銀行業 AI 策略：三年路線圖

銀行的 AI 試點讓董事會驚豔，接著卡在模型風險審查，這是很常見的故事。一套健全的銀行 AI 策略會分四個階段推進，從受治理的資料一路走到真正在做事的 AI 代理，藉此避開這種結局。

透過我在 DXC 的職務，我和中東與非洲各地的銀行合作過。它們的問題很少是缺乏企圖心。

問題在資料。客戶、帳戶與交易紀錄分散在核心銀行系統、信用卡平台、CRM 和十幾份試算表裡。每一套對「誰是客戶」都有自己的看法。

只要您的主管機關接受，這份路線圖適用於任何核心銀行平台、雲端或模型供應商。它涵蓋個人金融、中小企業金融與企業金融。

三年，四個階段

1. 01

   現在：資料基礎

   客戶、產品與風險資料集中在一個受治理的平台，資料血緣可供主管機關追溯。

2. 02

   第一年：受治理的智慧層

   為客戶、帳戶與交易建立一套業務語言，建立 AI 治理，拿下第一批速效成果。

3. 03

   第二年：擴展 AI 代理

   處理開戶、授信、詐欺與洗錢防制的 AI 代理，加上近即時的客戶互動。

4. 04

   第三年：AI 全面融入

   AI 融入關鍵業務職能，人與代理協同工作，每個決策都可追溯。

資料基礎透過可信的資料和更乾淨的法遵申報就能回本。第一波 AI 價值在第一年出現，更大的效益則在第二年代理開始做實際工作之後到來。

銀行早就知道資料為什麼重要，因為主管機關教過它們。BCBS 239 關於風險資料彙整的原則，要求風險資料準確、完整、及時，並有明確的負責人。良好的 AI 基礎就是同樣的紀律，只是延伸到客戶與產品資料。

以下是這項工作，按照我會執行的順序排列。

1. 把核心銀行、信用卡、支付、放款、CRM 與數位通路的資料匯入同一個平台。通常是 lakehouse，也就是同時存放原始與清理後資料的單一儲存庫，部署在雲端或境內。
2. 加上資料目錄與資料血緣，讓法遵申報中的每個數字、模型的每個輸入，都能追溯到來源系統。
3. 為產品、風險與財務團隊提供建立在同一套客戶與餘額數字上的自助式報表。

最難的部分是單一客戶視圖。以一位在您銀行擁有活期帳戶和信用卡的女士為例。她同時是她哥哥公司貸款的保證人，也是您一家企業客戶的董事。

在大多數銀行，她是四筆紀錄。核心系統把她的名字拼成一種寫法，信用卡平台是另一種，企業客戶檔案有她的護照號碼卻沒有出生日期。一個檢查她總曝險的 AI 代理，會完全漏掉那筆保證。

解法很枯燥。依身分證號、出生日期與地址設定比對規則，然後建立一筆有具名業務負責人的黃金紀錄。在資料基礎中做一次，之後每個模型都會承接它。

再看第二個案例。您的風險報告和財務總帳對同一家企業客戶顯示不同的曝險數字。信用卡平台在夜間過帳，放款系統在中午過帳。

有了資料血緣，分析師可以把兩個數字都追溯到來源，看出時間差。沒有它，每次董事會開會前都得有人在試算表裡重算一遍。

1. 01核心銀行帳戶、餘額與交易
2. 02信用卡與支付刷卡消費、轉帳與薪資
3. 03放款與 CRM貸款、額度與往來紀錄
4. 04資料著陸區原始副本，從第一天就有資料血緣
5. 05單一客戶視圖同一個人，連同其擁有的每個角色
6. 06報表與申報產品、風險與法遵數字彼此一致

可以向主管機關追溯的可信資料

第一年的核心是語意層。這是一套由人和 AI 代理共用的業務語言，客戶、帳戶、產品、額度、曝險、交易與客訴，各自只有一個定義。

為什麼這很重要？問三個團隊您有多少活躍客戶。

行銷部門計算過去 90 天內開過 App 的所有人。財務部門計算有餘額的所有人，風險部門則計算持有任何產品的所有人。

為董事會回答這個問題的代理，必須使用董事會報告的定義。語意層就是您把定義寫下來一次的地方。

AI 治理在同一年建立，依照您的主管機關來設計。在阿聯，這代表金融機構採用賦能科技的聯合指引。在英國，則是 PRA 的模型風險管理原則（SS1/23）。

在歐盟，AI Act 把對個人的信用評估列為高風險。我的建議是維護一份 AI 使用情境登錄清單。為每個情境指定負責人、風險等級、測試結果和人工審查步驟，再把這份清單對應到您須遵循的每一條規定。

接著爭取員工和客戶感受得到的速效成果。我會從這些項目中挑選：

1. 員工副駕駛，一個根據政策、產品條款與客戶歷史回答問題的助理。
2. 客訴摘要，讓客訴處理人員在一個畫面中看到完整經過。
3. 個人消費顧問，放在客戶已經在用的 App 裡。
4. 留客提示，在客戶看起來準備離開時通知理財專員。

以下是客服中心的員工副駕駛。一位客戶來電詢問她在國外刷卡被收取的手續費。副駕駛找到手續費條款，檢查她的卡別，並在答案中引用該條款。

是否以客戶關係為由退還手續費，仍由客服人員判斷，我認為應該保持這樣。

消費顧問的運作依據的是客戶早已習慣的模式。假設薪資在 25 日入帳，房租在 1 日扣款，學費每年九月繳交。顧問會建議每個月存一點錢，準備九月的支出。

留客提示讀取的是更細微的訊號，例如原本每月 25 日入帳的薪資突然停了。理財專員在當週就會得知，還來得及打電話。

1. 01理財專員提問我的客戶中有哪些看起來可能會離開？
2. 02語意層銀行對客戶、產品與活躍的定義
3. 03受治理的資料帳戶、交易與客訴
4. 04副駕駛回答附上每位客戶的原因與來源
5. 05專員檢查打電話給客戶，或忽略這則提示

與董事會報告一致的答案

業務價值高中低

• 個人消費顧問

• 留客提示
• 洗錢防制警示分流

• 授信決策支援

• 員工政策副駕駛
• 客訴摘要

低中高法遵風險

• 低
• 中等
• 關鍵

第二年從助理走向代理。助理回答一個人的問題。代理在您設定的範圍內完成一項工作，再交給一個人。

在銀行業，業務量與價值集中在四個地方：

1. 開戶與 KYC，也就是每個新帳戶都需要的認識客戶檢查。
2. 授信，從收集文件到草擬授信報告。
3. 詐欺，代理以近即時的方式為信用卡與支付交易評分。
4. AML（洗錢防制），警示累積的速度比調查人員消化的速度還快。

以中小企業開戶為例。一家貿易公司上傳營業執照、公司章程和股東的護照。其中一位股東是在另一個國家註冊的公司。

代理一步一步處理：

1. 它讀取每份文件，擷取姓名、日期與登記號碼。
2. 它把執照與公司登記資料比對，並將每個姓名與制裁及觀察名單進行篩檢。
3. 它沿著這位外國股東的持股鏈往上追，找出最終受益人，也就是真正擁有這家公司的自然人。
4. 它發現其中一位董事與制裁名單上的某人近似相符：姓名相同，出生日期不同。
5. 它整理好案件檔案，標記這筆相符項目並附上證據。

由一位法遵人員查看這個標記並做出決定。代理負責收集，判斷由她來做。

授信也是同樣的運作方式。一家中小企業申請營運週轉額度，代理收集銀行對帳單、經查核的財務報表和聯徵報告。它把數字整理成銀行的標準格式（授信團隊稱為財務資料展開），並草擬授信報告。

它可能會指出大部分營收來自同一個買家。決定權仍在授信人員手上。

詐欺的節奏更快。有人在國內的商店刷了卡，四十分鐘後又在另一個國家線上刷卡。代理暫停第二筆付款，請客戶在 App 中確認，並向分析師說明它採取行動的原因。

洗錢防制則比較慢。現金存款一再在不同分行以略低於申報門檻的金額存入。代理整理往來歷史並草擬案件說明，由調查人員決定是否申報可疑交易報告。

同一年也帶來近即時的客戶互動。一位小企業主在一筆大額供應商付款到期前一週，就看到現金流預測。

營運模式也會改變。每個代理都需要負責人、清楚的權限界線、監控機制和緊急停止開關。模型風險團隊審查代理時，應該和審查模型一樣謹慎。

1. 01警示交易監控系統發出警示
2. 02收集帳戶、交易對手、歷史紀錄與篩檢命中
3. 03評估對照過去案件為警示評分
4. 04草擬撰寫附有證據的案件說明
5. 05決定調查人員結案或上報
6. 06學習結果用來調整下一次分流

模型風險單位像審查模型一樣審查代理

到了第三年，AI 存在於個人放款、信用卡、中小企業金融、財資、營運與風險之中。人與代理並肩工作，每條決策路徑都有具名負責人與稽核軌跡。

資料共享擴大了代理能看到的範圍。開放銀行 API 讓客戶在同意的前提下分享他們在其他銀行的帳戶。ISO 20022 是較新的支付訊息標準，能攜帶更豐富的細節，說明誰付款給誰、為什麼付款。

以一家每天收到數百筆付款的企業客戶為例。代理利用 ISO 20022 的匯款資訊，把每筆付款對應到正確的發票。其餘無法對應的，則標記給客戶的財務團隊處理。

後台工作也會改變。月底時，代理逐筆核對銀行的存放同業帳戶（nostro，即銀行在他行開立的外幣帳戶）。營運分析師只處理代理無法解釋的差異。

合作夥伴接入同一個受治理的層級，使用您的定義與控制。競爭對手無法快速複製三年打下的底層建設。

1. 營運長負責代理組合及其成果
   模型風險與法遵驗證、監控與緊急停止開關
2. 各業務主管負責所屬業務線的代理

• 開戶代理由開戶業務主管負責
• 授信代理由授信長負責
• 詐欺代理由詐欺防制主管負責
• 洗錢防制代理由洗錢防制專責主管負責

1. 04AI 代理與副駕駛開戶、授信、詐欺、洗錢防制與客戶互動代理，設有人工核准點
2. 03受治理的智慧層客戶、帳戶、產品與交易的語意模型，加上 AI 登錄清單
3. 02資料基礎具備資料血緣、資料目錄與資料品質的 lakehouse，必要時部署於境內
4. 01核心系統核心銀行、信用卡、支付、放款、CRM 與數位通路

任何銀行 AI 策略都貫穿著四項承諾。

1. 境內與主權 AI 方案。 許多主管機關要求客戶資料留在國內。選擇能在國內運行的平台與模型，包括您自行託管的開放模型。
2. 開放的多平台技術架構。 模型每隔幾個月就會改變，因此要保留銀行更換 AI 供應商的自由。
3. 符合主管機關要求的治理。 一份 AI 登錄清單和一套模型風險流程，對應到您須遵循的每一條規定。
4. 能與代理協作的人員。 理財專員、分析師和調查人員需要知道什麼時候該信任代理，什麼時候該推翻它。

推翻代理是這個樣子。一個洗錢防制代理把某則警示標為低風險，因為存款金額符合客戶平常的薪資。調查人員知道那家雇主上個月已經歇業，於是重新開啟這個案件。

第一個錯誤是從面對客戶的聊天機器人開始。沒有語意層，它對同一個問題會給出不同的答案。

問兩次您的信用卡額度，可能會得到兩個數字。一個來自信用卡平台，另一個來自過時的 CRM 副本。

我會讓銀行的 AI 策略從行內開始。員工副駕駛和營運代理是比較安全的學習場域，因為每個答案在客戶看到之前，都會先經過人的檢查。

第二個錯誤是在模型風險管理之外建置 AI。跳過驗證的試點無法上線，團隊只好從頭來過。從第一個使用情境起就讓風險與法遵單位參與，即使感覺很慢。

怎麼出錯有效做法

1. 01怎麼出錯: 第一個專案就做客戶聊天機器人→有效做法: 先做內部副駕駛與營運代理
2. 02怎麼出錯: 在模型風險管理之外建置試點→有效做法: 從第一個使用情境起就讓模型風險單位參與
3. 03怎麼出錯: 每個模型各有自己的客戶定義→有效做法: 每個模型共用一個受治理的客戶視圖
4. 04怎麼出錯: 最後才邀請風險與法遵單位→有效做法: 風險、法遵與業務單位共同負責

如果您想知道貴行目前處在哪個階段，歡迎和我預約通話。帶上您目前的 AI 使用情境清單，我會告訴您我會從哪裡開始。

銀行的 AI 策略應該包含哪些內容？

一套好的銀行 AI 策略需要受治理的資料基礎、語意層，以及符合主管機關要求的 AI 治理。接著加入處理開戶、授信、詐欺與洗錢防制的代理。境內方案、開放的技術架構與員工訓練是這一切的底層。

銀行應該從哪裡開始導入 AI？

從資料基礎和內部使用情境開始。員工副駕駛、客訴摘要和個人消費顧問能在風險可控的情況下帶來價值。授信決策放在後面，搭配最嚴格的控制，並由人逐一核准。

在 EU AI Act 下，用於信用評分的 AI 屬於高風險嗎？

是的，EU AI Act 把評估個人信用或設定其信用分數的 AI 系統列為高風險。詐欺偵測是例外。高風險系統需要風險管理、資料治理、文件紀錄、人為監督與持續監控。

在銀行業，AI 代理和 AI 助理有什麼不同？

助理替人回答問題。代理在您設定的範圍內採取行動，例如收集 KYC 文件、分流警示或草擬授信報告。在銀行業，代理應該負責準備決策，由人來核准。

銀行能否使用 AI，同時把資料留在國內？

可以。許多雲端供應商提供境內區域，開放模型也能在銀行自己控管的伺服器上運行。在選擇平台與模型之前，先決定哪些資料可以離開國境。