（来源：现代商业银行杂志）
文_平安银行 唐琴 戴晰柔
生成式人工智能逐步进入银行客户服务、产品销售和授信审查领域。中信银行2025年年度报告披露，该行部署了20余种国内主流开源模型，大模型应用场景超过120个，并使用虚拟信审专家辅助授信审查。模型接触的数据和业务权限持续增加，生成内容经银行采纳、发布或执行后，可能影响客户权益，进而引发合同履行、信息保护和损害赔偿争议。
银行既是技术使用者，也是金融服务提供者。2026年9月，最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》，对归责原则、人格权益、知识产权、技术合同和电子证据提出审理指引。结合金融监管规定与典型案件，银行应用的法律风险应从输出用途、实际控制、客户信赖和损害后果展开分析，并落实相应的审核、授权与记录保存要求。
银行应用场景与法律义务
1.客户服务与金融产品销售
银行面向客户使用生成式人工智能，主要涉及业务咨询、产品介绍、交易说明和投诉处理。开放时间、材料清单等咨询要求信息准确；费用、产品风险与赎回安排的解释直接影响客户选择；依据资产、收入和投资经验形成推荐意见，则涉及客户评估和销售匹配。应用承担何种业务功能，应结合交互内容、产品联结和交易安排判断。
国家金融监督管理总局发布施行的《金融机构产品适当性管理办法》适用于投资型产品和保险产品，并对证券基金期货经营机构发行产品的销售保留相应规则适用安排。普通存贷款业务依照各自规定审查。银行通过模型销售理财或代销产品，应履行适用的识别、评估和匹配义务。客户提出扣款异议、盗刷疑虑或账户限制问题时，还须及时识别请求并进入相应处理程序。
2.授信审查与内部专业作业
授信审查中的生成式人工智能，多用于材料摘要、行业研究、财务异常提示和意见起草。其法律影响随输出用途变化：初步摘要中的错误容易造成审核遗漏；进入审批依据后，可能影响融资条件与资产质量；用于解释拒贷或调价理由时，还涉及决策依据与客户权利。银行应分别审查事实提取、信用判断和理由说明。
合同审查、制度检索和诉讼材料准备，同样涉及事实真实性、授权和法律适用。最高人民法院上述意见要求，使用人工智能生成诉讼文书、案例检索报告等材料的参与人，在提交前应核实内容，并承担真实性与准确性责任。银行内部使用模型时，仍受数据保护、保密和金融业务要求约束；向境内公众提供生成服务，还应按照《生成式人工智能服务管理暂行办法》等规定下的具体义务进行审查。
3.数据处理与外部技术合作
模型训练、知识检索、实时输入和记录保存，分别涉及数据用途、访问权限和保存期限。《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》及银行业数据安全规定构成主要约束。金融账户、生物识别等敏感个人信息具有更严格的处理条件。供应商按银行确定的目的和方式处理信息，适用委托处理安排；将资料用于自身模型改进，则应审查新增目的与处理依据。
模型采购、接口调用和托管运维，还需接受信息科技外包审查。《银行保险机构信息科技外包风险监管办法》要求银行承担信息科技管理与网络安全主体责任，管理外包准入、合同及持续服务。银行面向客户承担的服务义务，与供应商对银行承担的交付义务分别成立。供应商参与模型研发、系统集成或运维，影响违约责任与内部追偿，也要求银行掌握实际参与方和访问权限。
典型法律纠纷与责任认定
1.信息误导与业务承诺争议
杭州互联网法院审结的梁某诉某人工智能公司案件中，该系统在2025年6月生成错误高校校区信息，并在后续对话中提出内容有误即赔偿10万元。梁某起诉请求赔偿9999元。法院综合审查服务提示、可靠性措施、实际损害与因果关系，认定提供者已尽合理注意义务，驳回诉讼请求。该案将生成话语的法律性质与侵权责任构成分别评价。
银行通过正式渠道解释提前还款费用、存款计息或理财赎回条件，信息与金融合同直接关联。客户根据错误说明安排资金、错过申请或误付费用，可能引发合同履行与赔偿争议。生成回复是否构成银行承诺，应结合系统权限、员工授权、交易过程和客户合理信赖判断。赔偿审查还需区分合同应付款项、错误服务造成的增量损失与正常市场波动。
2.个人信息与数据使用争议
客户为办理贷款提供资料，银行依据金融服务需要处理必要信息；将同一资料用于通用模型训练，应另行审查处理依据与必要性。员工把客户材料上传至外部工具，供应商保存附件并用于模型改进，可能使处理目的超出原业务需要。银行与供应商的责任，应按各自决定目的、配置权限和实际使用资料的行为认定。
检索系统跨越员工业务权限，可能向无权人员返回账户、授信或担保信息。删除源文件后，索引、缓存和会话记录也可能保留信息关联。去标识化与匿名化具有不同法律含义，企业经营资料还可能涉及商业秘密。个人信息权益受到侵害并造成损害时，个人信息保护法第六十九条规定过错推定责任。授权、访问和委托记录由此成为履责证明的重要材料。
3.自动化决策与产品适当性争议
模型参与贷款审查、定价或客户画像，容易引发事实准确性与公平交易争议。真实风险、担保和期限可以支持合理定价差异；利用客户缺少比较渠道等信息提高收费，则需接受公平交易审查。个人信息保护法第二十四条规定，对个人权益有重大影响的决定，个人享有要求说明及拒绝仅通过自动化决策作出决定的权利。理由说明应对应实际审批事实与规则。
产品推荐还需识别客户需求、资金期限和损失承受能力。将较高收益偏好等同于较强风险承受能力，把封闭运作产品描述为随时赎回，均可能影响销售匹配与风险说明。聊天界面中的推荐、正式产品条款和交易确认，共同构成销售过程。判断银行是否履责，应审查上述内容的一致性，以及客户选择与损失之间的关系。
4.著作权与人格权益争议
2024年广州互联网法院审理的奥特曼生成图片侵权案，判令停止侵权并赔偿1万元；杭州互联网法院审理的另一奥特曼侵权案件，一审认定平台构成帮助侵权并判赔3万元。两案涉及不同服务方式与参与行为。银行使用生成图片宣传，应分别审查训练素材许可、输出内容侵权和成品权属。报告阅读权、图片展示许可与训练授权，具有不同使用范围。
北京互联网法院审理的殷某某声音侵权案中，相关公司未经许可将配音素材用于人工智能处理并商业化使用，其中两家公司被判连带赔偿25万元。银行采购语音服务或开发数字人，应分别审查录音、肖像、声音及个人信息授权。生成授信报告，误将其他企业的失信或处罚记录归于客户，向外传播后还可能侵害商业信誉，责任取决于事实核验和传播行为。
5.深度伪造欺诈与支付争议
香港立法会2024年6月会议记录披露，同年1月底警方接获一起深度伪造视频会议诈骗案，受害人向5个本地银行账户转账，损失约2亿港元。涉案会议使用预先录制的合成视频，后续转账指示通过即时通信发出。合成人物形象、声音与紧迫转账要求相结合，增加了身份和真实意思核验的难度。
冒用身份取得账户控制权后交易，与客户本人受骗后授权转账，具有不同的合同履行事实。前者需审查身份识别、交易验证和操作记录；后者应结合支付约定、异常提示与处置过程认定责任。视频或语音认证通过，与真实意思及企业付款权限分别涉及不同事实。银行采取延迟支付、止付或账户限制等措施时，还须审查适用条件、处理时点与客户正常交易权益。
银行业法律风险防范策略
1.明确应用用途与业务权限
一是登记应用用途。由业务部门列明服务对象、可访问资料和可执行操作，区分知识查询、业务解释、产品推荐与交易执行，按客户权益影响确定审批层级。法务、消保、数据管理和信息科技部门审查上线条件，对费用减免、额度调整及账户限制明确授权与复核人员。先限定用户和权限试行，再根据核验结果扩大使用范围。
二是分开配置生成与执行。利率、费用、风险等级、期限和付款对象等字段，由经过核验的业务数据提供，模型负责组织说明。查询、申请、确认和执行权限与员工职务、客户授权对应，付款及重要合同变更保留独立授权步骤。业务规则调整时同步更新知识资料，测试跨客户、跨产品和跨权限查询。
三是完善应用效益评价。除服务数量和处理时长外，记录事实更正、客户异议、越权访问和异常执行情况。金额、期限、身份等字段采用更严格的验收标准，对问题集中的功能开展专项检查。将核验时间、客户补偿、供应商替换和纠纷处理费用纳入成本测算，依据收益与潜在损害配置投入。
2.规范数据授权与资料使用
一是按处理用途管理资料。分别确定训练、检索、实时调用和记录保存的数据范围与处理依据，将合同履行资料与模型改进资料分别管理。需要同意或单独同意时，明确告知处理目的、方式和范围。员工通过统一入口使用模型，对上传资料配置识别、拦截和审批功能，优先使用满足任务需要的最少字段。
二是使检索权限对应业务权限。在检索前校验访问资格，在返回结果时核对客户和业务归属，分别配置客户材料与制度资料的索引。检查检索切片、缓存和日志中的敏感内容，明确更正、更新及删除责任。客户提出权利请求时，按处理依据和资料类型分别办理，交易凭证与模型优化资料采用各自的保存安排。
三是审查外部处理与跨境访问。合同列明资料范围、处理目的、存储地点、访问人员和转委托条件，约定数据返还、删除及验证方式。供应商将资料用于模型改进，应另行接受业务和法律审查。涉及境外接口或人员访问时，核实接收方和实际流向，依法办理出境手续与影响评估，并持续检查供应商履约情况。
3.落实客户服务与决策审核
一是核验对客服务内容。收费、风险和交易条件关联正式业务规则，提供条款查看入口，按适用规定配置生成合成标识。发现资料冲突、金额异常或多轮回答不一致，转交有业务权限的人员。保留便捷人工服务，及时识别费用争议、盗刷报告及权利请求，由相应岗位接收并处理。
二是落实授信与销售的实质审核。审核人员同时查看原始资料、模型引用和拟采用结论，核对影响判断的事实。授信理由依据实际审批记录形成，客户提出更正或说明请求时及时核验。产品推荐分别记录投资目标、资金期限和风险承受能力，检查相同风险条件下的差别待遇。为审核岗位配备核验时间及修改、暂停权限。
三是加强素材与支付授权审查。宣传、培训和数字人项目建立授权清单，核实文本、图片、肖像与声音的权利范围，保存创作和修改记录。企业支付及高风险操作结合独立联系渠道、账户权限和交易特征核实身份与指令。针对异常视频、拟声指令和紧迫转账要求开展演练，检查暂停功能及人工核验安排。
4.细化供应商准入与合同约定
一是核查实际技术参与方。尽职调查覆盖模型开发者、集成商、云服务商及分包方，检查资料来源、访问权限、模型更新与安全处置能力。采用银行实际产品、合同和客户问题测试准确性、引用质量及权限隔离，对交易功能增加故障和资料冲突测试。验收结论对应具体版本与用途，并列明整改事项。
二是明确可执行的交付义务。约定知识更新、日志、人工转接和事件协助要求，明确重大升级通知与重新验收条件。针对侵权、越权处理和保密违约设置赔偿范围与责任限额，结合银行实际损害评价合理性。要求供应商提供技术记录、接受检查并配合取证，明确主供应商对分包服务的合同责任。
三是制定替换和退出方案。保存银行自主维护的业务规则、知识资料和配置说明，使用便于迁移的格式，约定合同终止后的资料返还与删除。客户服务保留人工办理方式，授信和支付配置备用处理路径。定期开展迁移与故障演练，检查转换时间、资料完整性和服务恢复情况，并按供应商集中程度安排备用资源。
5.完善证据保存与争议处置
一是保存能够还原业务事实的记录。重要交互关联客户或业务标识、模型与资料版本、输入输出、人工修改及最终操作，记录生成内容进入正式服务的过程。采用访问控制、完整性校验和可信时间记录保障证据质量，按资料类型确定保存期限。发生争议后及时保全相关记录，要求供应商保存并提供必要技术材料。
二是按纠纷性质分工处理。业务部门核实条款、纠正错误并联系受影响客户；数据管理与技术部门限制访问、查明范围并组织补救；疑似欺诈转账按规定核验、止付和协查。法务部门识别请求权与证据，消保部门安排投诉处理。供应商违约时及时提出履约和取证要求；影响正常交易的处置，应记录理由和解除条件。
三是落实报告与整改要求。《银行保险机构数据安全管理办法》规定数据安全事件发生后2小时内报告、24小时内提交正式书面报告，特别重大事件另有报送安排。银行应明确报告对象、时点和岗位，留存处置进展。对重复错误检查资料版本、权限配置、人员采纳与供应商履约情况落实整改，并将脱敏案例用于业务培训和测试。
