歧视性信贷决策
评分模型因偏见数据或代理特征而使受保护群体处于不利地位——同时构成公平信贷和 AI Act 问题。
分行业解读 ISO/IEC 42001
面向金融服务与金融科技的 ISO/IEC 42001
信用评分、欺诈检测、风险定价、机器人投顾及 AML 监测都依赖 AI 运行——且处于所有行业中最严苛的监管审视之下。ISO/IEC 42001 为银行、放贷机构、保险公司和金融科技企业提供可审计的 AI 管理体系，能与模型风险、DORA 及公平信贷义务无缝衔接。
为何属于高风险
EU AI Act——Annex III，高风险
信用评估与保险定价被明确列为高风险用途
EU AI Act 将用于评估信用状况或确定信用评分的 AI，以及用于人寿和健康保险风险评估与定价的 AI，列为 Annex III 下的高风险（欺诈检测被排除在外）。在此之上还叠加了：金融监管机构的模型风险管理要求、针对 ICT 与运营韧性的 DORA（自 2025 年 1 月起适用）、GDPR 的画像与自动化决策限制，以及长期存在的公平信贷与反歧视规则。少有行业同时承受如此之多的横向与行业特定压力。
风险所在
金融 AI 会在哪些方面造成敞口
此处的失效模式以罚款、赔偿和声誉损害来衡量：
模型不透明与模型风险
来自无人能完全解释的模型的决策，且缺乏有文档记录的验证或挑战者流程。
数据漂移与退化
经济变化改变了模型的基础环境；未被察觉的漂移会悄然侵蚀决策质量。
不利决定的可解释性
监管越来越要求对拒绝给出实质性理由——若无有文档记录的模型逻辑则难以提供。
第三方与基础模型依赖
采购的模型和 AI API 引入了您必须治理但并非自建的风险。
欺诈/AML 误报
过度标记会损害客户利益，并带来运营与行为风险。
ISO/IEC 42001 如何应对
此处最关键的控制措施与模板
工具包将每一项风险映射到具体的 Annex A 控制措施和一份现成文档：
| Annex A control | Toolkit document | Why it matters |
|---|---|---|
| A.6——生命周期与验证 | V&V 计划与报告 + 模型卡（VV-PLN-01 / VV-REC-01 / LIFE-TPL-05） | 记录验证、发布标准与模型文档——可辩护的模型风险管理的支柱。 |
| A.7——数据治理 | 数据治理政策 + 溯源日志 + 质量评估（DATA-POL-01 / DATA-TPL-02 / DATA-TPL-03） | 为信贷与定价决策背后的数据提供溯源、质量与合法依据。 |
| A.5 / A.7.4——影响、偏见与公平性 | AI 影响评估 + 偏见与公平性记录（RISK-TPL-01 / DATA-TPL-05） | 证明评分与定价不会系统性地使受保护群体处于不利地位。 |
| A.9.3——人工监督 | 人工监督计划（USE-PLN-01） | 对重大金融决策提供实质性的人工复核与推翻机制。 |
| A.6.2——监测与漂移 | AI 系统监测计划与 KPI 登记册（MON-PLN-01） | 在漂移与性能衰退波及客户之前予以发现。 |
| A.10——第三方 AI | 供应商问卷 + 第三方登记册（TPR-TPL-01 / TPR-REG-01） | 通过尽职调查和明确的责任分配来治理基础模型与 AI 供应商依赖。 |
如何实现
从模型泛滥到可审计的 AIMS
- 1
将范围内的每个 AI 模型与 AI 服务——信贷、欺诈、定价、投顾、AML——连同责任人一并登记。
- 2
验证并记录每个模型（V&V、模型卡），并评估影响、偏见与数据溯源。
- 3
为重大决策落实人工监督与不利决定的可解释性。
- 4
对漂移开展持续监测，并使 AIMS 与您的模型风险及 DORA 流程保持一致。
问答
金融服务——快速解答
ISO/IEC 42001 如何与我们的模型风险框架及 DORA 配合？
它是对二者的补充。ISO/IEC 42001 提供 AI 专属的治理层——影响与偏见评估、生命周期验证、监测——可接入现有的模型风险管理与 DORA 运营韧性流程，而非重复劳动。共通的管理体系结构使整合变得直截了当。
欺诈检测在 AI Act 下属于高风险吗？
AI Act 将仅用于检测金融欺诈的 AI 从高风险的信用评分类别中排除——但您仍需在 AIMS 下就数据、监测和误报管理对其加以治理。信用评分与保险风险定价仍属高风险。
我们大部分模型都是采购的——这会减少我们的义务吗？
不会。结果的问责责任仍在部署企业。ISO/IEC 42001 的第三方控制措施为您提供尽职调查、合同及责任分配工具，以管理供应商与基础模型风险。