeli a működését, és mi történik, ha hibázik.

Ezeket a kérdéseket fogja össze az AI-governance.

Magyarul nincs rá egyetlen pontos megfelelő. Az MNB ajánlása többek között a szervezetirányítás AI-szempontú fejlesztéséről és adatkormányzásról beszél.²

A napi működésben hat kérdés köré rendezhető:

1. Mi működik nálunk? – leltár és kockázati besorolás.
2. Ki felel érte? – vezetői felelősség és döntési jogkörök.
3. Hogyan kerülhet élesbe? – engedélyezés és validálás.
4. Hol avatkozik be ember? – emberi felügyelet.
5. Visszakereshető-e, mi történt? – naplózás és auditnyom.
6. Mi történik hiba esetén? – incidenskezelés és ügyfél-jogorvoslat.

2026. június 30-ig a hazai hitelintézeteknek először kellett beküldeniük az AI-alstratégiájukat az MNB-nek.

Ehhez pontos képre volt szükségük arról, milyen AI-rendszereket használnak vagy terveznek bevezetni.

Egy nagy bankban az AI sok helyen jelenhet meg egyszerre: a csalásmegelőzésben, hitelbírálatban, ügyfélszolgálaton, marketingben, informatikai fejlesztésben vagy belső tudáskeresésben. Ide tartozhatnak azok a generatív AI-eszközök is, amelyeket egy-egy munkatárs kezd el használni a napi munkájában.

Az MNB 13/2025. ajánlása, amelynek AI-ra vonatkozó része 2026. április 1. óta alkalmazandó, ezért elvárja az AI-rendszerek nyilvántartását és kockázati besorolását.²

A besorolást legalább évente felül kell vizsgálni.

Az MNB kockázati térképe többek között az alábbi kockázatokkal számol:

1. adatkezelési és adatvédelmi,
2. megfelelőségi,
3. jogi és felelősségi,
4. reputációs,
5. pénzügyi,
6. ügyféloldali,
7. modellkockázatok,
8. operációs, ezen belül informatikai és kiberbiztonsági,
9. harmadik feles szolgáltatói,
10. a generatív AI-rendszerek sajátos kockázatai.

A gyakorlati próba egyszerű:

Ha holnap valaki megkérdezné a bankot, pontosan milyen AI-rendszerek működnek nála és milyen célra, tudna-e teljes listát mutatni?

Egy hivatalosan bevezetett banki rendszer általában bekerül a nyilvántartásba. Sokkal nehezebb észrevenni azokat az eszközöket, amelyeket a munkatársak saját kezdeményezésre kezdenek használni.

Ha egy AI-eszköz nincs a leltárban, a hozzá kapcsolódó kockázatokat és kontrollokat is nehezebb kezelni.

Elkészül egy új modell. A tesztek jó eredményt mutatnak, az üzleti terület pedig szeretné használni.

Ki hozza meg a döntést?

Az üzleti vezető? Az informatikai terület? A kockázatkezelés? A megfelelési terület? Egy külön AI-bizottság?

Egy működő governance-rendszerben erre előre van válasz.

Az MNB ajánlása egyértelmű felelősségi köröket és megfelelő felhatalmazással rendelkező, az AI-alstratégia megvalósításáért felelős vezetőt vár el.²

A szabályoknak végig kell kísérniük az AI-rendszer teljes életútját: a tervezést, fejlesztést, validálást, bevezetést, működtetést, monitoringot és végül a kivezetést is.

Az élesítés előtt azt is el kell dönteni, mekkora önállóságot kap a rendszer.

Három szinttel jól szemléltethető a különbség:

1. Javaslatot készít. Például rangsorolja a csalásgyanús tranzakciókat, a döntést pedig egy munkatárs hozza meg.
2. Előkészíti a döntést jóváhagyásra. Összeállíthat egy hitelbírálati vagy kárrendezési javaslatot, amelyet egy ember hagy jóvá vagy vet el.
3. Önállóan lezár egy alacsony kockázatú folyamatot. Az emberi ellenőrzés ilyenkor történhet utólag, például mintavétellel.

Egy keresési vagy összefoglalási feladatnál lazább kontroll is elegendő lehet. Ha az AI ügyfélpénzről, hitelkeretről vagy biztosítási díjról szóló folyamatba kerül, már jóval szigorúbb felügyeletre van szükség.

Ha az AI-t külső szolgáltatótól vásárolja a bank, a működés megértése és ellenőrzése továbbra is az intézmény feladata marad. A szállítói oldalt külön Alapozóban jártuk körül: Kitől veszi a bank az AI-t?

2019-ben egy amerikai vállalkozó arról írt a közösségi médiában, hogy az Apple Card esetében húszszor akkora hitelkeretet kapott, mint a felesége, miközben közösen adóztak, és a felesége hitelpontszáma magasabb volt.

Az ügy gyorsan nyilvánosságot kapott, majd a New York-i pénzügyi felügyelet vizsgálatot indított.

A 2021 márciusában lezárt vizsgálat több ezer oldalnyi dokumentumot, hitelbírálati adatot és ügyfélinterjúkat dolgozott fel. A hatóság nem talált bizonyítékot arra, hogy a hitelbírálati rendszer nemi alapon diszkriminált volna.⁴

Az ügyfélkezeléssel és az átláthatósággal kapcsolatban viszont hiányosságokat tárt fel.

Ha egy ügyfél hitelkérelmét elutasítják, hitelkeretét csökkentik vagy biztosítási díját megállapítják, előbb-utóbb felteszi a kérdést:

Miért?

Erre a válaszra a banknak fel kell készülnie.

Az MNB ajánlása ezért az átláthatóságot, a megmagyarázhatóságot, a tisztességességet, a megkülönböztetés tilalmát és az elszámoltathatóságot is alapelvként kezeli.²

Az ajánlásnak van egy különösen fontos ügyféloldali eleme is.

Az intézménynek olyan csatornát kell biztosítania, ahol az ügyfél tájékoztatást kérhet arról, hogy az adott folyamatban részt vett-e AI-rendszer. Az ügyfél kezdeményezheti az őt közvetlenül érintő, AI közreműködésével meghozott döntés felülvizsgálatát is.

Ez már nagyon kézzelfoghatóvá teszi a governance-t: nemcsak azt kell tudni, hogyan született a döntés, hanem azt is, hogyan lehet újra megvizsgálni.

Az uniós AI-rendeletben a hitelképesség-értékelést végző rendszerek magas kockázatúnak minősülnek; a rájuk vonatkozó megfelelési határidő 2027. december 2., miközben az ügyfél-tájékoztatási kötelezettség 2026. augusztus 2-án elindult.³

Képzeljünk el egy AI-rendszert, amelyről később kiderül, hogy hibásan működött.

A javítás csak az első feladat.

Meg kell nézni azt is, milyen döntések születtek a hibás időszakban, és kiket érinthettek.

Az MNB ajánlása ezt kifejezetten elvárja: ha egy AI-rendszer működési zavarba kerül vagy nem szándékolt módon működik, az intézménynek felül kell vizsgálnia az érintett időszakban a rendszer közreműködésével meghozott döntéseket is.²

Ehhez szükség van a döntési út visszakövethetőségére.

Ha valamelyik lépésről nincs nyom, hónapokkal később nehezebb megmondani, pontosan mi történt.

Ezért fontos az auditnyom: egy konkrét döntésnél vissza kell tudni keresni a felhasznált adatokat, a rendszerverziót, az időpontot és az emberi jóváhagyást.

Az MNB belső bejelentőrendszert is elvár az AI-rendszerekkel kapcsolatos hibák és hiányosságok kezelésére. Ha egy feltárt hiba ügyfelet érintett, az érintettet tájékoztatni kell a hatásról és a megtett intézkedésekről.

A biztonsági kontrollok is ide tartoznak. Az AI-rendszerek bemeneteit védeni kell a manipulációtól, és arra is figyelni kell, hogy a modell érzékeny elemei vagy rendszerutasításai ne legyenek jogosulatlanul rekonstruálhatók.

Ezt az irányt erősítette az EBA, az EIOPA és az ESMA 2026. július 31-i közös felhívása is.⁵ A biztosítói oldalon az EIOPA 2025-ös véleménye hasonló, kockázatalapú megközelítést követ.⁶

Az alábbiak forgatókönyvek, nem előrejelzések.