Почему банки внедряют AI в разработку медленнее других
В финтех-стартапе AI-инструмент внедряют за неделю, в банке на то же уходят месяцы. Дело в требованиях: каждый инструмент, который работает с кодом или данными клиентов, должен пройти оценку соответствия требованиям Банка России и ФСТЭК, получить одобрение директора по ИБ и пройти тест на проникновение.
Эти требования можно заранее разложить в список и закрывать с первой недели проекта.
Чеклист согласования с ИБ-службой
- Модель угроз AI-компонента: какие данные он обрабатывает и какие у него права
- Архитектурная схема с потоками данных, сетевыми сегментами и точками интеграции
- Аудит-лог: формат, где хранится, как его забирает SIEM
- Модель доступа: права агентов, роли пользователей, матрица прав
- Сценарий обновления: как обновляются веса языковой модели внутри контура
- Процедура отзыва: как отключить агента без остановки конвейера
- Результаты теста на проникновение или программы поиска уязвимостей у поставщика
Эти документы лучше готовить одновременно с технической интеграцией. ИБ-служба обычно соглашается смотреть черновики, если поставщик быстро отвечает на вопросы.
Как устроен пилот на 8 недель
Пилот Мозаики Разработки идёт по одной задаче. На второй неделе снимается базовый замер текущего процесса, на восьмой его повторяют тем же способом, и по разнице банк решает, внедрять ли конвейер.
- Неделя 1. Выбор задачи и паспорт пилота: цель, владелец результата, критерии приёмки, уровень проверки
- Неделя 2. Базовый замер: срок прохождения задачи, трудозатраты, стоимость, дефекты
- Недели 3–4. Развёртывание в изолированном сегменте контура банка, подключение к репозиторию и акт готовности контура
- Недели 5–7. Задача проходит через конвейер, результаты подписывает владелец продукта, действия агентов пишутся в журнал
- Неделя 8. Повторный замер по тому же протоколу и акт сравнения, подписанный обеими сторонами
Как выглядит гейт подписи в банковском контексте
Перед подписью в Мозаике владелец продукта получает сводку: что изменилось в коде, какие тесты прошли, что проверил агент «Специалист по безопасности» и нашлись ли аномалии. По этой сводке он решает, выпускать ли релиз. Все действия записываются в аудит-лог.
Если в банке случится инцидент, аудиторы увидят по журналу всю цепочку решений: кто поставил задачу, какой агент что сгенерировал, кто и когда подписал релиз.
Что пилот даёт команде разработки
Владелец продукта узнаёт по акту сравнения, насколько быстрее стали выходить доработки. Разработчики видят, какую работу агенты делают сами: шаблонный код, тесты, документацию API. Архитектурные решения остаются за людьми.