《银行业保险业人工智能安全开发应用的指导意见》解读——保险机构合规要点与应对建议

引言

2026年6月18日，国家金融监督管理总局发布《关于银行业保险业人工智能安全开发应用的指导意见》（金发〔2026〕8号，以下简称“《指导意见》”），对银行业保险业金融机构开发应用人工智能提出系统性的规范要求。人工智能技术已广泛应用于保险机构的承保理赔、客户服务、风险管理、产品定价等核心业务环节，《指导意见》的出台对保险行业的人工智能开发应用将会产生深远影响。

01.人工智能安全开发应用的原则

《指导意见》就人工智能安全开发应用提出了四项原则：

一是坚持谁使用谁负责。

压实金融机构作为金融服务提供方、人工智能技术使用方的主体责任，强化内部各环节工作责任落实，明确人工智能开发应用各方分工和权责义务。

二是坚持自主可控。

持续提升人工智能相关技术、设备自主可控水平，提高对业务经营发展有重大影响的关键平台、关键软硬件的自主研发能力，加强信息技术应用创新适配。

三是坚持务实高效。

以提升业务价值为导向，科学规划人工智能开发应用投入，有效平衡成本与效益，推动人工智能切实服务经济高质量发展和金融业务高效运转。

四是坚持安全发展。

严格落实国家网络安全和信息化工作要求，遵守网络安全、数据安全各项法律法规制度，强化技术安全和应用安全保障，全面提升安全防护和应急处置能力。

02.保险机构应重点关注的条款解读

（一）治理架构与主体责任

《指导意见》第一条要求，对于开发应用人工智能的金融机构，董事会应指定专门委员会对人工智能开发应用管理负责，统筹制定发展规划，推进能力体系建设，制定制度规范，明确牵头部门和跨业务、科技、数据职能部门的协同机制。同时，金融机构应建立健全人工智能应用需求分析、数据准备、训练开发、部署运行、维护迭代、评估退出的全生命周期管理体系，实施人工智能应用风险分类分级管理。

当前，保险机构的人工智能应用经常分散在各业务部门，缺乏统一的治理架构和归口管理部门。《指导意见》明确要求董事会层面指定专门委员会负责，将人工智能治理提升至公司治理层面，这意味着保险机构需对现有治理架构进行调整。此外，人工智能全生命周期管理体系的要求，也对保险机构的相关制度建设和流程管控提出了更高标准。

（二）高风险应用的准入与管控

《指导意见》第十六条明确，涉及资金交易、资产评估、信贷审批、承保理赔、风险管理等，以及与客户利益直接相关、直接影响金融合约达成的生成式人工智能场景应用应被视为高风险应用。人工智能高风险应用须经本机构风险管理委员会批准后方可实施。同时，第二十九条要求，金融机构面向公众服务或高风险场景应用使用生成式人工智能技术的，应向金融监管总局或其派出机构报告。第十七条要求金融机构加强对人工智能在业务场景中的运行监测，在高风险应用关键环节建立人工监督和干预机制，明确紧急停用及模型退出条件，建立备用系统或人工替代流程。

承保理赔是保险业务的核心环节，也是人工智能应用最为广泛的领域之一。智能核保、智能理赔、反欺诈识别等应用均属于《指导意见》界定的高风险应用范畴。这意味着保险机构现有的大量人工智能应用均需纳入高风险管理，履行风险管理委员会审批程序，并建立人工干预机制。对于已实现全自动化的理赔场景，可能需要重新评估其合规性，乃至增设人工复核节点。

（三）数据治理与个人信息保护

《指导意见》第四章对数据治理能力提出系统要求，包括完善数据管理运营体系、建设人工智能高质量数据集、支持行业数据集共建共享、推进知识工程建设等。第二十四条就数据安全与个人信息保护作出规定：金融机构应将人工智能数据安全纳入企业数据安全管理体系，严格落实数据分类分级保护要求。姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式人工智能模型训练和优化，有效防止客户隐私泄露。加强模型安全护栏建设，加强内容过滤及脱敏管理。

保险行业拥有大量客户个人信息和健康数据，是数据密集型行业。《指导意见》明确禁止将个人信息和隐私数据用于生成式人工智能模型训练，这对保险机构利用客户数据训练大模型的做法构成直接限制。保险机构需对现有用于模型训练的数据集进行全面梳理和脱敏处理，确保符合监管要求。

（四）算法透明度与可解释性

《指导意见》第二十一条要求，金融机构应加强人工智能应用透明度管理，为高风险场景应用制定透明度和可解释性标准，明确模型设计、数据使用、特征选择及输出结果的逻辑。对人工智能生成内容应进行显著标识，并向金融消费者主动说明。第二十二条进一步规定，可解释性不足的人工智能技术在高风险场景应用时，仅能作为辅助工具，应由人工进行最终决策。人工智能模型应用于涉及客户权益或有实质性财务影响的关键决策时，须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录，确保责任可追溯。定期对人工智能模型算法开展审计。

人工智能算法的“黑箱”问题是保险行业的合规痛点之一。《指导意见》对可解释性提出明确要求，特别是对于涉及客户权益的关键决策，必须设置人工复核节点并保留完整记录。这意味着保险机构若在核保、理赔、定价等核心环节使用人工智能时完全依赖算法自动决策，将存在合规风险，必须确保人工干预的可及性和决策的可追溯性。对于深度学习等可解释性较弱的模型，在高风险场景中的应用将受到更为严格的限制。

（五）伦理道德与公平性

《指导意见》第二十三条规定，金融机构开发应用人工智能应符合法律法规及社会价值观要求。建立人工智能开发应用伦理审查监测制度，制定符合伦理道德的行为准则，加强数据集审查和对特定群体的影响评估，避免算法歧视等不公平性问题。使用受保护特征或属性时应进行正当性说明，删除偏见样本。

保险产品定价和风险评估中使用的大量变量，可能与性别、年龄、地域等受保护特征存在相关性，容易引发算法歧视问题。《指导意见》要求加强数据集审查和对特定群体的影响评估，删除偏见样本，这对保险机构的数据使用和模型构建提出了具体的合规要求。保险机构需建立伦理审查机制，对人工智能应用进行公平性评估，防止出现对特定群体的不合理差别对待。

（六）外包与供应链风险管理

《指导意见》第十八条规定，使用外部人工智能技术时，金融机构应在外包策略、数据安全、集中度管理等方面建立管理机制，通过合同协议明确安全管理方面的权责义务。与外部企业开展合作时，应建立有效的风险隔离“防火墙”，防范风险跨业传递。对外包合作机构实行名单制管理，对引入的外部模型建立严格的内部评估框架。第十九条规定，金融机构要建立对人工智能算力、模型、数据、技术工具等的供应链安全合规管理机制，确保应用自主可控，防范对个别技术服务过度依赖引发的集中度风险。完善开源技术使用规范，建立开源软件管理台账，对外部引入的开源组件应进行审查评估，加强代码审计、漏洞扫描及安全测试，定期排查开源组件风险隐患，防范供应链投毒。

当前保险机构的人工智能技术经常依赖外部供应商，包括大模型服务、算法平台、数据标注等。《指导意见》对外包和供应链风险管理提出系统要求，意味着保险机构需对现有人工智能供应商进行全面梳理和评估，建立名单制管理和准入退出机制。对于外部引入的模型，需建立内部评估框架，评估其安全性、合规性和适配性。此外，开源技术的使用也需纳入规范管理，防范供应链安全风险。

03.保险机构合规应对建议

（一）建立健全人工智能治理体系

一是明确治理架构。建议保险机构在董事会层面指定现有专门委员会（如风险管理委员会等）或单独设立人工智能治理专门委员会，承担人工智能治理职责，统筹人工智能发展规划和风险管控。

二是明确牵头部门。建议指定科技等相关部门作为牵头部门，建立业务、科技、数据、风控、合规等多部门协同机制，确保人工智能应用全流程管控责任清晰。

三是完善制度体系。建议制定人工智能应用管理办法、数据安全管理制度、算法伦理审查制度等配套制度，建立覆盖需求分析、数据准备、训练开发、部署运行、维护迭代、评估退出的全生命周期管理流程。

（二）完善高风险应用管理机制

一是开展应用梳理与分类分级。建议保险机构对现有和规划中的人工智能应用进行全面梳理，按照业务场景重要性、应用规模、对客影响度、模型依赖度、模型复杂度等因素进行风险分类分级，建立人工智能应用清单。

二是严格高风险应用准入。对承保理赔、风险管理、产品定价等高风险场景的人工智能应用，须履行风险管理委员会审批程序，未经批准不得上线使用。对外部引入的生成式人工智能模型，需确认其已通过网信部门备案。

三是建立人工干预机制。在高风险应用关键环节设置人工监督和干预节点，明确人工复核的触发条件和流程。建立紧急停用机制和模型退出预案，确保在模型出现异常时能够及时切换至人工处理或备用系统。

四是建立报告机制。应当在相关制度中明确：面向公众提供服务，或在涉及资金交易、资产评估、信贷审批、承保理赔、风险管理等与客户利益直接相关、直接影响金融合约达成的高风险场景中应用生成式人工智能技术的，应向金融监管总局或其派出机构报告。

（三）强化数据安全与隐私保护

一是开展数据集合规排查。建议对用于人工智能模型训练的数据集进行全面梳理，核查是否包含姓名、身份证号、手机号、银行卡号等个人信息和隐私数据，对不符合要求的数据集进行脱敏处理或停止使用。

二是完善数据全生命周期管理。建立覆盖数据采集、清洗、标注、应用、退出的全流程管理规范，确保数据源头可追溯。加强非结构化数据管理，制定数据质量标准和检测管控机制。

三是加强生成式AI数据安全管控。严格限制将客户个人信息用于生成式人工智能模型训练和优化。加强模型安全护栏建设，完善内容过滤和脱敏机制，防止客户隐私通过模型输出泄露。

（四）提升算法可解释性与透明度

一是制定可解释性标准。针对高风险场景的人工智能应用，制定明确的透明度和可解释性标准，明确模型设计、数据使用、特征选择及输出结果的逻辑说明要求。

二是优化模型选型与设计。在高风险场景优先选用可解释性较强的模型，对可解释性不足的模型严格限制使用范围，仅作为辅助工具使用。探索运用可解释性人工智能技术提升模型透明度。

三是完善人工复核机制。对涉及客户权益或有实质性财务影响的关键决策，必须设置人工复核节点，完整保留原始数据、推理路径及阈值触发记录，确保决策过程可追溯、责任可落实。

（五）加强外包与供应链风险管理

一是实行供应商名单制管理。对人工智能技术供应商进行全面梳理和评估，建立准入标准和退出机制，实行名单制管理。重点审查供应商的数据安全能力、算法安全水平和服务稳定性。

二是完善合作协议。在与外部供应商的合作协议中，明确数据安全、知识产权、责任承担、应急处置等条款，确保金融机构能够有效管控相关风险。建立风险隔离“防火墙”，防范风险跨业传递。

三是加强开源技术管理。建立开源软件管理台账，对外部引入的开源组件进行审查评估，加强代码审计、漏洞扫描及安全测试，定期排查开源组件风险隐患，防范供应链投毒等安全风险。

（六）建立伦理审查与公平性评估机制

一是设立伦理审查机构。建议设立人工智能伦理委员会或类似机构，负责人工智能应用的伦理审查和监督，制定符合伦理道德的行为准则。

二是开展公平性评估。对人工智能应用进行数据集审查和特定群体影响评估，识别和消除算法偏见，避免出现算法歧视等不公平问题。对使用受保护特征或属性的情形，进行正当性说明。

三是加强对客告知。对人工智能生成内容进行显著标识，向金融消费者主动说明人工智能的使用情况，保障客户的知情权和选择权。

结语

《指导意见》的出台说明我国金融领域人工智能监管正逐渐进入系统化、规范化的新阶段。保险机构应重视《指导意见》的贯彻落实，将人工智能治理纳入公司整体治理体系，平衡好创新发展与风险防控的关系，推动人工智能技术在保险行业安全、合规、有序发展，更好地服务实体经济和满足人民群众保险保障需求。

建议保险机构尽快启动人工智能开发应用的合规自查工作，对照《指导意见》的各项要求，梳理现有人工智能开发应用的合规差距，制定整改方案和实施路径，尽快完成合规整改。同时，建议保险机构持续关注监管部门后续可能出台的配套实施细则和技术标准，及时调整完善相关管理制度和技术措施。

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.