银行业生成式人工智能模型验证白皮书：于混沌处，求可控之道

于混沌处，求可控之道银行业生成式人工智能模型验证白皮书kpmg.com/cn© 2026 毕马威华振会计师事务所(特殊普通合伙) — 中国合伙制会计师事务所，毕马威企业咨询 (中国) 有限公司 — 中国有限责任公司，毕马威会计师事务所— 澳门特别行政区合伙制事务所，及毕马威会计师事务所 — 香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全球组织中的成员。版权所有，不得转载。在中国印刷。2 银行业生成式人工智能模型验证简介摘要与验证相关的生成式人工智能特征背景和动因监管机构对生成式人工智能模型验证的要求毕马威生成式人工智能模型验证框架展望121622p.p. 4p. 6p.p.摘要越来越多的银行正在部署生成式人工智能，将其用于汇总信息、辅助专家判断和自动执行知识密集型任务。虽然这项新技术能够显著提高生产力，但也从根本上改变了模型风险的性质。与产生确定性数值输出的传统模型不同，生成式人工智能系统会基于概率输出看似可信的描述、建议和解释 ，即使这些信息并不完整、带有偏见或有违事实。对于董事会和高级管理层而言，这种转变带来了全新的问责挑战：生成式人工智能的输出可能会影响客户交互、合规决策和管理报告，且其运作方式无法完美适配现有的风控体系。生成式人工智能要求模型所有者和开发者重新审视系统的设计、文档记录和测试流程，因为其风险不仅来自数据和算法，还来自提示词、检索机制和业务运行场景。这个挑战在模型验证和模型风险管理（MRM）职能中最为严峻。目前的模型验证框架是为输出明确、可解释性强的模型设计的。相比之下，生成式人工智能系统具有动态性，缺乏透明度，并且经常依赖于第三方供应商。因此，验证工作的重心将会从核验数学层面的正确性，转向持续确认模型的行为是否始终符合银行的风险偏好。本文为银行业生成式人工智能模型的验证提供了一套结构化、可落地的实操方法。具体包括：识别形成生成式人工智能模型验证监管原则的合规与伦理驱动因素；阐释为何传统验证技术不适用于生成式人工智能模型的验证；提出了毕马威对生成式人工智能模型验证的框架，该框架以现有模型验证实践为基础进行扩展，充分考虑生成式人工智能自身的特定风险，如幻觉问题、提示敏感性、以及第三方依赖性和不当使用等风险。我们的目的并不是阻碍创新，而是通过将稳健的验证机制作为生成式人工智能治理的核心要素，使银行能够负责任地应用这一技术。© 2026 毕马威华振会计师事务所(特殊普通合伙) — 中国合伙制会计师事务所，毕马威企业咨询 (中国) 有限公司 — 中国有限责任公司，毕马威会计师事务所— 澳门特别行政区合伙制事务所，及毕马威会计师事务所 — 香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全球组织中的成员。版权所有，不得转载。在中国印刷。银行业生成式人工智能模型验证 34 银行业生成式人工智能模型验证背景与动因© 2026 毕马威华振会计师事务所(特殊普通合伙) — 中国合伙制会计师事务所，毕马威企业咨询 (中国) 有限公司 — 中国有限责任公司，毕马威会计师事务所— 澳门特别行政区合伙制事务所，及毕马威会计师事务所 — 香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全球组织中的成员。版权所有，不得转载。在中国印刷。© 2026 毕马威华振会计师事务所(特殊普通合伙) — 中国合伙制会计师事务所，毕马威企业咨询 (中国) 有限公司 — 中国有限责任公司，毕马威会计师事务所— 澳门特别行政区合伙制事务所，及毕马威会计师事务所 — 香港特别行政区合伙制事务所，均是与毕马威国际有限公司(英国私营担保有限公司)相关联的独立成员所全球组织中的成员。版权所有，不得转载。在中国印刷。银行业生成式人工智能模型验证 5生成式人工智能代表了人工智能的领域一次范式演变，它能够根据从海量数据集中习得的特征自动生成文本、图像、代码和其他复杂内容。这一演变给金融机构的模型风险、治理需求和验证要求带来了全新维度的挑战。大语言模型（LLM）：以业界顶尖的自研大语言模型为代表，这些模型基于大量文本语料训练而成，能够像人类一样流畅地处理、总结和生成自然语言信息。小语言模型（SLM）：这类模型是轻量级、面相特定领域的专有模型，针对效率、隐私保护和本地部署进行了优化，因此在强监管行业的重要性日益显现。这些应用可通过以前难以量化的方式从非结构化数据中挖掘洞察信息，这表明生成式人工智能在推动银行转型方面极富潜力。生成式人工智能包含多种模型架构，目前对于银行业应用最广的几类架构包括：代理式人工智能和自主系统：除了简单生成内容之外，这类“智能体”还能够自主执行多步骤工作流程，例如处理争议或执行纠正任务，使生成式人工智能不再只是被动开展分析，还可以主动执行任务 。扩散模型和多模态架构：这类模型将生成能力从文本扩展到包括视频、音频和数据模态，使银行内的各个职能得以实现高级自动化。生成式人工智能给模型风险带来了诸多挑战然而，复杂的生成式人工智能模型也带来了比传统模型更为显著的风险。核心挑战包括数据隐私和保密问题，尤其是敏感数据的外部处理导致的风险，以及员工使用未经批准的公开工具带来的“影子人工智能”风险。模型偏见引起的伦理问题，加上“幻觉”和编造事实等问题，会造成重大的声誉和合规风险，而可解释性和可追溯性不足也影响了结果的可复现性。尤为关键的是，依赖少数外部模型供应商会产生第三方集中度风险。在这种情况下，单一供应商出现问题很可能会影响银行内多个关键职能。此外，包括《欧盟人工智能法案》和《数字运营韧性法案》（DORA）在内的新兴监管框架对已部署的人工智能系统形成了更严格的问责标准。鉴于生成式人工智能的潜在影响范围，全面的模型验证成为了生成式人工智能治理框架的核心控制要素。它能确保模型在技术上文件可靠，符合伦理和监管期望，并能有效融入现有的模型风险管理体系。系统性的验证方法可为监管机构和利益相关提供透明度，降低运营和声誉风险，并帮助银行负责任地使用生成式人工智能。金融机构正利用这些模型实现自动化分析，提升报告质量并辅助决策制定。其应用范围广泛，涵盖所有关键领域，包括：• 自动信贷决策：将生成式人工智能模型集成到决策引擎中，从而可以通过非结构化信息（如财务报表和市场披露信息）确定信用等级。• 软件工程和数据迁移：通过代码生成和调试助手加快开发周期，同时促进既有代码库的转译和现代化，以减少技术债务。• 交易监控与合规管理：检测异常交易行为，并自动起草可疑活动报告（SAR）或生成关于疑点的解释说明。• 预警系统：总结大量市场新闻和内部报告，提前识别潜在风险的信号。• 数据质量和元数据管理：使用大语言模型来检测数据质量问题，推断元数据，并对数据进行分类以便后续建模。• 知识管理和政策查询：部署基于检索增强生成技术（RAG）的系统，使员工能够查询海量内部监管规则和法律文档，实现及时精准的信息检索。• 环境、社会和治理（ESG）和声誉风险评分：分析披露和社交媒体内容，生成风险评分，为制定交易对手与行业相关限额提供依据。监管机构对生成式人工智能模型验证的要求6 银行业生成式人工智能模型验证© 2026 毕马威