ШІ-агенти вже самостійно підтверджують транзакції, блокують підозрілі платежі та ухвалюють кредитні рішення без участі людини. Чим автономнішими стають такі системи, тим частіше виникає питання: хто несе відповідальність, якщо алгоритм помилився, банк, розробник технології чи сам клієнт?
Артем Ляшанов розглядає це питання через призму чинного регулювання та практики фінансового сектору, без оціночних висновків щодо конкретних компаній чи продуктів.
Чому питання відповідальності загострилось саме зараз
У 2025–2026 роках фінансові установи перейшли від окремих ШІ-функцій (антифрод-скоринг, чат-боти) до агентних систем, що самостійно ініціюють дії та обробляють цілі робочі процеси без постійного контролю людини.
Експерти фіксують, що традиційні моделі управління, разові перевірки на етапі запуску, статичні політики – не встигають за системами, які діють і змінюються в реальному часі. Регуляторні зобов’язання залишаються на боці того, хто впроваджує систему, а не лише розробника, що прямо стосується банків і платіжних сервісів, які купують готові ШІ-рішення у вендорів.
Що каже регулювання
Найбільш розгорнуту відповідь на питання відповідальності дає Закон ЄС про штучний інтелект (AI Act). Він розрізняє дві ролі:
- Провайдер (компанія, яка розробляє ШІ-систему і виводить її на ринок);
- Деплоєр (компанія, яка використовує цю систему у власній діяльності (типово банк чи платіжний сервіс)).
Більшість великих банків, що створюють власні кредитні моделі, є провайдерами, тоді як більшість середніх банків і страховиків, що ліцензують готові скорингові інструменти, є деплоєрами – і обсяг обов’язків для цих ролей суттєво відрізняється. Для високоризикових систем (кредитний скоринг, антифрод, андерайтинг) Закон вимагає призначеної відповідальної особи, постійного моніторингу та можливості людини втрутитися чи зупинити рішення системи.
Терміни впровадження кількаразово коригувалися. Початковий дедлайн для високоризикових систем (2 серпня 2026 року) у рамках так званого Digital Omnibus було перенесено на 2 грудня 2027 року, що дає бізнесу додатковий час на підготовку, але не знімає самого вимоги.
Паралельно на платіжний сектор накладаються DORA (операційна стійкість і кіберризики) та PSD3 (відповідальність провайдерів платіжних послуг за безпеку транзакцій) – ці документи прямо не описують ШІ-агентів, але формують контекст, у якому розглядатиметься відповідальність за автоматизовані рішення в платежах.
Українська специфіка
В Україні станом на початок 2026 року окремого закону про штучний інтелект немає. Бізнес, що працює з ШІ, уже стикається з вимогами суміжних сфер – захисту персональних даних, кібербезпеки, прав споживачів і договірної відповідальності, і саме ці норми тимчасово виконують функцію регулятора для фінтех-компаній.
Для українських гравців, що працюють з ЄС-партнерами або планують вихід на європейський ринок, орієнтиром фактично стає AI Act – навіть без прямого юридичного обов’язку.
Практичний висновок для бізнесу:
- Визначити, чи компанія виступає провайдером чи деплоєром ШІ-рішення у платіжному процесі.
- Закріпити персональну відповідальність за конкретною людиною, а не лише за «відділом ризиків».
- Передбачити можливість людського втручання в роботу агента до того, як рішення стане незворотним.
- Перевірити договори з вендорами ШІ-рішень – чи містять вони обов’язок розкривати логіку моделі.
Поки універсальної відповіді на питання хто відповідає за рішення ШІ-агента не існує, відповідальність розподіляється між розробником, тим, хто впроваджує систему, і тим, хто має повноваження її зупинити. Для фінансового сектору це означає, що автономність технології не звільняє компанію від обов’язку пояснити будь-яке рішення клієнту чи регулятору.