Штучний інтелект поступово стає звичайним засобом здійснення банківської діяльності. Його використовують для автоматизації внутрішніх процесів, обслуговування клієнтів, персоналізації банківських пропозицій, оцінювання кредитного ризику, виявлення шахрайських операцій і фінансового моніторингу. Відповідні технології змінюють не лише внутрішню організацію банку, а й характер взаємодії «клієнт – банк». Банк міжнародних розрахунків до сфер, у яких використання штучного інтелекту здатне підвищувати ефективність фінансових установ, відносить, зокрема, кредитування, платежі, належну перевірку клієнтів, протидію шахрайству та виконання регуляторних вимог.
Практика українського банківського ринку свідчить, що використання штучного інтелекту вже вийшло за межі експериментальної автоматизації та охоплює кредитування, платежі, персоналізацію послуг, протидію шахрайству й безпосередню взаємодію з клієнтом. Так, член правління ПриватБанку Дмитро Мусієнко повідомляє про застосування машинного навчання для управління кредитними ризиками та беззаставного кредитування, персоналізації пропозицій і превентивного виявлення шахрайства. У червні 2026 року ПриватБанк і Mastercard здійснили першу в Україні оплату із застосуванням Mastercard Agent Pay, у межах якої ШІ-агент був інтегрований у платіжний процес. ПУМБ, за словами заступника голови правління Артура Загородникова, уже використовує ШІ-чат-асистента, ШІ-помічника з продажів, рішення для комплаєнсу та регуляторних завдань, а також захищений AI-простір для працівників. На рівні інших банків ШІ застосовується для аналізу документів при кредитуванні, стягнення простроченої заборгованості та телефонного продажу кредитних продуктів; зокрема, АТ «РАДАБАНК» у тестовому режимі використовує ШІ-агента для пропонування кредитів готівкою та кредитних карток, причому зафіксовано випадок завершення угоди без участі оператора. Водночас самі учасники ринку визнають ризик помилкової інтерпретації запитів і «галюцинацій» моделей та вважають передчасним повне передання штучному інтелекту остаточного прийняття рішень. Отже, для України питання пояснюваності, меж автоматизації та реального людського контролю вже мають практичний характер.
Правове значення такого використання змінюється, коли результат автоматизованого аналізу стає підставою рішення щодо конкретної особи. Відмова у кредитуванні, визначення істотних умов фінансової послуги, віднесення клієнта до певної категорії ризику, зупинення операції або припинення ділових відносин здатні істотно впливати на його фактичне та правове становище. За таких умов питання виходить за межі організації банківської діяльності та безпосередньо стосується правових гарантій людської гідності, рівності, приватності й ефективного захисту прав.
Технологічний спосіб підготовки рішення не повинен зменшувати рівень правового захисту особи. Водночас однакове посилене регулювання будь-якого використання штучного інтелекту могло б створити необґрунтовані перешкоди для розвитку банківських послуг. Тому предметом цього дослідження є правові критерії диференціації вимог до системи ШІ залежно від їх функцій і наслідків.
- Конституційні гарантії у відносинах між банком і клієнтом
Конституційний вимір використання штучного інтелекту банком потребує розмежування публічно- і приватноправових відносин. Банк у звичайних відносинах із клієнтом є приватним суб’єктом, а не органом публічної влади. Тому несприятливе кредитне рішення банку не слід механічно кваліфікувати як безпосереднє порушення ним статті 24 чи іншої норми Конституції України.
Значення конституційних гарантій у таких правовідносинах виявляється передусім через позитивні обов’язки держави забезпечити належне законодавче регулювання приватних відносин, ефективний нагляд і судовий захист. Такий підхід відповідає статті 8 Конвенції про захист прав людини і основоположних свобод та практиці ЄСПЛ, за якою позитивні обов’язки держави можуть охоплювати заходи, спрямовані на забезпечення поваги до приватного життя також у відносинах між приватними особами [19, § 23; 36, ст. 8].
Ця конструкція узгоджується зі статтею 8 Конституції України, яка закріплює верховенство Конституції та пряму дію її норм, але не перетворює кожний спір між банком і клієнтом на публічно-правовий. Статті 21 і 22 встановлюють невідчужуваність прав та забороняють при прийнятті нових законів звужувати зміст і обсяг існуючих прав, стаття 24 гарантує рівність, стаття 32 – невтручання в особисте і сімейне життя, стаття 55 – право на судовий захист, а стаття 64 визначає конституційні межі обмеження прав [27, ст. 8, 21, 22, 24, 32, 55, 64]. Використання нового способу прийняття рішення тому не може саме по собі бути підставою для зниження рівня правового захисту.
Конституційною основою такого підходу є також статті 3 і 28 Конституції України, які закріплюють особливе значення людської гідності та право кожного на її повагу [27, ст. 3, 28]. Використання автоматизованих засобів при прийнятті юридично значущих рішень не повинно позбавляти особу можливості бути почутою та права на ефективний перегляд рішення, що істотно впливає на її становище.
Конституційний Суд України у Рішенні від 1 червня 2016 року № 2-рп/2016 виходив із того, що обмеження конституційних прав повинні мати легітимну мету, бути обумовленими суспільною необхідністю та відповідати вимозі пропорційності [46, пп. 2.3–2.4 мотивувальної частини]. Для банківського використання штучного інтелекту це означає, що економічна доцільність, зменшення витрат або підвищення точності оцінювання самі по собі не можуть виправдовувати необмежене використання відомостей про особу чи позбавлення її необхідних процесуальних гарантій.
Особливого значення набуває принцип рівності. Закон України «Про засади запобігання та протидії дискримінації в Україні» від 6 вересня 2012 року № 5207-VI (далі – Закон № 5207-VI) визначає непряму дискримінацію як ситуацію, за якої внаслідок застосування формально нейтральних правових норм, критеріїв оцінки, правил, вимог чи практики для особи або групи осіб виникають менш сприятливі умови порівняно з іншими особами без належного об’єктивного виправдання [30, п. 3 ч. 1 ст. 1]. Для автоматизованого оцінювання така конструкція має безпосереднє значення: система може не використовувати захищену ознаку прямо, але враховувати інші відомості, статистично з нею пов’язані.
Тому юридична перевірка повинна охоплювати не тільки перелік використаних показників, а й наслідки їх застосування. Різне ставлення є правомірним, якщо критерій має об’єктивне виправдання, пов’язаний із законною метою оцінювання банківського ризику, а застосовані засоби є належними та необхідними [21; 30].
Практична дієвість заборони дискримінації залежить і від правил доказування. Клієнт зазвичай не має доступу до повної системи оцінювання, документації щодо її побудови та масиву даних, тому покладення на нього обов’язку довести внутрішній механізм виникнення дискримінаційного результату могло б істотно послабити судовий захист. Закон № 5207-VI гарантує право оскаржити рішення, дії чи бездіяльність, що містять ознаки дискримінації, та вимагати відшкодування завданої шкоди [30, ст. 14–15], а цивільне процесуальне законодавство передбачає спеціальне правило: після наведення позивачем фактичних даних, які підтверджують наявність дискримінації, доказування її відсутності покладається на відповідача [9, ч. 2 ст. 81]. Для спорів, що розглядаються за правилами господарського судочинства, автоматично переносити цю конструкцію немає підстав, оскільки Господарський процесуальний кодекс України аналогічного правила прямо не закріплює.
Таким чином, розвиток банківського штучного інтелекту не вимагає створення нового «конституційного права на захист від алгоритму». Необхідний рівень захисту може бути забезпечений належною конкретизацією вже існуючих конституційних гарантій у банківському, антидискримінаційному, інформаційному, споживчому та процесуальному законодавстві.
- Приватність і межі використання даних
Результативність систем штучного інтелекту значною мірою залежить від обсягу та якості використаних даних. Однак можливість отримати точніший прогноз не є самостійною юридичною підставою для необмеженого збирання та використання інформації про клієнта.
Частина друга статті 32 Конституції України встановлює спеціальну гарантію щодо збирання, зберігання, використання та поширення конфіденційної інформації про особу [27, ч. 2 ст. 32]. Конституційний Суд України у Рішенні від 20 січня 2012 року № 2-рп/2012 зазначив, що до інформації про особисте і сімейне життя належать, зокрема, відомості про матеріальний стан, особисті майнові відносини та події професійної і ділової сфери, причому перелік конфіденційних відомостей про особу не є вичерпним [45, пп. 3.2–3.3 мотивувальної частини]. Ця правова позиція має безпосереднє значення для банківського оцінювання, яке здатне формувати висновок про особу на підставі сукупного аналізу багатьох окремих відомостей.
Закон України «Про захист персональних даних» прямо поширюється на діяльність з обробки персональних даних, що здійснюється повністю або частково із застосуванням автоматизованих засобів [29, ч. 2 ст. 1]. Крім того, суб’єкт персональних даних має право знати механізм автоматичної обробки своїх даних та право на захист від автоматизованого рішення, яке має для нього правові наслідки [29, пп. 12, 13 ч. 2 ст. 8]. Відсутність спеціального закону про штучний інтелект тому не означає відсутності правових меж щодо відомостей, які банк використовує для автоматизованого оцінювання.
Порівняльно-правове значення має Загальний регламент Європейського Союзу про захист даних – Регламент (ЄС) 2016/679. Він окремо регулює рішення, що ґрунтуються виключно на автоматизованій обробці та породжують юридичні або аналогічно істотні наслідки, і встановлює інформаційні гарантії щодо логіки, значення та передбачуваних наслідків такої обробки [38, ст. 13(2)(f), 14(2)(g), 15(1)(h), 22].
У справі Rotaru v. Romania ЄСПЛ визнав, що систематичне зберігання і використання відомостей про особу може становити втручання у сферу приватного життя [48, §§ 43–46]. Оскільки ця справа стосувалася діяльності державного органу, її значення для банківських правовідносин полягає у визначенні змісту права, ефективний захист якого держава повинна забезпечувати також у приватних відносинах; прямого перенесення обов’язків державного органу на банк із цього рішення не випливає. Для такого горизонтального виміру додатково показовою є справа Satakunnan Markkinapörssi Oy and Satamedia Oy v. Finland, предметом якої було масове опрацювання персональних даних приватними суб’єктами.
Директива (ЄС) 2023/2225 про кредитні договори для споживачів встановлює ще докладніший стандарт: відомості для оцінювання кредитоспроможності повинні бути необхідними, пропорційними, відповідними, повними і точними, а визначені спеціальні категорії персональних даних та інформація із соціальних мереж не можуть використовуватися для такої оцінки [39, ст. 18(2)–(4)].
Для українського права виправданим є закріплення правила, за яким банк використовує для оцінювання клієнта не всі доступні відомості, здатні підвищити статистичну точність, а лише дані, необхідність та обґрунтований зв’язок яких із відповідним банківським ризиком можуть бути доведені. Особливого значення це набуває щодо нетрадиційних джерел інформації: вони можуть полегшувати доступ до фінансових послуг осіб без достатньої кредитної історії, але водночас виступати непрямими замінниками захищених характеристик.
- Ризик-орієнтована модель правового регулювання
Однакові правові вимоги до всіх систем штучного інтелекту були б непропорційними. Для визначення належного рівня регуляторного втручання пропонується застосовувати дві взаємопов’язані координати: інтенсивність можливого впливу на права клієнта та значущість системи для стійкості банку або фінансової системи.
Для першої координати придатним є критерій, закріплений у статті 22 Регламенту (ЄС) 2016/679, – виникнення юридичних або аналогічно істотних наслідків [38, ст. 22]. У банківських правовідносинах істотним слід вважати вплив, здатний визначити або суттєво змінити доступ особи до фінансової послуги, її істотні умови, можливість розпоряджатися коштами чи продовжувати ділові відносини з банком.
Диференціація заходів залежно від імовірності та тяжкості можливого негативного впливу відповідає Рамковій конвенції Ради Європи про штучний інтелект, права людини, демократію та верховенство права. Методологія Ради Європи конкретизує цю оцінку через показники масштабу, охоплення, ймовірності та можливості усунення несприятливих наслідків.
Другу координату становлять можливі наслідки для операційної та фінансової стійкості, зокрема залежність від критичних зовнішніх постачальників, поширення однакових моделей та масштаб можливого збою.
Кожна координата оцінюється самостійно та визнає відповідальний зміст правових і наглядових вимог. На цій основі пропонується розмежовувати три групи систем.
Допоміжними є системи, результат яких не має визначального впливу на рішення з істотними наслідками для клієнта і які не є істотними для операційної стійкості банку. Для них достатні загальні вимоги щодо захисту інформації, належного використання, розмежування доступу та внутрішнього контролю.
Значущими є системи, результат яких істотно впливає на підготовку такого рішення, але підлягає самостійній змістовній оцінці уповноваженим працівником банку, а також системи, збій яких помітно впливає на операційну стійкість банку без прямих наслідків для конкретного клієнта. До цієї групи можуть належати засоби персоналізації пропозицій, попереднього визначення операцій для додаткової перевірки або підтримки кредитного аналізу. Для них потрібні документування, контроль якості даних, перевірка на необґрунтовану диференціацію та можливість відступити від автоматизованої рекомендації.
Високоризиковими у запропонованій секторальній класифікації є системи, результат яких безпосередньо або фактично визначає рішення з юридичними чи аналогічно істотними наслідками для клієнта або використання яких створює високий ризик для стійкості банку чи фінансової системи. Це авторська категорія для банківського регулювання, яка не є тотожною формальному поняттю високоризикової системи у Регламенті (ЄС) 2024/1689.
Дві запропоновані координати визначають не лише інтенсивність, а й зміст правових вимог. Високий вплив на права клієнта зумовлює застосування передусім правозахисних гарантій недискримінації, пояснення рішення, людського перегляду та ефективного оскарження. Висока значущість для стійкості банку або фінансової системи зумовлює насамперед пруденційні вимоги – незалежну перевірку придатності, операційну стійкість, безперервність діяльності та оцінювання залежності від зовнішніх постачальників. Одна система може мати високий показник за однією координатою та низький – за іншою.
Регламент (ЄС) 2024/1689 прямо відносить до високоризикових системи, призначені для оцінювання кредитоспроможності фізичних осіб або визначення їх кредитного рейтингу, за винятком систем виявлення фінансового шахрайства [37, ст. 6(2), Додаток III, п. 5(b)]. Частина третя статті 6 передбачає загальний механізм, за якого окрема система з Додатка III за встановлених умов може не вважатися високоризиковою, якщо вона не створює істотного ризику шкоди для здоров’я, безпеки чи основоположних прав. Проте цей виняток прямо не застосовується, якщо система здійснює профілювання фізичних осіб: у такому випадку система з Додатка III завжди є високоризиковою [37, ст. 6(3)]. Для автоматизованого кредитного оцінювання це має особливе значення, оскільки використання персональних даних для прогнозної оцінки кредитоспроможності за своїм змістом часто становить профілювання.
Отже, європейський законодавець виходить із підвищеного ризику відповідної категорії рішень і не допускає зниження рівня гарантій лише на підставі формального твердження про обмежену роль конкретної системи.
Підвищені вимоги повинні охоплювати не лише точність результату, а й якість вихідних даних та стійкість системи до зовнішнього впливу. Спотворення даних, на яких ґрунтується функціонування системи, або цілеспрямоване втручання у формування її результату створюють ризики, що не зводяться до традиційного несанкціонованого доступу. Європейський банківський орган пов’язує належне використання розширених засобів аналізу з управлінням даними, можливістю простеження та перевірки, справедливістю, захистом персональних даних і безпекою.
Перевірка придатності високоризикової системи тому повинна охоплювати походження і репрезентативність даних, стійкість до зовнішнього втручання, можливість відстежувати істотні зміни та своєчасно виявляти погіршення результатів.
- Оцінювання кредитоспроможності та процесуальні права клієнта
Автоматизоване оцінювання кредитоспроможності є найбільш показовим випадком підвищеного правового ризику. Воно одночасно стосується договірної свободи банку, управління кредитним ризиком, захисту споживача, приватності та рівності.
Банк має право оцінювати ризик невиконання кредитного зобов’язання і не зобов’язаний укладати кредитний договір із кожним заявником. Принцип недискримінації не створює суб’єктивного права на отримання кредиту. Проте свобода кредитного рішення не означає свободи використовувати критерії, які не мають належного зв’язку з кредитоспроможністю або спричиняють необґрунтовано несприятливе становище певних категорій осіб.
Настанови Європейського банківського органу щодо надання та моніторингу кредитів вимагають, щоб у разі використання автоматизованих моделей кредитна установа розуміла їх методологію, вхідні дані, припущення, обмеження і результати, мала процедури виявлення та запобігання упередженості, забезпечувала можливість простеження результату, регулярну перевірку якості та механізми відступу від автоматизованого. Ці вимоги поєднують захист споживача з належним управлінням кредитним ризиком: неналежне оцінювання кредитоспроможності здатне зашкодити і позичальникові, і фінансовій стійкості кредитора.
Основною процесуальною гарантією має бути можливість зрозуміти основні причини несприятливого рішення та реально вплинути на його повторний розгляд.
Стаття 18(8) Директиви (ЄС) 2023/2225 передбачає у разі автоматизованого оцінювання кредитоспроможності право споживача вимагати втручання людини з боку кредитора, одержати зрозуміле пояснення оцінки кредитоспроможності та функціонування автоматизованої обробки, висловити свою позицію й вимагати перегляду оцінки та кредитного рішення.
Для клієнта достатнім має бути такий обсяг інформації, який дає змогу встановити основні обставини, що істотно вплинули на рішення, перевірити правильність використаних щодо нього даних, надати додаткові відомості та звернутися за повторним розглядом. Розкриття програмного коду, технічної документації, яка не є необхідною для розуміння причин рішення, або відомостей, що становлять комерційну таємницю, для реалізації цієї гарантії загалом не потрібне.
Такий підхід до пояснення рішення відповідає Рекомендації ОЕСР щодо штучного інтелекту: особі, на яку несприятливо вплинув результат системи, повинна надаватися зрозуміла інформація, достатня для усвідомлення та оскарження відповідного результату; водночас відповідальне використання передбачає людську участь і нагляд, належну надійність та безпеку систем [44, принципи 1.2–1.4].
Людський перегляд не може бути формальністю. Уповноважений працівник банку повинен мати достатні компетенцію і повноваження перевірити істотні дані, врахувати обставини, яких система не врахувала, та за наявності підстав відхилити або скоригувати автоматизований результат. Міжнародні дослідження регулювання фінансового сектору так само пов’язують реальний людський контроль із наявністю у відповідальної особи повноважень втрутитися у процес прийняття рішення та запобігти несприятливому наслідку.
- Фінансовий моніторинг: межі пояснення клієнтові
Використання штучного інтелекту у фінансовому моніторингу має іншу правову природу. Банк у таких правовідносинах не лише реалізує власний приватний інтерес, а виконує передбачені законом обов’язки у сфері запобігання та протидії легалізації доходів, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення.
Закон України «Про запобігання та протидію легалізації (відмиванню) доходів, одержаних злочинним шляхом, фінансуванню тероризму та фінансуванню розповсюдження зброї масового знищення» від 6 грудня 2019 року № 361-IX (далі – Закон № 361-IX) покладає на банки відповідні обов’язки первинного фінансового моніторингу.
Автоматизовані системи здатні визначати нетипові операції, взаємозв’язки та інші ознаки, що потребують додаткового аналізу. Однак необхідно розмежовувати автоматизований сигнал про необхідність перевірки та остаточне рішення, яке істотно обмежує становище клієнта. Статистична нетиповість операції не є самостійним доказом неправомірності поведінки особи.
Межі пояснення, яке може бути надане клієнтові у фінансовому моніторингу, визначаються спеціальними законодавчими обмеженнями. Закон № 361-IX окремо регулює таємницю фінансового моніторингу як інформацію, отриману спеціально уповноваженим органом під час державного фінансового моніторингу [32, п. 59 ч. 1 ст. 1], та встановлює самостійну заборону суб’єктам первинного фінансового моніторингу й іншим визначеним особам повідомляти клієнтів і третіх осіб про подання відповідної інформації спеціально уповноваженому органу та про окремі пов’язані з цим дії [32, ч. 10 ст. 16].
Тому внутрішня перевірюваність автоматизованого рішення – спроможність банку відтворити його підстави для внутрішнього контролю, Національного банку України, спеціально уповноваженого органу чи суду – не тотожна обсягу пояснення, який відповідно до закону може бути наданий клієнтові. У випадках, визначених законом, обсяг інформації, що повідомляється клієнтові, може бути обмежений заради ефективності фінансового моніторингу.
Водночас таке обмеження не повинно перетворюватися на загальну непідконтрольність автоматизованих рішень. Законодавство в окремих випадках саме визначає допустимий обсяг інформування клієнта, зокрема щодо рішень про продовження зупинення фінансових операцій [32, ст. 23]. Отже, належна модель має одночасно забезпечувати внутрішню перевірюваність рішення, можливість регуляторного та судового контролю і додержання встановленої законом заборони розголошення окремих відомостей.
Положення про здійснення банками фінансового моніторингу, затверджене постановою Правління Національного банку України від 19 травня 2020 року № 65 (далі – Положення НБУ № 65), уже ґрунтується на ризик-орієнтованому підході та передбачає обов’язок банку документувати оцінювання ризиків і прийняті рішення. Автоматизований аналіз тому може бути включений у чинний механізм фінансового моніторингу без утворення окремої паралельної системи регулювання.
- Відповідальність банку, зовнішні постачальники та банківська таємниця
Використання штучного інтелекту не повинно змінювати загальний принцип юридичної відповідальності банку за здійснювану ним діяльність. Передання окремої аналітичної функції автоматизованій системі або зовнішньому постачальнику не звільняє банк від відповідальності перед клієнтом за прийняте банківське рішення.
Цей висновок стосується і систем, які використовують зовнішню обчислювальну інфраструктуру або моделі загального призначення. Договірна чи інша юридична відповідальність постачальника перед банком може існувати паралельно, але клієнт не повинен установлювати весь ланцюг технологічних та договірних відносин для визначення суб’єкта, відповідального перед ним за рішення щодо банківського обслуговування.
Подібний підхід обґрунтовується і щодо іншого регульованого сегмента фінансового ринку – страхування. У попередньому дослідженні було зроблено висновок, що залучення зовнішнього постачальника системи штучного інтелекту не звільняє фінансову установу від відповідальності перед клієнтом, а людський контроль має бути змістовним: уповноважена особа повинна бути спроможною перевірити автоматизований результат і відступити від нього за наявності підстав. Цей висновок підтверджує ширший для регульованих фінансових послуг принцип: використання автоматизованої системи змінює спосіб підготовки рішення, але не суб’єкта юридичної відповідальності за нього.
Для зовнішнього використання відповідних систем принципове значення має режим банківської таємниці. Закон України «Про банки і банківську діяльність» прямо відносить до неї інформацію про фізичну особу, яка має намір укласти договір про споживчий кредит, отриману під час оцінки її фінансового стану [28, п. 9 ч. 2 ст. 60].
Водночас закон допускає надання інформації, що становить банківську таємницю, приватним особам та організаціям для виконання ними функцій або надання послуг банку на підставі договору; такі особи зобов’язані не розголошувати отриману конфіденційну інформацію і не використовувати її у власних інтересах чи в інтересах третіх осіб [28, ст. 61]. Отже, залучення зовнішнього постачальника саме по собі не є несумісним із режимом банківської таємниці, але не усуває обов’язку банку контролювати правову підставу, обсяг, мету, захищеність та подальше використання переданих відомостей.
Договори із зовнішніми постачальниками мають передбачати принаймні обмеження використання отриманих даних визначеною метою, належний режим доступу, обов’язок повідомляти банк про порушення безпеки, можливість перевірки виконання встановлених вимог та припинення використання інформації після завершення відповідних правовідносин.
Залежність від зовнішніх постачальників має також пруденційне значення. Рада з фінансової стабільності звертає увагу на те, що поширення штучного інтелекту збільшує залежність фінансових установ від спеціалізованого обладнання, обчислювальної інфраструктури та зовнішніх моделей, а концентрація постачальників здатна створювати системні операційні вразливості.
Управління такими ризиками має бути включене до чинної системи корпоративного управління банком. Положення про організацію системи управління ризиками в банках України та банківських групах, затверджене постановою Правління Національного банку України від 11 червня 2018 року № 64 (далі – Положення НБУ № 64), уже передбачає розподіл функцій, відповідальність органів управління, систему управління ризиками та внутрішнього контролю.
У межах цієї системи банк може вести внутрішній перелік значущих систем штучного інтелекту, визначати відповідальних осіб, установлювати рівень ризику, здійснювати попередню та періодичну перевірку придатності, документувати істотні зміни та інциденти і контролювати зовнішніх постачальників. Для систем високого ризику функції розроблення, використання та незалежної перевірки доцільно організаційно розмежовувати.
- Системний вимір ризику та банківський нагляд
Друга координата запропонованої моделі – значущість системи для стійкості банку або фінансової системи – потребує окремого наглядового оцінювання. Система, яка майже не впливає безпосередньо на становище конкретного клієнта, може водночас бути критичною для безперервності банківської діяльності. Рада з фінансової стабільності відносить до основних вразливостей залежність від зовнішніх постачальників та їх концентрацію, кореляцію поведінки фінансових установ, кіберризики, ризики моделей, недостатню якість даних і недоліки внутрішнього управління [16, с. 15–23].
Банк міжнародних розрахунків додатково звертає увагу на взаємопов’язаність, проциклічність і можливість виникнення єдиних точок відмови. Європейський центральний банк пов’язує значний рівень проникнення штучного інтелекту та концентрацію його постачальників із підвищенням операційних і кіберризиків, концентрацією ринку, однотипністю поведінки та посиленням ринкової кореляції.
Це підтверджує необхідність двовимірного наглядового підходу. Система кредитного оцінювання невеликого банку може мати високий ризик для прав клієнта, але не становити істотної загрози для фінансової системи. Натомість система управління ліквідністю або критично важливий зовнішній обчислювальний засіб може майже не впливати на права конкретного клієнта, але мати високу операційну чи системну значущість.
Рівень наглядових вимог тому повинен визначатися не одним показником «високого ризику», а сукупністю обох координат. Це дозволяє диференціювати правозахисні та пруденційні заходи й уникнути як недостатнього контролю за юридично значущими рішеннями, так і надмірного регулювання допоміжних систем.
- Оцінювання впливу на права клієнта
Для систем високого ризику виправданим є внутрішнє оцінювання їх можливого впливу на права клієнтів до початку використання та після істотної зміни системи.
Як методологічний орієнтир може застосовуватися розроблена Радою Європи методологія оцінювання ризиків і впливу систем штучного інтелекту на права людини, демократію та верховенство права. Вона передбачає контекстний аналіз ризику, врахування позицій заінтересованих осіб, оцінювання ризиків та впливів, визначення заходів щодо їх запобігання або зменшення і подальший повторний перегляд. Методологія не має обов’язкової юридичної сили і прямо допускає її адаптацію до галузевого контексту.
Оцінювання має охоплювати принаймні мету використання системи; коло осіб, на яких вона може впливати; права та законні інтереси, яких може стосуватися результат; категорії та джерела даних; можливі дискримінаційні наслідки; ступінь автоматизації; порядок людського контролю; можливість виправлення помилкового результату; заходи із захисту інформації; залежність від зовнішніх постачальників та порядок подальшого спостереження за фактичними результатами. Оцінка здійснюється з урахуванням критеріїв ризику, визначених у розділі 3 цієї статті.
Практичне значення такого механізму полягає в його перевірюваності. Банк повинен документально підтвердити встановлені ризики, результати їх оцінювання, застосовані заходи та розподіл відповідальності. Така документація має значення для внутрішнього контролю, банківського нагляду та, за потреби, судового захисту.
- Напрями розвитку українського правового регулювання
Україна вже має основні нормативні складові для секторального регулювання: законодавство про банки, персональні дані, недискримінацію, споживче кредитування, фінансовий моніторинг та загальні правила захисту клієнтів на ринку фінансових послуг.
Закон України «Про фінансові послуги та фінансові компанії» серед принципів надання фінансових послуг закріплює управління ризиками, захист конфіденційної інформації, недопущення необґрунтованої дискримінації споживачів, контроль якості та належний розгляд звернень [18, ч. 1 ст. 5]. Права клієнта охоплюють отримання необхідної та достовірної інформації, конфіденційність і захист порушених прав [18, ст. 6]. Наглядове регулювання поєднує завдання захисту клієнтів із забезпеченням стійкості фінансового ринку [18, ст. 21, 24–25].
Біла книга Міністерства цифрової трансформації України виходить із поступової моделі формування регулювання штучного інтелекту, яка має поєднувати захист прав людини та розвиток інновацій. Дискусійний документ Національного банку України 2026 року вже формує секторальні засади відповідального використання штучного інтелекту на ринку фінансових послуг і охоплює ризик-орієнтоване управління, права споживачів, вимоги до даних, операційну стійкість, організаційну відповідальність та самооцінювання.
Наступним кроком мають бути не загальні декларації про необхідність регулювання, а конкретні зміни.
Практична діяльність Національного банку України вже розвивається у цьому напрямі. Голова НБУ А. Пишний, узагальнюючи обговорення Банку міжнародних розрахунків щодо використання штучного інтелекту центральними банками, наголошує на доцільності починати з випробування систем із низьким ризиком і поступово розширювати їх використання, одночасно розвиваючи внутрішню компетентність, механізми управління, стандарти перевірки моделей та процедури контролю. У Національному банку України, за його повідомленням, уже затверджено Політику відповідального використання штучного інтелекту та здійснюється випробування можливих напрямів його застосування.
Показово, що необхідність поєднання технологічного розвитку з належним управлінням ризиками усвідомлюється й самим банківським та фінтех-середовищем. Голова правління Української асоціації фінтех та інноваційних компаній (UAFIC) Ростислав Дюк звертає увагу не лише на потенціал ШІ, а й на етичні, правові та бізнес-ризики його впровадження, зокрема залежність від зовнішніх технологічних платформ та умов їх ліцензування. На інституційному рівні UAFIC послідовно включає штучний інтелект до професійного порядку денного фінансового сектору, зокрема в межах UAFIN.TECH, а у 2026 році спільно з Національним банком України започаткувала AI Discussion Day як майданчик діалогу регулятора та ринку щодо майбутнього регулювання використання ШІ. Суміжні ризики формулюють і представники банків: директор департаменту інформаційних технологій ПУМБ Андрій Бегунов наголошує на проблемі використання конфіденційної інформації за межами захищеного інформаційного периметра банку, тоді як заступник голови правління UKRSIBBANK Андрій Кашперук пов’язує наступний етап розвитку мобільного банкінгу з Open Banking та використанням ШІ-агентів для надання простіших банківських послуг. Така практика підтверджує доцільність ризик-орієнтованої моделі, за якої правові вимоги мають визначатися не самим фактом використання ШІ, а характером даних, ступенем автономності системи, наслідками її рішень для клієнта та рівнем залежності банку від зовнішніх постачальників.
По-перше, Закон України «Про споживче кредитування» варто доповнити положенням, відповідно до якого у разі використання автоматизованої системи, що має визначальний вплив на оцінку кредитоспроможності або рішення про надання кредиту, споживач має право бути поінформованим про автоматизований характер оцінювання, отримати зрозумілу інформацію про основні причини несприятливого рішення, подати додаткові відомості та вимагати його перегляду уповноваженим працівником кредитодавця.
По-друге, у цьому Законі слід закріпити, що відомості, які використовуються для автоматизованої оцінки кредитоспроможності, мають бути необхідними, належними, актуальними та обґрунтовано пов’язаними з відповідним кредитним ризиком. Використання захищених ознак або інших показників як їх фактичних замінників не повинно призводити до необґрунтованої дискримінації.
По-третє, Положення НБУ № 64 варто доповнити вимогами щодо внутрішнього обліку значущих систем штучного інтелекту, їх класифікації за рівнем ризику, визначення відповідальних осіб, порядку попередньої та періодичної перевірки придатності, контролю фактичних результатів, документування істотних змін та інцидентів, а також оцінювання залежності від зовнішніх постачальників.
По-четверте, Положення НБУ № 65 потребує конкретизації щодо використання автоматизованих систем фінансового моніторингу. Автоматизований сигнал ризику повинен підлягати належній змістовній перевірці у випадках, коли на його підставі планується рішення з істотними наслідками для клієнта. При цьому внутрішня перевірюваність і документування рішення не повинні тлумачитися як обов’язок повідомляти клієнтові відомості, розголошення яких заборонене Законом № 361-IX.
По-п’яте, для систем, що мають високий вплив на права клієнтів, Національний банк України може рекомендувати або надалі нормативно закріпити проведення попереднього оцінювання впливу на права людини, інтегрованого в чинні процедури управління банківськими ризиками. Для систем із високою операційною або системною значущістю має додатково оцінюватися концентрація зовнішніх постачальників, можливість заміни критичного постачальника та наслідки його недоступності.
Перехід до обов’язкових вимог варто здійснювати поступово. На початковому етапі найбільш виправданими є секторальні рекомендації Національного банку України та внутрішнє самооцінювання банків; надалі – контрольоване випробування нових систем, накопичення наглядової практики та інформації про істотні інциденти. Такий випереджальний, але пропорційний підхід узгоджується з висновком Truby, Brown і Dahdal про необхідність своєчасного регуляторного втручання у фінансовому секторі без необґрунтованого стримування інновацій. Обов’язкові вимоги насамперед мають поширюватися на системи з високим впливом на права людини або високою значущістю для стійкості банку чи фінансової системи.
Такий підхід дозволяє використати вже наявні механізми банківського нагляду замість створення окремого громіздкого регуляторного режиму. Правове регулювання має своєчасно реагувати на встановлені ризики без запровадження абстрактних заборон, які необґрунтовано випереджають технологічний розвиток.
Висновки
- Використання штучного інтелекту в банківській діяльності є закономірним і перспективним напрямом розвитку фінансового сектору, здатним підвищувати швидкість, точність та доступність банківських послуг. Коли його результат визначає кредитоспроможність, істотні умови фінансової послуги, можливість розпоряджатися коштами, продовження банківського обслуговування чи інше рішення з істотними наслідками, виникає конституційно-правовий вимір захисту людської гідності, рівності, приватності та права на ефективний захист.
- Конституційні права у відносинах «банк – клієнт» не слід розуміти як автоматично покладені на банк публічно-правові обов’язки. Їх вплив на приватні правовідносини реалізується передусім через позитивні обов’язки держави встановити належне законодавче регулювання, банківський нагляд і судовий захист. Створення окремих конституційних прав для різних способів використання штучного інтелекту не потрібне: необхідний рівень захисту забезпечується конкретизацією гарантій статей 3, 8, 21, 22, 24, 32, 55 і 64 Конституції України. Практичне застосування заборони дискримінації внаслідок автоматизованого оцінювання має враховувати спеціальне правило цивільного процесу: після наведення позивачем фактичних даних, які підтверджують дискримінацію, доказування її відсутності покладається на відповідача.
- Найбільш обґрунтованою для банківської діяльності є ризик-орієнтована модель, у якій обсяг правових і наглядових вимог визначається не самим фактом використання штучного інтелекту, а характером його наслідків. Запропоноване оцінювання має здійснюватися за двома координатами – впливом на права клієнта та значущістю системи для стійкості банку чи фінансової системи. На цій основі запропоновано розмежовувати допоміжні, значущі та високоризикові системи, водночас дві координати визначають не лише рівень, а й зміст регуляторних вимог. Високий ризик для прав клієнта зумовлює передусім вимоги щодо недискримінаційності, пояснення, людського перегляду та ефективного захисту; високий ризик для стійкості банку чи фінансової системи – щодо незалежної перевірки придатності, операційної стійкості та залежності від зовнішніх постачальників. Одна система може мати різний рівень ризику за кожною з цих координат.
- Основною процесуальною гарантією при юридично значущому автоматизованому банківському рішенні має бути можливість отримати зрозуміле пояснення його основних причин і домогтися реального перегляду уповноваженим працівником банку. Ця гарантія не передбачає загального обов’язку розкривати програмний код, технічну документацію, яка не є необхідною для розуміння причин рішення, або відомості, що становлять комерційну таємницю. Людський контроль є реальним лише тоді, коли уповноважена особа може самостійно перевірити результат, урахувати додаткові відомості та позицію клієнта і за наявності підстав відхилити або скоригувати автоматизовану оцінку.
- Загальне правило щодо пояснення автоматизованого рішення потребує спеціального застереження у сфері фінансового моніторингу. Необхідно розмежовувати внутрішню перевірюваність рішення, яка забезпечує можливість відтворення та перевірки його підстав банком, регулятором або судом, та обсяг пояснення, що може бути наданий клієнтові відповідно до закону. Розмежування автоматизованого сигналу ризику й остаточного рішення дозволяє поєднати ефективність фінансового моніторингу з гарантіями від необґрунтованого обмеження банківського обслуговування.
- Використання штучного інтелекту та залучення зовнішнього постачальника не змінюють принципу юридичної відповідальності банку за його рішення. Управління відповідними системами має бути інтегроване у чинну систему корпоративного управління, управління ризиками і внутрішнього контролю. Передання інформації зовнішньому постачальнику повинно відповідати законодавству про персональні дані та банківську таємницю, зокрема спеціальному режиму відомостей, отриманих під час оцінювання кредитоспроможності. Для систем із високою операційною чи системною значущістю нагляд має також охоплювати ризик концентрації та залежності від зовнішніх постачальників.
- Україні варто розвивати правове регулювання поетапно: секторальні рекомендації Національного банку України та самооцінювання банків; контрольоване випробування нових рішень; накопичення наглядової практики й інформації про істотні інциденти; надалі – обов’язкові вимоги передусім до систем із високим індивідуальним або системним ризиком. Першочерговими змінами мають стати закріплення у законодавстві про споживче кредитування права на пояснення і людський перегляд автоматизованого рішення, вимог до даних, що використовуються для оцінки кредитоспроможності; установлення Національним банком України вимог щодо внутрішнього обліку банками значущих систем та управління їх ризиками; конкретизація вимог до автоматизованого фінансового моніторингу. Такі правила доцільно інтегрувати у чинні механізми банківського нагляду, управління ризиками, захисту персональних даних, протидії дискримінації, споживчого кредитування та фінансового моніторингу. За такого підходу інноваційність банківської діяльності, захист прав клієнта та фінансова стабільність є взаємопов’язаними цілями правового регулювання.
