兩個期限將 AI 監督列入金融業議程
新加坡金融機構須在 2027 年 10 月 7 日前符合人工智慧監督的核心監理要求，並在 2028 年 10 月 7 日前達到更廣泛的控管、能力與基礎設施要求。新加坡金融管理局（MAS）於 2026 年 10 月 7 日發布《人工智慧風險管理指引》，適用於所有金融機構及各種形式的 AI 技術。
目錄
這套框架的範圍不僅涵蓋聊天機器人和協助員工撰寫文件的軟體，也包括傳統機器學習、能產生內容的生成式 AI，以及能透過連接工具做出決策或採取行動的 AI 代理。MAS 警告，具備工具存取權限的代理可能自主執行錯誤或未經授權的操作，因此，對行動權限的管理和答案準確性同樣重要。
監管機關的AI 風險指引訂定的是監理期望，而非另立法律，要求每家公司採用完全相同的技術規格。核心原則是比例原則：機構應盤點 AI 的使用情況，評估各項應用的重要性與風險，並依其風險程度設置相應控管措施。
這使監管範圍涵蓋廣泛，但不會對所有應用一視同仁。影響投資建議或客戶風險評估的系統，理應比用於校對內部電子郵件的工具接受更嚴格的檢視。判斷依據是可能造成的後果，包括對客戶及其他機構的損害，而不只是產品是否貼有 AI 標籤。
哪些機構納入框架？
適用對象包括銀行、基金管理公司、財務顧問、保險公司、支付機構、交易所、結算機構、保管機構、信用評等機構，以及經營資本市場商品的公司。獲豁免的期貨及店頭衍生性金融商品經紀商也明確納入其中。
這套框架涵蓋各種 AI 技術，因此不只是生成式 AI 規範，也不僅針對大型銀行。MAS 允許機構依其風險概況調整執行方式，包括考量 AI 使用規模與性質。
這些指引也補充 MAS 現行要求與原則，包括以公平、道德、問責與透明為核心的 FEAT 原則。指引新增 AI 風險管理框架，而非取代金融服務業既有的廣泛義務。
對於正評估所需投入程度的機構而言，關鍵在於區分適用範圍的廣度與控管強度。納入適用範圍不代表每家公司都必須建立相同的治理架構，但每個機構都必須清楚掌握自身在哪些方面使用 AI，以及系統表現不佳或無法使用時可能造成什麼後果，並能提出合理說明。
從現在到 2028 年 10 月有哪些變化？
這項指引是在 2025 年 11 月展開諮詢後發布。MAS 在 2026 年 8 月的國會書面答覆中表示，擬議指引即將定案，並確認其涵蓋代理型 AI。10 月發布的公告則訂出兩個實施階段。
- 2025 年 11 月：MAS 就擬議的 AI 風險管理指引展開公開諮詢。
- 2026 年 8 月 5 日：國會書面答覆確認，提案涵蓋金融機構所有 AI 使用情境，包括代理型 AI。
- 2026 年 10 月 7 日：MAS 發布最終版指引。
- 2027 年 10 月 7 日：指引生效，第 3 節和第 4 節的要求自此日起適用。
- 2028 年 10 月 7 日：機構應符合第 5 節和第 6 節的要求。
這項時程讓業者從指引發布日起有一年時間，建立核心監督、風險管理及政策框架，再用一年完成更廣泛的營運安排。較晚的期限並不表示整套框架要到 2028 年才開始實施。
一份簡短報導將生效日寫為 10 月 7 日，但未註明年份。MAS 的發布文件與公告明確指出，生效日是2027 年 10 月 7 日，分階段實施則持續至 2028 年。
董事會仍須負責，但不必另設委員會
MAS 預期董事會與高階管理層有效監督 AI 風險，包括釐清職責、訂定風險胃納，以及建立風險管理框架、政策與程序。風險胃納是指機構願意承受的風險程度與類型。
監管機關的發布公告回應了諮詢期間提出的一項實務疑慮：只要現有治理架構能對相關職能提供充分監督與協調，公司就可以沿用既有架構。機構不必只為符合這項要求而另設 AI 專責委員會。
這項區分對落實指引很重要。要求的是有效問責，而非特定名稱的委員會或組織圖。既有安排可以符合要求，但前提是能監督 AI 風險，並協調負責管理這些風險的人員。
機構必須從兩個層面管理風險：全機構層級及個別應用層級。某項應用單獨看來或許容易管理，但隨著公司擴大 AI 使用，可能需要更全面的監督、技能或基礎設施。因此，MAS 預期機構隨著採用程度提高而強化相關能力。
建立清冊，讓風險評估更具體
金融機構應盤點 AI 使用情況，並依適當的細緻程度維護清冊。清冊是評估哪些應用最重要、並決定所需控管措施的基礎。缺少這項基礎，高階管理層就難以可靠地判斷機構面臨的風險。
MAS 也預期機構評估各項應用的風險重大性。簡單來說，就是判斷系統故障、表現不佳或無法使用，是否可能對機構、客戶或其他利害關係人（包括其他金融機構）造成重大後果。
框架列出金融、營運、行為、金融犯罪及聲譽風險。生成式 AI 也帶來安全、隱私及外部服務提供者相關風險。因此，評估範圍不應侷限於模型通常能否產生準確答案。
若 AI 服務表現不佳或無法使用不太可能造成重大影響，MAS 允許機構採用基本政策與程序。風險暴露程度越高，就應採取越完善的控管措施。實務上的判斷標準是故障可能造成的影響，而非技術有多新穎。
AI 系統上線後，控管仍須持續
指引要求在 AI 生命週期各階段採取合乎比例的控管；生命週期涵蓋從開發、測試、部署、使用到後續變更的各階段。MAS 列出的控管措施包括資料治理、測試、人為監督、資安、監控及變更管理。
資料治理關乎資訊的管理與使用方式；測試用於檢視系統是否適合預定用途；監控則檢查系統在運作期間的表現；變更管理負責處理可能改變系統行為或風險的修改。這些是彼此相連的責任，而非上線前一次性的核准程序。
人為監督也是框架的一環。對可能影響或執行金融決策的 AI 系統而言，問題不只是人員能否閱讀系統輸出。機構還必須考量，監督方式是否符合該項應用的風險及其可採取的行動。
MAS 預期機構隨著 AI 使用擴大、技術發展而定期檢討控管措施。原本為文字草擬工具設計的安排，若該工具後來取得可執行操作的系統存取權限，就可能需要重新評估。指引特別指出，定期檢討應考量自主代理使用日益增加的情況。
採購 AI 不代表責任也跟著移轉
金融機構仍須為其提供服務中使用的 AI 負責，包括由外部公司開發、營運或提供的系統。將技術外包，不等於也將其衍生風險的責任外包。
MAS 預期公司向服務提供者取得充分的保證，並評估其 AI 是否適合預定用途。若實務限制或保證不足的情況出現，機構應採取補償性控管措施，也就是在無法取得首選保證或控管措施時，用來降低風險的作法。
若這些措施仍不足以控制風險，監管機關也訂有後續處理要求。若風險無法降至機構風險胃納可接受的範圍內，機構應考慮限制、暫停或更換 AI 服務。因此，不能只因服務提供者在商業上具有吸引力，或系統已融入營運，就認為可以繼續使用。
這也回應了諮詢期間另一項疑慮：AI 已嵌入產品與服務的情況。關鍵在於機構如何使用這些功能，以及如何管理其後果，而非模型是否由機構自行開發。評估時必須將服務提供者的保證與公司的實際預定用途連結起來。
代理型 AI 已納入規範，後續指引仍待公布
代理型 AI 不只會生成回覆，還可能使用工具執行任務，並以更高的自主程度採取行動。在金融服務領域，權限設定、介入機制及決策紀錄，都是管理錯誤或未經授權行動風險的關鍵。
在8 月的國會書面答覆中，新加坡副總理兼貿易及工業部長、MAS 主席顏金勇證實，擬議指引適用於金融機構所有 AI 使用情境，包括代理型 AI。這份答覆回應了三巴旺集選區國會議員 Mariam Jaafar 就自主代理及可能的監理要求提出的問題。
顏金勇也介紹了與業界共同開發的實務資源。在 Project MindForge 項目下，業界制定了 AI 風險管理工具包，協助機構落實指引。「金融代理執行時防護措施」框架（Safeguards for Agentic Finance at Runtime，簡稱 SAFR）則提出一種可行做法，包括授權代理行動、啟動人為監督，以及記錄每個重大決策過程。
這些資源的用途與監理框架不同。工具包用於協助落實指引，SAFR 則說明一種可能的營運做法。國會書面答覆並未宣布 SAFR 本身將成為強制要求。
MAS 計畫於 2027 年向金融業諮詢，了解代理型 AI 還需要哪些額外指引。該局尚未公布具體諮詢日期，也未宣布後續指引內容。代理型 AI 已在指引適用範圍內，因此不能以預定進行諮詢為由，延後管理相關風險。
監管規範更明確，但風險仍須控制在可接受範圍
MAS 將這套框架定位為支持負責任採用 AI，而非禁止使用 AI。諮詢回覆支持以原則為基礎、採取合乎比例控管措施的做法，同時希望釐清既有治理架構、嵌入式 AI，以及何時採用基本政策即可。最終框架保留主要要求，也回應了這些疑慮。
MAS 副局長 Ho Hern Shin 指出，AI 的潛在效益伴隨機構理解能力日益提升的系統之必要。她表示：
要持續實現這些效益，金融機構就必須了解並管理日益強大的 AI 系統所帶來的風險。
她的說法點出指引的核心平衡。機構可以追求生產力提升、更完善的風險管理及新服務，但仍須為用來提供這些效益的系統負責。
接下來已訂定的關鍵期限，是 2027 年 10 月與 2028 年 10 月的實施期限。代理型 AI 的額外諮詢預計於 2027 年進行；MAS 也表示，必要時會持續檢討並更新監理期望。目前尚未公布代理型 AI 新要求的單獨期限。
重點整理
- MAS 於 2026 年 10 月 7 日發布 AI 風險管理指引，適用於所有金融機構及 AI 技術。
- 第 3 節和第 4 節的核心要求自 2027 年 10 月 7 日起適用；第 5 節和第 6 節應於 2028 年 10 月 7 日前落實。
- 董事會與高階管理層須有效監督，但不必另設 AI 專責委員會。
- 機構應盤點 AI 使用情況、評估風險重大性，並依可能造成的損害採取相應控管措施。
- 公司仍須為外部服務提供者提供的 AI 負責，並應考慮限制或更換風險無法接受的服務。
- 代理型 AI 已納入規範。MAS 計畫於 2027 年進一步諮詢可能新增的指引。
