Методические рекомендации Банка России по безопасности ИИ на финрынке (№ 3-МР): обзор и что делать на практике

Документ переводит этические принципы в плоскость информационной безопасности и систематизирует угрозы для кредитных организаций, некредитных финансовых структур и платёжной инфраструктуры. Статус рекомендательный. Это не запрет и не обязанность. Это маршрут, по которому регулятор будет сверять практику через год-два.

Адресаты: кредитные организации, филиалы иностранных банков в РФ, некредитные финансовые организации, профессиональные участники рынка и субъекты национальной платёжной системы. Базис — Кодекс этики в сфере разработки и применения ИИ на финансовом рынке (информационное письмо Банка России от 09.07.2025 № ИН-016-13/91).

Терминология закреплена

Глава 1 фиксирует термины: галлюцинации ИИ, дрейф данных, прямое и непрямое внедрение запроса, «отравленный» набор данных. Определения систем ИИ, объяснимости, предсказуемости, надёжности, качества привязаны к ГОСТ Р 71476–2024 и ГОСТ Р 59898–2021. Когда регулятор закрепляет лексику, он начинает оперировать ею в проверках. До 3-МР эти термины жили в экспертной среде и стандартах. Теперь они в документе ЦБ.

Шесть классов угроз

Глава 2 перечисляет риски: управление данными (включая «отравленные» и неактуальные датасеты), нарушение конфиденциальности, нарушение функционирования модели (галлюцинации, дрейф), недостаточная объяснимость и предсказуемость, риски поставщиков и open source, риски операционной надёжности.

Последствия указаны явно: от убытков и нарушения прав граждан до угрозы стабильности финансовой системы. ИИ не вынесен в отдельную вселенную — безопасность достраивается поверх существующего фундамента: управления рисками, операционной надёжности, защиты ПДн, аутсорсинга. Логика та же, что у методики ФСТЭК к приказу № 117.

Человек в контуре и цепочка поставок

Пункт 2.5 — ключевой. Если ИИ работает в автоматическом режиме в критичных процессах — платежи, учётные системы — и риск оценён как высокий, требуется валидация результатов человеком с возможностью их изменения. Это требование к архитектуре системы, не благое пожелание. Автоматический скоринг без human-in-the-loop на критичных операциях теперь вне периметра ожидаемой практики.

Отдельный блок — риски поставщиков и open source. Зависимость от внешних моделей и библиотек включена в перечень угроз напрямую. Для разработчиков и интеграторов это сигнал: аудит зависимостей, контроль источников моделей, проверка обучающих данных, SBOM — не опциональная практика. Поставщик закрылся, обновил веса, подменил датасет — модель в проде работает иначе, чем вчера. Регулятор смотрит именно на этот сценарий.

Практический минимум

Шаги, которые имеет смысл пройти уже сейчас: инвентаризация ИИ-систем и моделей в продуктовом контуре, классификация по критичности и уровню автоматизации, формализация модели угроз под терминологию 3-МР, выделение процессов с обязательным human-in-the-loop, аудит open source-зависимостей и поставщиков, политика ИБ с отдельным разделом про ИИ. Плюс регламент мониторинга дрейфа данных и галлюцинаций — без этого любые метрики качества модели бесполезны.

Методические рекомендации — объявленное направление движения. Мягкая форма часто превращается в ожидаемую практику завтра, иногда — в положение нормативного акта. Ждать обязательной версии и подгонять процессы под её появление — тактическая ошибка. Аудит собственного ИИ-контура стоит запускать сейчас.