AI反洗钱 合规红线与监管框架

AI反洗钱(一)合规红线与监管框架

当一家银行将大模型引入可疑交易监测时,它首先面对的问题不是”模型准不准”,而是”这样做合规吗”。

在全球主要金融监管辖区,AI用于反洗钱(AML)已从”鼓励探索”阶段进入”有条件允许”阶段。监管机构不再仅仅观望,而是开始划定明确的红线。本文梳理截至2026年中期的全球AML监管框架,帮助从业者理解AI应用的法律边界。

一、欧盟: AI Act与金融服务的交叉地带

1.1 AI Act的基本定位

2024年8月1日,欧盟《人工智能法案》(AI Act, Regulation (EU) 2024/1689)正式生效。这是全球首部具有法律约束力的AI综合性专门法规[1]。该法案采用基于风险的分级分类体系,将AI系统划分为四个风险等级: 不可接受风险(禁止)、高风险(严格监管)、有限风险(透明度义务)和最小风险(自由使用)。

1.2 反洗钱AI系统的高风险定性

在AI Act的附件III中,用于信用资格评估(creditworthiness)和信用评分(credit scoring)的AI系统被明确列为”高风险AI系统”[2]。AML合规领域的AI应用——包括可疑交易识别、客户尽职调查(CDD)增强、交易监控模型优化等——目前尚未在附件III中被逐项列举,但业界普遍认为其属于”评估金融系统风险”的延伸范畴。EBA在2024年发布的AI相关报告中,讨论了金融领域AI应用可能面临的高风险分类和治理要求[3]。这意味着,金融机构在欧盟境内部署AML相关AI系统时,应审慎评估是否需要履行高风险系统的合规义务,包括:

• 建立风险管理体系
• 进行数据治理和质量保障
• 保存技术文档并向监管机构提供
• 实施记录保存和自动日志功能
• 提供充分的透明度和使用信息
• 实现人工监督(human oversight)
• 达到适当的准确性、鲁棒性(Robustness,即抗干扰能力)和网络安全水平

1.3 罚则:三档分档,取较高者

AI Act的罚则设计采用”固定金额与营业额比例取较高者”的模式,分三档执行[4]:

• 第一档(最严重违规,如违反禁止性规定): 3500万欧元或全球年营业额的7%,取较高者
• 第二档(高风险系统违规): 1500万欧元或全球年营业额的3%,取较高者
• 第三档(其他违规,如提供不实信息): 750万欧元或全球年营业额的1%,取较高者

对大型金融机构而言,第二档罚则的参考意义最大——全球年营业额3%的罚款对任何国际银行都是不可承受的。值得注意的是,AI Act的罚则与欧盟通用数据保护条例(GDPR)并行适用,这意味着金融机构可能同时面临AI Act和GDPR的双重处罚。

1.4 时间线与过渡期

AI Act的适用采用分阶段推进:

• 2024年7月12日: 法案在欧盟官方公报发布
• 2024年8月1日: 正式生效
• 2025年2月2日: 禁止性条款和AI素养要求开始适用
• 2025年8月2日: 通用AI模型(GPAI)义务、治理框架、处罚条款开始适用
• 2026年8月2日: 高风险AI系统完整合规要求生效[5]

对AML领域的AI应用而言,2026年8月是一个关键节点。此后在欧盟部署的AML相关AI系统,原则上应当符合高风险系统的完整合规要求。此外,对于在2025年2月2日之前已投放市场的高风险AI系统,法规给予24个月过渡期(至2027年2月2日),金融机构需评估现有系统是否符合新规。

二、FATF:国际标准的柔性指引

2.1 FATF的角色定位

金融行动特别工作组(FATF)是全球反洗钱和反恐怖融资标准的制定者。其”40项建议”构成各成员国(含中国)AML立法的基础框架。与欧盟AI Act的硬性法规不同,FATF发布的文件以”指引”(Guidance)和”报告”(Report)的形式存在,不具有直接法律效力,但对各国的监管实践有深远影响。

2.2 新技术指引

FATF于2021年6月发布了《Updated Guidance on AML/CFT for New Technology Types》[6]。该指引并非专门针对AI,而是涵盖了一系列新兴技术——包括虚拟资产、数字身份、分布式账本等——在AML领域的应用。

指引中与AI直接相关的要点包括:

• 新技术的采用不应削弱金融机构履行AML义务的能力
• 金融机构应当对新引入的技术进行充分的风险评估
• 监管机构应当保持对新技术的理解能力(supervisory technology,即Suptech)
• 有效的AML框架应确保”了解你的客户”(KYC)原则在任何技术架构下得到贯彻

指引特别强调,无论技术如何演进,ML/TF风险识别和缓释的基本责任仍在于金融机构本身。技术供应商提供的工具和模型,其输出结果需要经过金融机构自身的验证和审查。

2.3 对行业的实际影响

FATF指引的价值不在于设定具体技术标准,而在于确立了”风险为本”(risk-based approach)原则在新语境下的适用逻辑。金融机构可以合理使用AI技术提升AML效率,但必须证明这种使用不会引入新的风险,或已对新风险进行了充分缓释。

三、中国:修订后的法律框架与监管方向

3.1 2024年反洗钱法修订

2024年11月8日,十四届全国人大常委会第十二次会议通过了《中华人民共和国反洗钱法》修订案,新法自2025年1月1日起施行[7]。这是自2006年反洗钱法颁布以来的首次全面修订。

修订后的反洗钱法在多个维度上进行了更新,包括扩大反洗钱义务主体范围(将特定非金融机构纳入)、强化反洗钱监督管理、加大处罚力度等。值得注意的是,修订后的法律对金融机构采用新技术手段提出了明确的合规管理要求[8]。这一表述虽然未直接点名AI,但为金融机构在AML领域应用AI等新技术提供了法律基础上的合规框架。

3.2 金融监管总局的穿透式监管理念

金融监管总局在原有穿透式监管框架基础上进一步深化了对AI应用的监管要求[9]。穿透式监管理念最早在资管新规背景下确立,要求监管机构透过技术工具的表象,审视其实际效果和风险。对金融机构而言,这意味着AI模型的”黑箱”特性可能面临监管审查——监管者关注的不仅是模型的输出准确率,还包括模型决策过程的可解释性和可审计性。

3.3 央行的AML监管科技建设

央行持续推动AML监管科技能力建设[10]。这一方向包括提升监管数据报送的标准化程度、探索监管端的数据分析和风险预警能力等。监管机构自身也在利用技术手段提升AML监管效能,这反过来对金融机构的技术应用水平提出了更高要求。

3.4 合规红线要点

综合中国当前的AML监管框架,金融机构在引入AI时应注意以下红线:

• AI辅助的KYC结论不能替代人工复核(至少在当前阶段)
• 交易监控模型的逻辑应当可解释、可审计
• 可疑交易报告(STR)的提交责任在于金融机构,不能转嫁给AI系统
• 数据使用应符合《个人信息保护法》和《数据安全法》的要求

四、英国与香港:中国从业者的高参考价值

4.1 英国: Economic Crime and Corporate Transparency Act 2023

英国于2023年通过了《经济犯罪与企业透明度法案》(ECCTA 2023),该法案对AML监管框架进行了重大更新[12]。与AI应用相关的要点包括:

• 企业透明度改革
  
  : 要求在英国注册的公司更全面地披露受益所有人信息,为AI驱动的受益所有人识别提供了更丰富的数据基础
• 异常报告义务
  
  : 扩大了可疑活动报告(SAR)的范围,金融机构需要关注更广泛的经济犯罪信号
• 技术手段鼓励
  
  : 法案本身不直接规定AI使用,但英国金融行为监管局(FCA)明确鼓励金融机构利用技术手段提升AML效能

FCA于2024年发布的AI/ML讨论文件(DP24/2)中,探讨了AI在金融服务的应用框架,包括模型风险管理、数据治理和公平性要求[13]。该框架虽然不针对AML,但对AML场景的AI应用有直接参考价值。

4.2 香港: AMLO修订与金管局指引

香港的《反洗钱及恐怖分子资金筹集条例》(AMLO, Anti-Money Laundering and Counter-Terrorist Financing Ordinance)是中国AML从业者最常接触的跨境监管框架之一。近年来的更新包括:

• 2023年修订
  
  : 扩大了金融机构的尽职调查义务,强化了受益所有人识别要求
• 香港金管局(HKMA)指引
  
  : HKMA发布的《科技应用指引》系列中,明确支持金融机构采用AI和数据分析技术提升AML能力,同时要求确保技术的可解释性和合规性[14]
• 跨境数据安排
  
  : 香港与内地之间的反洗钱监管协作机制持续完善,对跨境运营的金融机构有直接影响

对内地从业者的意义:香港和英国的监管实践对中资机构的海外合规有直接指导价值,同时其技术治理框架也为内地监管的未来演进提供了参考。

五、新加坡: MAS FEAT原则

5.1 FEAT框架概览

新加坡金融管理局(MAS)在AI治理领域走在前列。据公开资料,MAS发布了”FEAT”原则框架,涵盖公平性(Fairness)、伦理(Ethics)、问责(Accountability)和透明度(Transparency)四个维度[11]。该框架最初于2018-2020年间逐步推出,面向新加坡金融行业使用AI和数据分析的场景。

5.2 对AML应用的启示

虽然FEAT原则并非专门针对AML场景,但其四个维度对AML领域的AI应用有直接指导意义:

• 公平性: 确保AI模型不会对特定客户群体产生系统性偏见(例如基于国籍或种族的交易评分差异)
• 伦理: AI应用应符合金融行业的基本伦理准则,避免过度侵入客户隐私
• 问责: 金融机构对AI系统的决策结果承担最终责任,技术供应商的责任边界需在合同中明确
• 透明度: AI模型的运行逻辑和决策依据应当向监管机构和内部审计部门充分披露

六、美国: FinCEN的改革方向

6.1 FinCEN的AML/CFT改革

美国金融犯罪执法网络(FinCEN)是AML监管的核心执行机构。近年来,FinCEN持续推动AML/CFT改革,核心关注点从”合规程序是否完备”转向”合规措施是否有效(Effectiveness)”[15]。

这一转向对AI应用有重要意义。如果监管重点从程序合规转向实质效果,那么金融机构有更强的动力采用AI等新技术来提升AML的实际效果——因为AI的引入可以直接改善可疑交易的识别准确率、降低误报率、提高调查效率。

七、监管框架的共性特征

综合以上主要辖区的监管框架,可以归纳出几个共性特征:

7.1 风险为本,而非技术为本

所有主要监管辖区都采用”风险为本”的方法论。监管关注的不是金融机构是否使用了AI,而是AI的使用是否有效管理了风险。技术本身是中性的,关键在于应用方式。

7.2 人工监督是底线要求

无论是欧盟AI Act的”human oversight”、FATF指引的风险评估要求,还是中国监管的人工复核要求,都指向同一个底线: AI在当前阶段是增强而非替代人工判断的工具。

7.3 透明度和可解释性是硬要求

各监管辖区虽然表述不同,但都要求AI系统的决策过程具有一定的透明度和可解释性。纯粹的”黑箱”模型在受监管的金融场景中面临合规障碍。

7.4 问责主体始终是金融机构

无论AI系统来自内部开发还是外部采购,最终的合规责任都在金融机构。技术供应商可以协助,但不能替代金融机构的AML责任。

本系列预告

本系列共10期,涵盖从监管框架到技术落地的完整知识体系:

(一) 合规红线与监管框架

(二) 学术前沿扫描

(三) AI的能力边界

(四) 监控模型:从规则到智能

(五) 客户尽调:AI增强的KYC

(六) 图网络与资金链追踪

(七) 大模型在反洗钱中的角色

(八) 场景落地与效果评估

(九) 案例拆解:成功与失败

(十) 趋势展望与行动建议

下一期预告: AI反洗钱(二)将聚焦学术前沿,精读AAMAS 2025、arXiv等平台的最新研究成果,探讨学术界如何推动AML领域的技术边界。

参考来源

[1] Regulation (EU) 2024/1689 (AI Act). https://eur-lex.europa.eu/eli/reg/2024/1689

[2] AI Act Annex III – High-Risk AI Systems. https://artificialintelligenceact.eu/annex-iii/

[3] EBA Report on AI in the Financial Sector (2024). https://www.eba.europa.eu

[4] AI Act Penalties (Article 99). https://artificialintelligenceact.eu/article/99/

[5] AI Act Implementation Timeline. https://artificialintelligenceact.eu/implementation-timeline/

[6] FATF Updated Guidance on AML/CFT for New Technology Types (June 2021). https://www.fatf-gafi.org/en/publications/documents/updated-guidance-aml-cft-new-technologies.html

[7] 全国人大常委会关于修改《反洗钱法》的决定(2024). http://www.npc.gov.cn

[8] 新修订《反洗钱法》条文解读. http://www.pbc.gov.cn

[9] 金融监管总局穿透式监管相关政策文件. https://www.nfra.gov.cn

[10] 中国人民银行AML监管科技能力建设. https://www.pbc.gov.cn

[11] MAS FEAT Principles. https://www.mas.gov.sg

[12] UK Economic Crime and Corporate Transparency Act 2023. https://www.legislation.gov.uk/ukpga/2023/27

[13] FCA Discussion Paper DP24/2: AI and Machine Learning in Financial Services. https://www.fca.org.uk

[14] HKMA Technology Application Guidelines. https://www.hkma.gov.hk

[15] FinCEN AML/CFT Reform NPRM. https://www.fincen.gov/news/news-releases/fincen-proposes-rule-fundamentally-reform-financial-institution-programs