欧盟人工智能法案和 NIS2 指令：增加立法对银行和金融科技意味着什么？：作者：Aare Reintam

今年夏天，我们看到欧盟 (EU) 人工智能法案第二阶段生效，其中增加了通用人工智能模型 (GPAI) 的义务。根据该立法，所有 GPAI 提供商都有两年时间确保遵守版权和透明度义务。

至关重要的是，这适用于任何使用 GPAI 模型并在欧盟开展业务的组织，而不仅仅是实际位于欧盟的公司。欧盟人工智能法案的最后阶段预计将于 2026 年和 2027 年夏季完成，但该立法已迅速被许多人视为全球人工智能治理的旗手。

AI 和 NIS2 如何契合

然而，尽管欧盟人工智能法案详细介绍了其认为的建议

基本的网络安全考虑和要求，它并没有提供全面的网络安全措施。相反，该立法依赖于与其他框架的配合，以确保网络安全最佳实践，包括 NIS2 指令。

NIS2 指令（欧盟网络安全高共同水平措施指令）是欧盟近十年前首次推出的网络安全规则的扩展，其根本目的是提供法律措施，以提高所有成员国的网络弹性，包括倡导提高网络准备程度和技能。

就在几周前，有消息称，一些欧盟成员国面临着欧盟委员会越来越大的压力，未能将 NIS2 纳入法律，错过了 12 个月前的最后期限。根据该委员会的数据，保加利亚、法国、爱尔兰、卢森堡、荷兰、葡萄牙、西班牙和瑞典都落后了。

对金融机构的影响

NIS2 适用于“基本”服务和数字基础设施的所有运营商，特别是那些被视为高风险的部门，其中包括金融服务。因此，实施和开发人工智能解决方案的金融机构需要确保其网络安全态势和实践在多个领域与 NIS2 保持一致，包括：

• 事件报告：在首次发现后 24 小时内报告潜在的网络漏洞和事件，然后在 72 小时内发出第二次通知以提供更新，并在第一次检测后一个月内发出最终报告。
• 风险管理：必须实施某些网络安全风险管理政策，包括培训、风险分析和事件响应、加密和密码学、漏洞披露以及 ICT 供应链安全。
• 管理机构：必须设立管理机构来批准和监督所有网络安全风险管理措施的实施。管理机构任命的人员必须定期接受网络安全培训。

培训是关键

银行和金融机构监管领域的所有框架、指令和立法的主要共同点之一是强调培训，尤其是网络培训。

然而，这通常需要文化转变，因为网络培训和网络准备往往被视为“勾选”练习或每年一次的举措。在网络安全方面，培养持续做好准备的心态至关重要——这不仅仅是关于您拥有哪些工具和系统来应对威胁。这是为了在整个组织内培养整体的网络安全文化。

这意味着致力于学习和发展，包括对员工的持续培训和技能提升。接受这一点并投资于模拟和危机应对场景等定期网络演习的金融组织最适合遵守所有即将到来的立法要求。