Singapores centralbank og finanstilsyn, Monetary Authority of Singapore (MAS), har udstukket forventninger til, hvordan finansielle virksomheder skal håndtere risici ved brug af kunstig intelligens. Hovedbudskabet til banker og forsikringsselskaber er enkelt: At købe eller benytte AI fra en ekstern leverandør flytter ikke ansvaret væk fra virksomheden.
13
19
12
Retningslinjerne blev offentliggjort 7. oktober 2026 og indføres i etaper. De gælder for finansielle institutioner og alle former for AI, og virksomhederne kan tilpasse deres tilgang efter omfanget og risikoprofilen af deres AI-brug.
14
13
Ansvaret gælder også tredjeparts-AI
En finansiel virksomhed er fortsat ansvarlig for AI, der indgår i de tjenester, den leverer, uanset om systemet er udviklet internt eller stillet til rådighed af en tredjepart. Det gælder også, hvis brugen får utilsigtede følger. Eksempler, der er nævnt i omtalen af retningslinjerne, er datalæk og unøjagtige oplysninger.
19
38
Det gør leverandørens rolle vigtig, men ændrer ikke på, hvem der står til ansvar for AI-brugen over for kunderne og tilsynet. MAS’ retningslinjer fastlægger overordnede tilsynsforventninger til risikostyring; de er ikke én enkelt kontrol, der passer til enhver anvendelse.
13
14
Tilsyn, AI-oversigter og kontroller gennem hele forløbet
Forventningerne omfatter tilsyn, systemer til risikostyring, politikker og procedurer, kontroller gennem AI-systemets livscyklus samt de kompetencer og den kapacitet, der skal til for at bruge AI. Kilderne fremhæver blandt andet bestyrelsens og den øverste ledelses tilsyn, vurdering af AI-anvendelsens væsentlighed og oversigter over AI-brugen med passende detaljeringsgrad.
12
1
Blandt de beskrevne kontroller er datastyring, test, menneskeligt tilsyn, cybersikkerhed og løbende overvågning. En omtale af de endelige retningslinjer nævner også ændringsstyring. Pointen er, at styringen ikke kun handler om at godkende et system ved starten, men også om at håndtere og følge det over tid.
1
20
26
Virksomhederne behøver ifølge omtalerne ikke oprette et særskilt AI-udvalg alene for at leve op til forventningerne. De kan bruge deres eksisterende ledelses- og kontrolstrukturer, hvis de giver mulighed for at føre tilsyn med AI-risici.
26
29
Kontrollerne skal passe til risikoen
MAS lægger op til, at virksomhederne tilpasser indsatsen efter omfanget og risikoprofilen af deres AI-brug. Det betyder, at styringen kan afspejle den konkrete anvendelse frem for at behandle alle AI-systemer, som om de indebærer samme risiko.
13
26
Kilderne bekræfter, at virksomhederne skal vurdere deres AI-brug og føre oversigter over den, men fastslår ikke præcist, hvilke felter oversigterne skal indeholde, eller hvornår grundlæggende politikker er tilstrækkelige. De dokumenterer heller ikke detaljerede krav til konkrete opgaver som at skrive e-mails, opsummere mødenoter eller udforme markedsføringsmateriale.
1
26
Tilsvarende nævner kilderne modelgennemsigtighed som et forhold, virksomhederne bør vurdere, men giver ikke grundlag for at beskrive bestemte krav til forklarlighed, beredskabsplaner, indberetning af hændelser eller risikovurdering af eksempelvis kreditbeslutninger og forsikringsvurderinger.
19
To frister: 7. oktober 2027 og 7. oktober 2028
MAS offentliggjorde retningslinjerne 7. oktober 2026. De indføres gradvist: forventninger til tilsyn og systemer for risikostyring træder i kraft 7. oktober 2027, mens krav til livscykluskontroller og kapacitet følger 7. oktober 2028. Den sidste dato er 7. oktober – ikke 8. oktober.
5
12
Høringen om forslaget begyndte 13. november 2025, og den endelige offentliggørelse blev ledsaget af MAS’ svar på de indkomne tilbagemeldinger. De tilgængelige oplysninger bekræfter høringsforløbet, men giver ikke tilstrækkeligt grundlag for at gennemgå, hvordan hvert enkelt spørgsmål blev besvaret.
3
8
Mere vejledning om agentisk AI ventes i 2027
En omtale af de endelige retningslinjer siger, at MAS planlægger yderligere vejledning om agentisk AI i 2027. De tilgængelige kilder fastslår ikke en tidsplan for en høring eller de konkrete krav, som den kommende vejledning eventuelt vil indeholde.
21
For finansielle virksomheder er det mest håndgribelige udgangspunkt derfor at få overblik over, hvor AI bruges, sikre passende ledelsestilsyn og fastholde ansvaret for systemer fra eksterne leverandører. Samtidig bør de planlægge efter de to frister og kontrollere MAS’ endelige dokumenter for detaljer, som de tilgængelige opsummeringer ikke bekræfter.
12
14