सिंगापुर ने वित्तीय कंपनियों के लिए एआई जोखिम नियम तय किए, 2027 और 2028 में समय-सीमाएं

दो समय-सीमाओं ने वित्तीय क्षेत्र के एजेंडे में एआई निगरानी को शामिल किया

सिंगापुर की वित्तीय संस्थाओं को कृत्रिम बुद्धिमत्ता (एआई) की निगरानी से जुड़ी मुख्य पर्यवेक्षी अपेक्षाएं पूरी करने के लिए 7 अक्टूबर 2027 तक का समय दिया गया है। इसके बाद व्यापक नियंत्रण, क्षमताओं और बुनियादी ढांचे के लिए दूसरी समय-सीमा 7 अक्टूबर 2028 है। सिंगापुर के मौद्रिक प्राधिकरण (एमएएस) ने 7 अक्टूबर 2026 को एआई जोखिम प्रबंधन संबंधी दिशानिर्देश प्रकाशित किए, जो सभी वित्तीय संस्थाओं और एआई तकनीक के सभी रूपों पर लागू होते हैं।

यह ढांचा चैटबॉट और कर्मचारियों को दस्तावेज़ लिखने में मदद करने वाले सॉफ्टवेयर से आगे तक जाता है। इसमें पारंपरिक मशीन लर्निंग, सामग्री तैयार करने वाली जनरेटिव एआई और जुड़े हुए टूल के जरिए निर्णय लेने या कार्रवाई करने में सक्षम एआई एजेंट शामिल हैं। एमएएस ने चेताया है कि टूल तक पहुंच रखने वाले एजेंट स्वायत्त रूप से गलत या अनधिकृत कार्रवाई कर सकते हैं। इसलिए कार्रवाई करने का अधिकार उतना ही महत्वपूर्ण है जितना जवाब की सटीकता।

नियामक के एआई जोखिम दिशानिर्देश पर्यवेक्षी अपेक्षाएं तय करते हैं, न कि ऐसा अलग कानून जो हर कंपनी के लिए समान तकनीकी जरूरतें निर्धारित करे। इनका मूल सिद्धांत आनुपातिकता है: संस्थाओं को एआई के अपने उपयोग की पहचान करनी चाहिए, हर उपयोग के महत्व और जोखिम का आकलन करना चाहिए तथा उस जोखिम के अनुरूप नियंत्रण लागू करने चाहिए।

इससे एक व्यापक नियामक दायरा बनता है, लेकिन हर उपयोग को एक जैसा नहीं माना जाता। निवेश संबंधी सिफारिशों या ग्राहक के जोखिम आकलन को प्रभावित करने वाली प्रणाली पर, आंतरिक ईमेल की प्रूफरीडिंग के लिए इस्तेमाल किए जाने वाले टूल की तुलना में अलग स्तर की जांच जरूरी है। यह फर्क संभावित नतीजों पर निर्भर करता है, जिनमें ग्राहकों और अन्य संस्थाओं को होने वाला नुकसान शामिल है, न कि सिर्फ इस बात पर कि किसी उत्पाद पर एआई का लेबल लगा है या नहीं।

यह ढांचा किन पर लागू होता है?

इसके दायरे में बैंक, फंड प्रबंधक, वित्तीय सलाहकार, बीमा कंपनियां, भुगतान संस्थाएं, एक्सचेंज, क्लियरिंग हाउस, कस्टोडियन, क्रेडिट रेटिंग एजेंसियां और पूंजी बाजार उत्पादों का कारोबार करने वाली कंपनियां शामिल हैं। छूट प्राप्त फ्यूचर और ओवर-द-काउंटर डेरिवेटिव ब्रोकर भी स्पष्ट रूप से इसमें शामिल हैं।

यह सभी एआई तकनीकों पर लागू होता है, इसलिए यह ढांचा केवल जनरेटिव एआई नियमावली नहीं है और न ही सिर्फ सबसे बड़े बैंकों को लक्षित करता है। एमएएस संस्थाओं को अपने जोखिम प्रोफाइल, जिसमें एआई उपयोग का पैमाना और प्रकृति शामिल है, के अनुरूप इसे लागू करने की छूट देता है।

ये दिशानिर्देश एमएएस की मौजूदा अपेक्षाओं और सिद्धांतों के पूरक भी हैं। इनमें निष्पक्षता, नैतिकता, जवाबदेही और पारदर्शिता के सिद्धांत शामिल हैं, जिन्हें FEAT के नाम से जाना जाता है। ये वित्तीय सेवाओं पर पहले से लागू व्यापक दायित्वों की जगह लेने के बजाय एआई जोखिम प्रबंधन का ढांचा जोड़ते हैं।

कितना काम जरूरी है, यह तय करने वाली संस्थाओं के लिए व्यापक दायरे और नियंत्रणों की तीव्रता के बीच का फर्क अहम है। दायरे में होने का मतलब यह नहीं कि हर कंपनी को एक जैसी शासन व्यवस्था बनानी होगी। लेकिन हर संस्था को यह समझने का ठोस आधार रखना होगा कि वह एआई का इस्तेमाल कहां करती है और इन प्रणालियों के खराब प्रदर्शन या अनुपलब्ध होने पर क्या हो सकता है।

अक्टूबर 2028 तक क्या बदलेगा?

ये दिशानिर्देश नवंबर 2025 में शुरू हुए परामर्श के बाद आए हैं। अगस्त 2026 में संसद को दिए गए एक जवाब में एमएएस ने कहा था कि प्रस्तावित दिशानिर्देशों को जल्द अंतिम रूप दिया जाएगा और पुष्टि की थी कि इनमें एजेंटिक एआई शामिल है। इसके बाद अक्टूबर की घोषणा में लागू करने के दो चरण बताए गए।

• नवंबर 2025: एमएएस ने प्रस्तावित एआई जोखिम प्रबंधन दिशानिर्देशों पर सार्वजनिक परामर्श शुरू किया।
• 5 अगस्त 2026: संसद में दिए गए जवाब ने पुष्टि की कि प्रस्ताव वित्तीय संस्थाओं के एआई के सभी उपयोगों पर लागू थे, जिनमें एजेंटिक एआई भी शामिल है।
• 7 अक्टूबर 2026: एमएएस ने अंतिम दिशानिर्देश प्रकाशित किए।
• 7 अक्टूबर 2027: दिशानिर्देश लागू होंगे और धारा 3 तथा 4 की अपेक्षाएं इसी तारीख से लागू होंगी।
• 7 अक्टूबर 2028: संस्थाओं को धारा 5 और 6 की अपेक्षाएं पूरी करनी चाहिए।

इस समय-सारणी में कंपनियों को प्रकाशन के बाद मूल निगरानी, जोखिम प्रबंधन और नीति ढांचा स्थापित करने के लिए एक साल दिया गया है। व्यापक परिचालन व्यवस्थाओं के लिए इसके बाद एक और साल मिलेगा। बाद की समय-सीमा का मतलब यह नहीं कि पूरा ढांचा 2028 तक टाल दिया गया है।

एक संक्षिप्त रिपोर्ट में प्रभावी तारीख 7 अक्टूबर बताई गई है, लेकिन साल का उल्लेख नहीं है। एमएएस के प्रकाशन और घोषणा में तारीख स्पष्ट है: प्रभावी तारीख 7 अक्टूबर 2027 है और चरणबद्ध कार्यान्वयन 2028 तक जारी रहेगा।

नई समिति के बिना भी बोर्ड की जिम्मेदारी बरकरार

एमएएस बोर्ड और वरिष्ठ प्रबंधन से एआई जोखिमों की प्रभावी निगरानी की अपेक्षा करता है। इसमें जिम्मेदारियां तय करना, जोखिम सहनशीलता निर्धारित करना और जोखिम प्रबंधन ढांचे, नीतियां तथा प्रक्रियाएं स्थापित करना शामिल है। जोखिम सहनशीलता से आशय जोखिम के उस स्तर और प्रकार से है जिसे संस्था स्वीकार करने के लिए तैयार है।

नियामक की प्रकाशन संबंधी घोषणा में परामर्श के दौरान उठाई गई एक व्यावहारिक चिंता का जवाब दिया गया है: कंपनियां मौजूदा शासन व्यवस्थाओं का उपयोग कर सकती हैं, बशर्ते वे संबंधित विभागों के बीच पर्याप्त निगरानी और समन्वय सुनिश्चित करें। सिर्फ इस अपेक्षा को पूरा करने के लिए अलग एआई समिति बनाना जरूरी नहीं है।

कार्यान्वयन के लिहाज से यह फर्क महत्वपूर्ण है। जरूरत प्रभावी जवाबदेही की है, न कि किसी खास समिति के नाम या संगठनात्मक ढांचे की। मौजूदा व्यवस्थाएं इस अपेक्षा को पूरा कर सकती हैं, लेकिन तभी जब वे एआई जोखिमों की निगरानी और उनके लिए जिम्मेदार लोगों के बीच समन्वय कर सकें।

संस्थाओं को इन जोखिमों का दो स्तरों पर प्रबंधन करना होगा: पूरे संगठन में और हर उपयोग के स्तर पर। कोई एक उपयोग अलग से देखने पर संभालने योग्य लग सकता है, जबकि संस्था में एआई का बढ़ता उपयोग व्यापक निगरानी, कौशल या बुनियादी ढांचे की मांग कर सकता है। इसलिए एमएएस संस्थाओं से अपेक्षा करता है कि एआई का उपयोग बढ़ने के साथ वे अपनी क्षमताएं भी विकसित करें।

सूचियां जोखिम आकलन को ठोस बनाती हैं

वित्तीय संस्थाओं को एआई के अपने उपयोग की पहचान करनी चाहिए और उचित स्तर के विवरण के साथ उसकी सूची रखनी चाहिए। इस सूची के आधार पर यह आकलन किया जा सकता है कि कौन से उपयोग सबसे महत्वपूर्ण हैं और उनके लिए कौन से नियंत्रण जरूरी हैं। इस आधार के बिना वरिष्ठ प्रबंधन संस्था के जोखिम का भरोसेमंद आकलन नहीं कर सकता।

एमएएस हर उपयोग के जोखिम की महत्वपूर्णता का आकलन भी चाहता है। सरल शब्दों में, इसका मतलब यह तय करना है कि विफलता, खराब प्रदर्शन या सेवा उपलब्ध न होने से संस्था, उसके ग्राहकों या अन्य हितधारकों, जिनमें दूसरी वित्तीय संस्थाएं भी शामिल हैं, पर गंभीर असर पड़ सकता है या नहीं।

इस ढांचे में वित्तीय, परिचालन, आचरण, वित्तीय अपराध और प्रतिष्ठा संबंधी जोखिम शामिल हैं। जनरेटिव एआई से सुरक्षा, गोपनीयता और बाहरी सेवा प्रदाताओं से जुड़े जोखिम भी पैदा होते हैं। इन श्रेणियों के कारण आकलन सिर्फ यह जांचने तक सीमित नहीं रहता कि मॉडल आम तौर पर सटीक जवाब देता है या नहीं।

जहां एआई सेवाओं का खराब प्रदर्शन या अनुपलब्धता महत्वपूर्ण असर डालने की संभावना नहीं रखती, वहां एमएएस बुनियादी नीतियों और प्रक्रियाओं की अनुमति देता है। जोखिम बढ़ने पर अधिक परिष्कृत नियंत्रण लागू होने चाहिए। व्यावहारिक कसौटी विफलता का संभावित असर है, तकनीक का नया होना नहीं।

एआई प्रणाली शुरू होने के बाद भी नियंत्रण जारी रहने चाहिए

दिशानिर्देश एआई के पूरे जीवन चक्र में जोखिम के अनुपात में नियंत्रण लागू करने की मांग करते हैं। जीवन चक्र से आशय विकास और परीक्षण से लेकर तैनाती, उपयोग और बाद के बदलावों तक के चरणों से है। एमएएस इन नियंत्रणों में डेटा शासन, परीक्षण, मानवीय निगरानी, साइबर सुरक्षा, निगरानी और बदलाव प्रबंधन को शामिल करता है।

डेटा शासन का संबंध इस बात से है कि जानकारी का प्रबंधन और उपयोग कैसे किया जाता है। परीक्षण यह जांचता है कि प्रणाली अपने निर्धारित उद्देश्य के लिए उपयुक्त है या नहीं। परिचालन के दौरान निगरानी उसके प्रदर्शन पर नजर रखती है, जबकि बदलाव प्रबंधन उन संशोधनों से जुड़ा है जो उसके व्यवहार या जोखिम को बदल सकते हैं। ये एक-दूसरे से जुड़ी जिम्मेदारियां हैं, न कि लॉन्च से पहले की जाने वाली एकमात्र मंजूरी प्रक्रिया।

मानवीय निगरानी भी इस ढांचे का हिस्सा है। किसी वित्तीय फैसले को प्रभावित या लागू कर सकने वाली एआई प्रणाली के मामले में सवाल सिर्फ यह नहीं है कि कोई व्यक्ति उसका नतीजा पढ़ सकता है या नहीं। संस्थाओं को यह देखना होगा कि निगरानी उस उपयोग के जोखिमों और प्रणाली की कार्रवाई करने की क्षमता के अनुरूप कैसे हो।

एमएएस अपेक्षा करता है कि एआई का उपयोग बढ़ने और तकनीक विकसित होने के साथ नियंत्रणों की नियमित समीक्षा की जाए। टेक्स्ट का मसौदा तैयार करने वाले टूल के लिए बनाई गई व्यवस्था की फिर से समीक्षा जरूरी हो सकती है, अगर बाद में उसे ऐसे सिस्टम तक पहुंच मिल जाए जिनके जरिए वह कार्रवाई कर सके। दिशानिर्देश स्वायत्त एजेंटों के बढ़ते उपयोग के संदर्भ में नियमित समीक्षा पर खास जोर देते हैं।

एआई खरीदने से जवाबदेही खत्म नहीं होती

वित्तीय संस्थाएं अपनी सेवाएं देने में इस्तेमाल होने वाले एआई के लिए जवाबदेह बनी रहती हैं, भले ही प्रणालियां बाहरी कंपनियों ने विकसित की हों, संचालित की हों या उपलब्ध कराई हों। तकनीक को आउटसोर्स करने से उससे पैदा होने वाले जोखिमों की जिम्मेदारी आउटसोर्स नहीं होती।

एमएएस कंपनियों से अपेक्षा करता है कि वे सेवा प्रदाताओं से पर्याप्त आश्वासन लें और आकलन करें कि उनका एआई निर्धारित उपयोग के लिए उपयुक्त है या नहीं। जहां व्यावहारिक सीमाएं या आश्वासन में कमी हो, वहां संस्थाओं को जोखिम कम करने वाले वैकल्पिक नियंत्रण लागू करने चाहिए। ये ऐसे उपाय हैं जो पसंदीदा आश्वासन या नियंत्रण उपलब्ध न होने पर जोखिम घटाने के लिए किए जाते हैं।

नियामक ने उन स्थितियों के लिए भी दिशा-निर्देश दिए हैं जहां ये उपाय पर्याप्त न हों। यदि जोखिमों को संस्था की जोखिम सहनशीलता के भीतर नहीं लाया जा सकता, तो उसे एआई सेवा सीमित करने, निलंबित करने या बदलने पर विचार करना चाहिए। इसलिए किसी सेवा का इस्तेमाल जारी रखना सिर्फ इस वजह से उचित नहीं ठहराया जा सकता कि प्रदाता व्यावसायिक रूप से आकर्षक है या प्रणाली पहले से संचालन में शामिल है।

इससे परामर्श के दौरान उठी एक अन्य चिंता का समाधान होता है: उत्पादों और सेवाओं में शामिल एआई। प्रासंगिक सवाल यह है कि संस्था उस सुविधा का उपयोग कैसे करती है और उसके नतीजों का प्रबंधन कैसे करती है, न कि यह कि उसने खुद मॉडल बनाया है या नहीं। आकलन में प्रदाता के आश्वासनों को कंपनी के वास्तविक निर्धारित उपयोग से जोड़ना जरूरी है।

आगे के दिशानिर्देशों से पहले ही एजेंटिक एआई दायरे में

एजेंटिक एआई सिर्फ जवाब तैयार करने से अधिक कर सकता है। यह काम पूरा करने के लिए टूल का इस्तेमाल कर सकता है और अधिक स्वायत्तता से कार्रवाई कर सकता है। वित्तीय सेवाओं में गलत या अनधिकृत कार्रवाई के जोखिम से निपटने के लिए अनुमतियां, हस्तक्षेप और निर्णयों का रिकॉर्ड केंद्रीय महत्व रखते हैं।

अगस्त में संसद को दिए गए जवाब में उप प्रधानमंत्री, व्यापार एवं उद्योग मंत्री और एमएएस के अध्यक्ष गन किम योंग ने पुष्टि की कि प्रस्तावित दिशानिर्देश वित्तीय संस्थाओं के एआई के सभी उपयोगों पर लागू थे, जिनमें एजेंटिक एआई भी शामिल है। यह जवाब सेम्बावांग जीआरसी की सांसद मरियम जाफर के स्वायत्त एजेंटों और संभावित पर्यवेक्षी आवश्यकताओं से जुड़े सवाल पर दिया गया था।

गन ने उद्योग के साथ विकसित किए गए व्यावहारिक संसाधनों का भी जिक्र किया। प्रोजेक्ट माइंडफोर्ज के तहत उद्योग ने संस्थाओं को दिशानिर्देश लागू करने में मदद देने के लिए एआई जोखिम प्रबंधन टूलकिट बनाया। सेफगार्ड्स फॉर एजेंटिक फाइनेंस एट रनटाइम ढांचा, जिसे SAFR कहा जाता है, एजेंट की कार्रवाइयों को मंजूरी देने, मानवीय निगरानी सक्रिय करने और हर महत्वपूर्ण निर्णय के समय हुई घटनाओं का रिकॉर्ड रखने का एक संभावित तरीका बताता है।

इन संसाधनों का उद्देश्य पर्यवेक्षी ढांचे से अलग है। टूलकिट कार्यान्वयन में मदद करता है, जबकि SAFR संभावित परिचालन तरीका बताता है। संसद के जवाब में यह घोषणा नहीं की गई कि SAFR को ही अनिवार्य बनाया जाएगा।

एमएएस की योजना है कि 2027 में वित्तीय क्षेत्र से परामर्श करके यह जाना जाए कि एजेंटिक एआई पर कौन से अतिरिक्त दिशानिर्देश उपयोगी होंगे। उसने परामर्श की कोई निश्चित तारीख नहीं दी है और न ही उससे आने वाले दिशानिर्देशों की सामग्री की घोषणा की है। एजेंट पहले से ही दिशानिर्देशों के दायरे में हैं, इसलिए नियोजित परामर्श उनके जोखिमों के प्रबंधन को टालने का कारण नहीं है।

नियामकीय स्पष्टता, जोखिम की स्वीकार्य सीमा के साथ

एमएएस इस ढांचे को एआई पर प्रतिबंध के बजाय जिम्मेदार उपयोग को बढ़ावा देने वाला बताता है। परामर्श में जवाब देने वालों ने सिद्धांतों और जोखिम के अनुपात में नियंत्रणों पर आधारित इस दृष्टिकोण का समर्थन किया। साथ ही उन्होंने मौजूदा शासन व्यवस्थाओं, उत्पादों में शामिल एआई और बुनियादी नीतियां कब पर्याप्त होंगी, इस पर स्पष्टीकरण मांगा। अंतिम ढांचे में मुख्य अपेक्षाएं बरकरार रखते हुए इन चिंताओं का जवाब दिया गया है।

एमएएस की उप प्रबंध निदेशक हो हर्न शिन ने एआई के संभावित फायदों को तेजी से सक्षम हो रही प्रणालियों को समझने की संस्थाओं की जरूरत से जोड़ा। उन्होंने कहा:

इन फायदों को टिकाऊ तरीके से हासिल करने के लिए वित्तीय संस्थाओं को तेजी से सक्षम हो रही एआई प्रणालियों से जुड़े जोखिमों को समझना और उनका प्रबंधन करना होगा।

उनका बयान दिशानिर्देशों के मूल संतुलन को स्पष्ट करता है। संस्थाएं उत्पादकता में बढ़ोतरी, बेहतर जोखिम प्रबंधन और नई सेवाओं पर काम कर सकती हैं, लेकिन इन्हें देने में इस्तेमाल होने वाली प्रणालियों के लिए उन्हें जवाबदेह बने रहना होगा।

अगली निर्धारित समय-सीमाएं अक्टूबर 2027 और अक्टूबर 2028 में हैं। एजेंटिक एआई पर अतिरिक्त परामर्श 2027 में प्रस्तावित है। एमएएस ने यह भी कहा है कि जरूरत पड़ने पर वह पर्यवेक्षी अपेक्षाओं की समीक्षा और अद्यतन करता रहेगा। एजेंटिक एआई से जुड़ी नई आवश्यकताओं के लिए अलग समय-सीमा की घोषणा नहीं की गई है।

मुख्य बातें

• एमएएस ने 7 अक्टूबर 2026 को एआई जोखिम प्रबंधन दिशानिर्देश प्रकाशित किए। ये सभी वित्तीय संस्थाओं और एआई तकनीकों पर लागू होते हैं।
• धारा 3 और 4 की मुख्य अपेक्षाएं 7 अक्टूबर 2027 से लागू होंगी; धारा 5 और 6 को 7 अक्टूबर 2028 तक लागू किया जाना चाहिए।
• बोर्ड और वरिष्ठ प्रबंधन को प्रभावी निगरानी करनी होगी, लेकिन अलग एआई समिति बनाना जरूरी नहीं है।
• संस्थाओं को एआई के उपयोग की सूची बनानी चाहिए, उसके महत्व का आकलन करना चाहिए और संभावित नुकसान के अनुपात में नियंत्रण लागू करने चाहिए।
• बाहरी प्रदाताओं से मिली एआई के लिए भी कंपनियां जवाबदेह रहेंगी और अस्वीकार्य जोखिम वाली सेवाओं को सीमित करने या बदलने पर विचार करना चाहिए।
• एजेंटिक एआई पहले से ही दायरे में है। एमएएस 2027 में संभावित अतिरिक्त दिशानिर्देशों पर आगे परामर्श की योजना बना रहा है।