負責監管全國性銀行的美國貨幣監理署（OCC）發布了首個針對銀行業人工智慧的監管框架，要求審查人員關注的重點，不再是AI系統有多強大，而是系統出錯時會發生什麼。

這份以OCC 2026-54號公告形式發布的22頁框架，並附有新聞稿。在涵蓋營運韌性的章節中，文件警告，由客戶、金融科技公司或其他企業操作的外部代理人，即使在銀行未控制這些系統的情況下，也可能為銀行帶來風險。監管機構並未將框架的發布與具體事件連結，但此時正值業界對客戶帳戶內未經批准的AI代理人疑慮升溫之際。

後果重於技術先進程度

這份文件的核心，在於區分AI系統的技術先進程度與其可能造成的損害。監管機構表示，一個獲授權發起金融交易的簡單代理人，其風險可能高於一個僅限撰寫內部文件的先進模型。這項區分反映了代理型軟體與傳統工具的差異：代理人不只是產生文字，還會在連結的系統中執行動作，因此故障造成的損害潛力會隨其持有的權限而增加。

根據框架，審查人員可考量故障的後果、動作是否可逆轉，以及人類對系統保留多少控制權。該機構列出四個說明性風險層級：全自動支付代理人與即時信用決策系統屬於最高類別，而基本的內部生產力工具則屬最低類別。

較高風險的系統，可能需要在自主性上加諸更嚴格的限制、進行獨立測試，並在重大動作執行前取得人工批准。

框架也針對在做出有害決策時仍持續運作的AI系統提出規範。建議的防護措施包括斷路器、速率限制、受限權限與緊急停機控制。

第三方AI代理人成焦點

指引建議審查人員考量多項措施，包括身分驗證、委派權限、交易限額、監控，以及暫停或撤銷存取權限的能力。其目標是解決銀行正面臨的難題：如何讓客戶使用AI助理管理財務，同時不給予自主軟體不受限的帳戶存取權。

不到兩週前，才有報導指出大型銀行發現客戶帳戶內有未經授權的第三方AI代理人運作，有時採取的行動似乎超出使用者的指示。根據Axios於10月22日的報導，摩根士丹利（Morgan Stanley）當時封鎖外部代理人，而摩根大通（JPMorgan）、美國銀行（Bank of America）與花旗（Citi）則限制其存取。銀行高層形容情況「令人毛骨悚然」，並質疑自主代理人一旦取得他人資金的存取權，究竟由誰掌控。

這些考量與Axios先前報導所描述的外部代理人尤其相關——當時銀行難以區分經客戶合法授權的軟體，與超出預期權限運作的系統。

是指引，而非新銀行規則

OCC強調，該框架不具約束力，未為銀行創設新的監管要求或可執行的標準。相反地，它提供審查人員在現有的營運、合規與網路安全風險類別內評估AI的途徑，銀行也無須另設獨立的AI風險類別。框架提供涵蓋自主支付、第三方存取與人工監督的防護措施範例。不具約束力不代表無足輕重：OCC審查人員在日常監管中會以此類文件為依據評估銀行，因此其建議的防護措施即使沒有正式規則，仍具有實質影響力。

框架涵蓋用於支付、詐欺偵測、客戶服務及其他銀行業務的AI，並將風險考量延伸至透過銀行管道連結的外部AI代理人。

值得注意的是，文件使用了強制性術語「Super Intelligence」（超級智慧）——這是唐納·川普（Donald Trump）政府堅持用以取代「人工智慧」的用語，依據是9月的一項白宮總統行動——但其範圍涵蓋傳統AI與「自主代理人」，而非僅限於智慧超越人類的假想系統。

OCC表示，計畫隨技術發展更新這份指引。目前，其說明性風險量表將自主支付代理人列為最高風險類別，不論其在測試中表現如何。審查人員在實務上如何套用這些層級——尤其是針對銀行陸續在客戶帳戶中發現的第三方代理人——是指引演進過程中值得關注的細節。

本報導最初由Decrypt報導。