一、开场：从新加坡到中国，续集变成对照
上一期我们拆完了新加坡金管局的 AI 监管拼图——FEAT 原则、Veritas 方法论、Mind Forge 运营手册。这一期是真正的"续集升级"：把镜头拉回中国。2026 年 6 月 18 日，国家金融监督管理总局发布金发[2026]8号文件——《关于银行业保险业人工智能安全开发应用的指导意见》。8 大部分、32 条，这是中国银行业保险业 AI 监管的第一份总纲性文件。同样是金融 AI 监管，新加坡用了七年慢慢引导，中国用一份文件直接立规矩。这期十二步，把它拆透。
二、为什么是现在：一年之内，从行动到意见
《指导意见》不是凭空冒出来的。往前看两步：2025 年 8 月，国务院发布《关于深入实施"人工智能+"行动的意见》，围绕六大领域、八大支撑，要求全面推进人工智能科技创新；2026 年 3 月，《国民经济和社会发展第十五个五年规划纲要》正式发布，明确提出加快人工智能技术创新、加强人工智能治理。金融监管总局密集调研了行业人工智能应用的现状、问题与挑战，在这条政策链条的末端，落下了这份金发 8 号文。目的很直白：规范银行业保险业人工智能应用，引导其朝着"有益、安全、公平"的方向发展。
三、中-新对照：七年软引导，与一份硬约束
先把两套体系摆在一起看。MAS 的路径是七年递进：2018 年 FEAT 定价值，2019 年 Veritas 给方法，2023 年 Mind Forge 补运营，文件性质是"信息文件"和"良好实践"——软性引导，行业标杆。中国的路径是一年落子：2025 年 8 月国务院"人工智能+"行动，2026 年 6 月金发 8 号文。文件性质是行政规范性文件，面向全国所有银行保险机构，落款直接是"国家金融监督管理总局"，且明确"对违规行为严肃查处"。一个靠原则感化，一个靠条文约束——这就是"软监管"与"硬约束"的差别。
四、四项原则：谁使用谁负责，是整份文件的灵魂
《指导意见》的总体要求立了四条原则。第一条最狠：谁使用谁负责——金融机构是金融服务提供方、人工智能技术使用方，主体责任压实到机构内部各环节，开发应用各方的分工和权责义务要写清楚。第二条是自主可控——关键平台、关键软硬件要有自主研发能力，加强信息技术应用创新适配。第三条务实高效——以业务价值为导向，摒弃"为新而新、为用而用"。第四条安全发展——落实网络安全、数据安全各项法规。四句话，定了责任、定了自主、定了务实、定了安全。
五、治理架构：董（理）事会专委会 + 全生命周期
第二大部分讲治理架构，三层要求。第一层，治理要上到董事会：董（理）事会指定专门委员会对人工智能开发应用管理负责，统筹规划、建制度、明确牵头部门，还要确保 AI 应用与机构风险管理能力相匹配——能力不够就别上。第二层，全生命周期管理体系：从需求分析、数据准备、训练开发、部署运行、维护迭代到评估退出，加上数据安全评估、算法风险筛查、伦理审查、责任追溯。第三层，场景和流程管理：技术适配原则，合适的 AI 用合适的场景，人机协同要科学设定功能边界和系统权限，全流程责任清晰、可追溯。
六、开发应用：生成式 AI 要准入，外部引入要备案
第三大部分是"推进高水平开发应用"，四条。一是鼓励有条件的机构建一站式开发平台，全流程管模型，配套低代码开发和自动化测评。二是推动新一代 AI 技术应用——注意措辞：支持"风险可控的前提下"推进生成式 AI，稳妥探索金融智能体；关键在准入管理：生成式 AI 模型要评估效能和安全合规性，外部引入的生成式 AI 模型需经过网信部门备案——这是中国独有的备案红线。三是运营服务体系：数据闭环反馈，形成"数据—模型—应用"迭代，鼓励建企业级 MaaS 平台。四是行业生态：大行向中小机构输出技术和经验，金融应用与 AI 产业互相促进。
七、数据治理：五性标准，数据集共建，知识工程
第四大部分谈数据，四条。一是数据运营体系：企业级数据模型和数据资产地图，元数据管理，数据可寻可用、源头可追溯，非结构化数据要立采集清洗标注规范。二是高质量数据集：确立数据质量标准，确保准确性、相关性、一致性、完整性和无偏见——"无偏见"直接写进监管文件，和 FEAT 的公平原则殊途同归。三是行业数据集共建共享：协同多源数据，系统性筛选、清洗、标注、合成，机构间依法合规共享。四是知识工程：企业级知识管理体系，知识萃取、整合、共享，从创建到归档全流程规范。
八、算力与风险：自主可控底座，高风险应用要过风管委
第五、六大部分连着看。算力两条：按需布局智能算力，用绿色低碳技术，建自主可控、安全高效的算力底座；算力要云化管理，对应用、模型、算力、网络一体化监测。风险治理六条里最重磅的是高风险应用准入——第十六条：涉及资金交易、资产评估、信贷审批、承保理赔、风险管理，以及与客户利益直接相关、直接影响金融合约达成的生成式 AI 场景，一律视为高风险应用，须经本机构风险管理委员会批准后方可实施；还要建人工监督干预机制，明确紧急停用和模型退出条件，配备用系统。另外，外包要建"防火墙"、名单制管理；开源组件要建台账、审查评估、防供应链投毒。
九、安全能力：可解释性红线，个人信息禁入训练
第七大部分是"提升安全开发应用能力"，七条，条条是硬要求。最值得划线的三条。第一，可解释性：可解释性不足的 AI 在高风险场景只能作为辅助工具，必须由人工做最终决策；涉及客户权益或有实质财务影响的关键决策，要设人工复核节点，完整保留原始数据、推理路径和阈值触发记录。第二，数据安全与个人信息保护：姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式 AI 模型训练和优化——这是把客户隐私直接挡在训练数据门外。第三，透明度：AI 生成内容要显著标识，向金融消费者主动说明。此外还有稳健性、伦理公平、网络安全（防提示词注入、思维链注入、多模态攻击）、运营韧性。
十、监管保障：报告义务 + 年度评估 + 严肃查处
第八大部分讲监管自己怎么干活，六条。最实质的一条是第二十九条：金融机构面向公众服务或高风险场景使用生成式 AI 的，应向金融监管总局或其派出机构报告——事前、事中、事后全链条风险防控。另外：推动建立行业生成式 AI 安全开发应用技术框架；建立监管政策和监管效果的年度评估机制；加强监管人才队伍建设，培养复合型监管人才；促进经验分享。还有第二十七条的兜底：对违规行为严肃查处。注意，这份文件的落款是"国家金融监督管理总局"，发至各金融监管局与地方法人银行保险机构——效力链条从上到下是通的。
十一、数据账本：8 大部分，32 条，四道红线
把整份文件的数据摆出来：8 大部分、32 条。四项原则：谁使用谁负责、自主可控、务实高效、安全发展。四道红线最扎眼：第一道，生成式 AI 模型外部引入要网信备案；第二道，高风险应用（资金交易、信贷审批、承保理赔等六类）须风险管理委员会批准；第三道，可解释性不足的 AI 在高风险场景只能当辅助、人工做最终决策；第四道，姓名、身份证号、手机号、银行卡号不得用于生成式 AI 训练。加上向监管报告的义务和严肃查处的兜底——硬监管的成色，全在这几道红线上。
十二、总结：按图施工，还是先补地基？
总结一下。对银行保险机构：这份文件既是施工图，也是体检表——董事会要挂帅、全生命周期要建体系、高风险应用要过风管委、数据要达标"五性"、隐私数据要挡在训练门外。对每个用 AI 的团队：马斯克那句"AI 监管像驾驶考试"放在中国语境下更贴切——不是不让你开，是要你先过科目一。对照 MAS 系列：新加坡用七年告诉我们原则怎么长成工程，中国用一份 32 条的文件告诉我们约束怎么一步到位。两套体系，同一个方向：让 AI 在金融里跑起来，但跑得可控。
以上内容根据国家金融监督管理总局公开文件整理，具体以官方文件原文为准。