Артем Ляшанов: Хто відповідає за рішення ШІ-агента в банку

Фінтех-експерт Артем Ляшанов розглядає питання відповідальності за рішення ШІ-агентів через призму чинного регулювання та практики фінансового сектору, без оціночних висновків щодо конкретних компаній чи продуктів.

Універсального правила не існує. Відповідальність розподіляється між тим, хто розробив систему (провайдер), тим, хто використовує її у власній діяльності (деплоєр це зазвичай банк чи платіжний сервіс), і тим, хто мав технічну можливість втрутитися в рішення до того, як воно стало незворотним. 

У ЄС цю структуру відповідальності прямо описує Закон про штучний інтелект (AI Act). В Україні станом на початок 2026 року окремого закону немає, і цю функцію тимчасово виконують суміжні норми про захист персональних даних, кібербезпеку та договірну відповідальність.

ШІ-агенти вже сьогодні самостійно підтверджують транзакції, блокують підозрілі платежі та ухвалюють кредитні рішення без участі людини. Чим автономнішими стають такі системи, тим частіше виникає питання: хто несе відповідальність, якщо алгоритм помилився?

Чому питання відповідальності загострилося саме зараз

За спостереженням Артема Ляшанова, у 2025–2026 роках фінансові установи перейшли від окремих ШІ-функцій, як-от антифрод-скорингу, чат-ботів, до агентних систем, які самостійно ініціюють дії та обробляють цілі робочі процеси без постійного контролю людини.

Традиційні моделі управління не встигають за цим зсувом:

• Разові перевірки на етапі запуску системи не відображають її поведінку місяці по тому;

• Статичні політики комплаєнсу не враховують, що агентна система навчається і змінюється в реальному часі;

• Регуляторні зобов'язання закріплені за тим, хто впроваджує систему, а не лише за її розробником це прямо стосується банків і платіжних сервісів, які купують готові ШІ-рішення у вендорів, а не створюють їх з нуля.

Що каже регулювання ЄС

Найбільш розгорнуту відповідь на питання відповідальності дає Закон ЄС про штучний інтелект (AI Act). Він розрізняє дві ролі:

• Провайдер – компанія, яка розробляє ШІ-систему і виводить її на ринок. Приклад у фінансовому секторі: великий банк, що створює власну кредитну модель;

• Деплоєр – компанія, яка використовує готову систему у власній діяльності. Приклад, середній банк чи страховик, що ліцензує готовий скоринговий інструмент у вендора.

Артем Ляшанов зазначає, що більшість великих банків, які створюють власні кредитні моделі, є провайдерами, тоді як більшість середніх банків і страховиків, що ліцензують готові скорингові інструменти, є деплоєрами і обсяг обов'язків для цих ролей суттєво відрізняється. Для високоризикових систем, кредитний скоринг, антифрод, андерайтинг, закон вимагає:

• Призначеної відповідальної особи всередині організації;

• Постійного моніторингу роботи системи;

• Технічної можливості для людини втрутитися в рішення системи чи зупинити його.

Коли саме ці вимоги набудуть чинності

Терміни вже кілька разів коригувалися. Початковий дедлайн для високоризикових систем 2 серпня 2026 року було перенесено в рамках пакету змін Digital Omnibus, узгодженого інституціями ЄС 7 травня 2026 року та ухваленого Європарламентом 16 червня 2026 року.

Актуальні терміни на цей момент:

• 2 грудня 2027 року для автономних високоризикових систем, до яких належить і кредитний скоринг;

• 2 серпня 2028 року для високоризикових систем, вбудованих у продукти, вже регульовані іншим законодавством ЄС (медичні пристрої, машини тощо);

• 2 грудня 2026 року скорочений перехідний період для маркування контенту, створеного ШІ.

Перенесення термінів дає бізнесу додатковий час на підготовку, але не знімає самої вимоги. При цьому заборона на маніпулятивні та соціально-скорингові практики (Стаття 5 AI Act) діє вже з лютого 2025 року і перенесенню не підлягає.

Паралельно на платіжний сектор ЄС накладаються ще два регуляторні документи:

• DORA регулює операційну стійкість і кіберризики;

• PSD3 закріплює відповідальність провайдерів платіжних послуг за безпеку транзакцій.

Жоден із цих документів не описує ШІ-агентів прямо, але обидва формують контекст, у якому розглядатиметься відповідальність за автоматизовані рішення в платежах.

А що в Україні

Ні. Станом на початок 2026 року окремого закону про штучний інтелект в Україні не існує. Бізнес, що працює з ШІ, уже стикається з вимогами суміжних сфер, які тимчасово виконують функцію регулятора для фінтех-компаній:

• Захист персональних даних;

• Кібербезпека;

• Права споживачів;

• Договірна відповідальність сторін.

За словами Артема Ляшанова, для українських гравців, що працюють з ЄС-партнерами або планують вихід на європейський ринок, орієнтиром на практиці стає саме AI Act — навіть без прямого юридичного обов'язку його дотримуватися.

Головний висновок

За оцінкою Артема Ляшанова, універсальної відповіді на питання хто відповідає за рішення ШІ-агента не існує, відповідальність розподіляється між розробником системи, тим, хто її впровадив, і тим, хто мав повноваження її зупинити. Для фінансового сектору це означає: автономність технології не звільняє компанію від обов'язку пояснити будь-яке рішення клієнту чи регулятору.

Матеріал розглядає питання через призму чинного регулювання та практики фінансового сектору, без оціночних висновків щодо конкретних компаній чи продуктів.