银行采购AI服务时该如何评估治理与责任风险

当一家银行开始采购人工智能服务时，容易把注意力集中在模型能力、成本和部署速度上，而把治理与责任当作签约后的附属条款。但从监管推动与机构制度化的趋势看，这种顺序正在被改变。2026年9月底平安银行经董事会审议通过内部人工智能管理办法，被公开披露为上市银行中较早落地此类制度的案例，其直接背景是金融监管部门此前发布的关于银行业保险业人工智能安全开发应用的指导意见。这意味着治理要求正从原则层面转化为可执行的内部规则，采购评估也应随之前移。

对采购方而言，第一道评估不是技术性能，而是数据与业务边界的确认。机构需要在引入工具前厘清：该服务会接触哪些数据、用于哪些具体业务、其输出是否会影响客户权益或经营决策。平安银行提出的“谁使用谁负责”原则，实质上要求使用方对业务后果承担主体责任，这就决定了采购谈判中必须把供应商职责与银行职责逐项写清，而不是笼统接受供应商的标准条款。责任链条模糊的服务，无论性能多强，都应被视为高风险选项。

把责任划分写进评估清单

一份经得起审查的供应商评估，至少应覆盖几类可核验的内容：数据安全如何保障、算法风险如何识别与披露、是否具备伦理审查和异常处理机制，以及责任如何在供应商与银行之间界定和追溯。这些维度不应停留在供应商的宣传材料，而要落到合同义务、技术文档和可测试的交付标准上。采购环节需要能回答一个问题——当模型给出错误或有害输出时，谁来发现、谁来纠正、谁来承担后果。

治理不止于验收

值得强调的是，治理工作不能在签约和验收后结束。模型上线前的审批只是起点，使用过程中的持续评估才是风险控制的主体。银行需要为模型表现的监测、数据与算法风险的动态管理、业务调整后的重新审查以及责任追溯设置常态化流程。平安银行披露的全生命周期管理思路，正好指向这一点：治理重点既在上线审批，也在运行过程中的风险管控。这要求采购方在选型时就考虑服务是否支持持续监测、是否提供可审计的运行记录，以及在业务或监管口径变化时能否相应调整。

需要清醒看待的是，单家银行的内部办法并不等同于行业统一标准，其全文和执行细则也尚未对外公开，外界无法据此推断具体条款。因此机构在制定自身采购标准时，更稳妥的做法是回到监管文件本身，并关注后续是否形成更明确、可操作的场景管理口径。真正决定风险水平的，不是是否采购了某个先进模型，而是治理规则能否落实到具体业务、采购审查与持续管理之中。对银行及其AI供应商来说，接下来值得观察的是制度如何覆盖采购、开发与业务使用的全链条，以及安全、效率与责任划分之间能否建立可执行的衔接。