Esta guía no constituye asesoría jurídica.
Qué es
El 27 de junio de 2024, FINRA publicó el Aviso Regulatorio 24-09 para recordar a sus firmas miembros que sus reglas son neutrales respecto a la tecnología: siguen aplicándose al utilizar IA generativa y modelos de lenguaje de gran tamaño, ya sean desarrollados internamente o adquiridos de un proveedor.
El aviso no crea requisitos legales ni regulatorios nuevos, ni nuevas interpretaciones de los requisitos existentes. Presenta ejemplos relativos a la Regla 3110 de FINRA, sobre supervisión, y la Regla 2210, sobre comunicaciones con el público, e indica que otras obligaciones dependen del uso que la firma haga de la herramienta. FINRA también remite al Informe anual de supervisión regulatoria de 2024 para consideraciones más amplias sobre los riesgos de la IA.
Qué pide respecto a IA y datos
El Aviso 24-09 menciona directamente estos ejemplos:
| Área | Qué deberían considerar las firmas |
|---|---|
| Supervisión | Los sistemas de supervisión deben abarcar el uso de herramientas de IA, incluida la gobernanza de sus resultados. |
| Comunicaciones con el público | El contenido generado por IA utilizado en comunicaciones sigue sujeto a las reglas de comunicación de FINRA. |
La lista ampliada de riesgos que sigue no es una nueva regla de seis partes del Aviso 24-09. Es una lista práctica de planificación basada en los ejemplos del aviso y el Informe anual de supervisión regulatoria de FINRA de 2024, que analiza el posible efecto de la IA en las obligaciones regulatorias de las firmas.
| Área | Qué deberían considerar las firmas |
|---|---|
| Conservación de registros | Los registros creados o utilizados con herramientas de IA podrían requerir conservación según las normas de libros y registros. |
| Protección de la información del cliente | La información del cliente utilizada por herramientas de IA debe protegerse. |
| Riesgo de terceros | Las firmas siguen siendo responsables cuando utilizan herramientas de IA de proveedores. |
| Precisión y fiabilidad | Las firmas deberían considerar riesgos como resultados inexactos y un comportamiento poco fiable del modelo. |
| Riesgos de privacidad, sesgo y propiedad intelectual | Los materiales de FINRA sobre IA señalan riesgos de privacidad, sesgo, propiedad intelectual y agentes de amenaza. |
Cómo ayuda Matrix
| Área | Cómo ayuda Matrix |
|---|---|
| Supervisión | Puntos de aprobación: los resultados y las actualizaciones de datos en sus sistemas quedan pendientes de la confirmación de una persona designada. Los registros de auditoría permanecen en el sistema para que su equipo los revise. |
| Comunicaciones | Los borradores se preparan para revisión con fuentes citadas; no se envían automáticamente. |
| Conservación de registros | Los registros locales de auditoría permiten revisión y exportación. La conservación y los requisitos del sistema de registros se acuerdan para su implementación. |
| Protección de la información del cliente | Matrix funciona en sus instalaciones, sin conexión por defecto; solo se conecta a un servicio externo si su equipo de TI lo aprueba. El acceso se define por roles. |
| Riesgo de terceros | Synexas no conserva cuentas en su sistema ni recibe sus datos, salvo los datos que usted autorice para una prueba opcional, bajo un NDA, eliminados después. |
| Precisión | La precisión se mide en su propia tarea. Los elementos inciertos se señalan para revisión. |
La implementación local no hace que un intermediario de valores cumpla las reglas de FINRA. Ofrece a la firma un sistema controlado que puede incorporar a sus propios programas de supervisión, registros y control de proveedores.
Qué sigue a su cargo
- Sus procedimientos escritos de supervisión, actualizados para el uso de IA
- Aprobar las comunicaciones antes de utilizarlas
- Cumplir los requisitos de libros y registros, incluido el formato de almacenamiento exigido. Los registros de Matrix no sustituyen el sistema de registros que usted deba mantener.
- Registros de diligencia debida y supervisión de proveedores
- Capacitar al personal registrado sobre el uso autorizado de IA
Preguntas para cualquier proveedor de IA
- ¿Dónde se procesa la información del cliente y puede acceder el proveedor?
- ¿Qué registra el sistema y podemos exportarlo a nuestros sistemas de registros?
- ¿Pueden enviarse resultados a clientes sin aprobación de una persona?
- ¿Cómo se mide la precisión y qué ocurre cuando la IA no está segura?
- ¿Cómo cambian los modelos y quién aprueba el cambio?