新加坡 AI 风险管理指引已在 2026 年 10 月 7 日由新加坡金融管理局（MAS）正式发布，名称为 Guidelines on Artificial Intelligence Risk Management。此前该框架以编号 P017-2025 的咨询文件在 2025 年 11 月 13 日至 2026 年 1 月 31 日公开征求意见，这次发布的是定稿和对反馈的回应。它管的是新加坡的金融机构，不是面向所有行业的通用 AI 法律，也不是其他国家可以直接套用的规则。
先把性质说清：这是一份监管指引，写的是 MAS 作为监管者对受监管机构的期望，不是一部新制定的成文法，发布材料也没有列出罚款表。但指引不等于建议读读就算了，机构后续要接受监管检查，董事会和高级管理层要能说清自家 AI 的风险胃口、职责分工和管控框架。已有的治理架构够用就可以沿用，MAS 明确不要求为此单独新设一个 AI 委员会。
两个截止日：2027 年先交治理，2028 年再交全周期
时间表分两段。第 3、4 节要在 2027 年 10 月 7 日前落实，内容是董事会与高管监督、AI 识别与清单、风险重要性评估，以及配套的制度和流程。第 5、6 节最迟在 2028 年 10 月 7 日前落实，覆盖 AI 从开发、上线到退役的完整周期管控，包括数据治理、测试、人工监督、网络安全、持续监测、变更管理、第三方 AI 管理和人员能力。
适用对象是 MAS 监管的全部金融机构，银行、保险公司、支付机构、资本市场机构都在内；适用的 AI 形式不限于自研模型，生成式 AI、嵌在业务系统里的 AI 功能同样算数。管控强度按比例伸缩：看机构用 AI 的规模，也看某个用途一旦出错会伤到谁。失败了也不会对机构、客户和相关方造成实质影响的低影响用途，基础制度就可以覆盖，例如起草内部邮件、整理会议纪要这类场景，不必按高风险用途的规格堆材料。
最容易漏掉的，是藏在软件里的 AI
这次定稿特意点到一个盲区：从重要第三方供应商那里买来的服务，哪怕卖的时候没有打 AI 的旗号，里面只要带 AI 功能，识别时就至少要把它纳入盘点。客户关系系统里的自动摘要、工单系统里的智能分类、文档平台里的生成按钮，都可能是这种藏在软件里的 AI。指引要求清单记下用途说明、批准的使用范围、模型类型、所用数据、依赖关系、所处周期阶段和重要性评级。
重要性评级决定后面要花多少力气。评级不能只看技术新不新，要看影响、复杂度和依赖程度：一个直接影响授信、理赔、交易或客户权益的用途，和一个只帮员工改错别字的用途，不该用同一套测试和审批。欧洲的金融机构眼下也在面对类似的限期盘点，欧洲央行要求大银行限期提交 AI 网络行动计划 就是同一类压力，只是管的地区和事项不同，不能互相替代。
第三方 AI 出问题，责任不跟着外包出去
整份指引里分量最重的一句，是金融机构对自己服务里用到的 AI 始终负责，哪怕系统是别人开发、运营或提供的。落到操作上，机构要向供应商拿到足够有分量的保证，判断这套 AI 是否适合自己的用途，并在供应商披露不足、或实际条件受限时补上自己的管控。供应商的自述不能单独当证据，指引期待的是独立评估或认证这类外部凭据；机构还要用自己的业务场景和自己的数据去测，而不是只看供应商的演示结果。
合同也被写进了管控范围：引入 AI 以及后续变更要有可见性，变更要提前通知并评估影响，故障、异常行为或供应商停止支持时要有应对方案，并保留审计等安排。如果一套外部 AI 的风险压不回机构自己的风险胃口以内，MAS 给出的选项很硬：考虑限制使用、暂停使用，或者换掉它。说供应商不配合、模型是黑箱，在这套框架里不构成免责理由。
智能体单独留了一道后续题
定稿同时预告，MAS 计划在 2027 年就智能体 AI 是否需要额外指引再向业界咨询。能自主执行交易、改记录、直接面对客户的系统，显然不能只靠现在这套通用清单打发。现在已经在交易台、资金运营或客服流程里放智能体的机构，最好把工具权限、推理留痕、人工叫停机制提前单独立账，别等咨询文件出来再补。
对在新加坡展业的机构，今天能落地的动作有三件。第一，把清单先建起来，自研、外购、嵌在 SaaS 里的 AI 一起盘，并逐项定重要性评级，这是 2027 年那一段的硬任务。第二，把供应商证据包和合同条款提前改：独立评估、变更通知、审计权、故障处置、能否关停单个 AI 功能，签约时就写清，别等 2028 年回头重谈长约。第三，按用途分级补全周期管控，高影响用途先做数据、测试、监测和人工监督，低影响用途留基础制度即可，避免一刀切耗光合规资源。
给 AI 供应商的提醒同样直接：你不在指引的直接管辖名单里，但银行和保险公司的尽调问卷会先到。能不能说清用了哪些上游模型、数据从哪来、做过什么测试、有没有独立评估、版本变更怎么通知、出了问题怎么关停，将决定你还能不能留在新加坡金融机构的供应商名单上。从自愿原则到带日期的监管期望，新加坡金融业的 AI 合规已经进入倒计时，晚动手的一方，补的往往不是一份文件，而是整条供应链的信任记录。
