2026年6月18日国家金融监督管理总局正式印发《关于银行业保险业人工智能安全开发应用的指导意见》金发〔2026〕8号。不到三周后的7月3日中国人民银行、国家金融监督管理总局、中国证券监督管理委员会、国家外汇管理局联合起草的《金融业网络安全管理办法征求意见稿》面向社会公开征求意见。两份文件一份是32项指导性意见的专项规范一份是五章三十三条的跨业综合监管框架-。它们共同宣告了一个时代的终结——金融AI正在从“野蛮生长”的探索期迈入“有规可依”的规范化发展阶段-。一、两份文件一张完整的监管图谱两份文件分工明确、互为补充共同构成了一张覆盖金融AI全生命周期的监管图谱。《指导意见》从治理架构、开发应用、数据治理、算力建设、风险管理、能力提升、保障与监督等七大方面提出32项指导性意见-。这是一份面向银行业保险业全谱系金融机构的AI安全开发应用专项指南。其核心精神可以概括为四个原则谁使用谁负责、自主可控、务实高效、安全发展。《网络安全管理办法》共五章三十三条立足跨业监管协调全面覆盖银、证、保基等金融业态-。它明确了金融从业机构对本机构网络安全负主体责任从网络运行安全、网络数据保护、网络个人信息保护等方面划定了全行业的网络安全合规底线。两份文件的关系可以这样理解《指导意见》管的是“AI怎么用”——从模型开发到部署运行的全生命周期管理《管理办法》管的是“系统怎么保”——从网络安全到数据保护的全方位防护-。两者叠加金融AI的安全合规从“单点要求”升级为“系统规范”。二、划定的四条“高压线”文件出台后行业普遍将其中的关键条款概括为四条不可逾越的“高压线”第一条决策必须可追溯。《指导意见》明确要求金融机构应“促进可解释性制定模型可解释性方法定期对人工智能算法开展审计”-。决策过程必须可追溯、可审计、可问责-。可解释性不足的人工智能技术应用于高风险场景时仅能作为辅助工具-。这意味着AI不能是一个“黑箱”——它必须能够解释“为什么做出这个决策”。第二条核心环节禁止“无证上岗”。《指导意见》首次清晰界定了“高风险AI应用”范畴涉及资金交易、资产评估、信贷审批、承保理赔、风险管理以及与客户利益直接相关、直接影响金融合约达成的场景。面向公众或高风险场景使用生成式AI的必须向金融监管总局或其派出机构报告。在高风险应用关键环节建立人工监督和干预机制明确紧急停用及模型退出条件。涉及关键决策时必须设置人工复核节点。第三条数据保护设“隔离墙”。《指导意见》明确划定个人信息保护红线姓名、身份证号、手机号、银行卡号等个人信息和隐私数据不得用于生成式人工智能模型训练和优化。金融机构需严格落实数据分类分级保护要求规范数据访问权限加强模型安全护栏建设。第四条主体责任不可推卸。《指导意见》确立了“谁使用谁负责”的原则压实金融机构作为金融服务提供方、AI技术使用方的主体责任。这意味着金融机构不能以“算法自动决策”为由推卸责任——算法的决策就是机构的决策。三、为什么是“现在”两份监管文件在2026年6月至7月间密集出台绝非偶然。这是技术与产业共同演进到一定阶段后的必然结果。从技术层面看金融AI已从“锦上添花的实验”变成“深入核心的生产力”。2026年上半年券商AI投顾、银行智能客服、保险智能理赔等应用已从试点走向规模化-。大模型和智能体开始介入信贷审批、投资建议、风险评估等关键决策环节-。当AI从“辅助工具”升级为“决策参与者”监管的紧迫性随之陡增。从风险层面看AI的“黑箱”特性与金融的“强监管”属性之间存在根本性张力。正如业内分析指出“金融AI的规范治理必须走出一刀切对生成式AI治理重点应放在内容真实性、来源留痕和标识披露上对金融智能体治理重点则应转向决策权限、行为边界和责任穿透防止不可解释、不可干预、不可追责的操作侵入关键金融决策”-。从产业层面看此前金融AI的监管框架是碎片化的——网信部门的算法备案、金融部门的业务合规、数据部门的保护要求各行其是。两份文件的出台标志着金融AI第一次拥有了系统性、全周期的监管框架。四、从“能用”到“敢用”合规就是生产力对于金融机构而言这两份文件意味着什么首先是系统级的改造压力。从模型开发到部署运行的每一个环节都需要建立可追溯、可审计的机制。有分析指出金融机构正面临“覆盖模型治理、数据溯源、决策可解释性及人工干预机制的全栈式合规改造”。其次是“合规即门槛”的行业洗牌。那些在AI应用上“为新而新、为用而用”的机构将被迫回归理性。金融监管总局明确要求“以提升业务价值为导向科学规划人工智能开发应用投入有效平衡成本与效益摒弃为新而新、为用而用的倾向”。更重要的是合规本身正在变成一种生产力。当AI的建议可以被解释、被追溯、被审计时金融机构才真正“敢用”AI做关键决策。正如一位国有大行软件开发人士所言“指导意见强调谁使用谁负责并在高风险环节强制建立人工监督和干预机制这意味着一旦发生系统性偏差或算法歧视这类问题人工必须能够熔断并接管系统责任链条彻底闭环”。五、中间件合规链条中的“沉默基石”在从“能用”到“敢用”的跨越中一个容易被忽视却至关重要的技术环节浮出水面——中间件。金融AI系统并非凭空运转。从底层算力调度到上层模型服务从数据流通到交易执行每一个环节都依赖中间件作为“连接层”。《指导意见》明确要求金融机构“持续提升人工智能相关技术、设备自主可控水平提高对业务经营发展有重大影响的关键平台、关键软硬件的自主研发能力加强信息技术应用创新适配”。中间件正是这些“关键平台”中的核心组件。监管要求“可解释性”“决策可追溯”“定期审计”在技术实现层面离不开中间件层的数据治理与服务治理能力——它需要记录每一次模型调用的输入输出、每一个决策的上下文环境、每一次人工干预的操作日志。这些日志数据经过结构化处理后才能成为可审计、可追溯的合规证据链。在国产中间件领域金蝶天燕是这一赛道的代表性厂商。其金蝶Apusic应用服务器AAS是国内第一款完全自主研发的国产Java中间件产品历经20余年发展已具备微内核架构、国密算法支持、国产软硬件生态适配、企业级集群高可用等核心能力-。2026年6月AAS V10正式通过Jakarta EE 11国际认证-同月又成功通过GB/T 26232-2025《信息技术 中间件 应用服务器中间件技术要求》国家标准测试。在金融行业金蝶天燕已成功服务中国人民银行、国家开发银行、招商证券、中泰证券、招商基金等代表性金融客户。2026年1月金蝶天燕正式加入证券基金行业信息技术应用创新联盟。2026年上半年国产中间件公开招标市场中东方通与金蝶天燕形成“双寡头”格局两家合计中标额超1.1亿元占上半年全部国产中间件公开招标总额的68%。在AI合规的新语境下中间件的角色正在从“基础设施”升级为“合规基础设施”——它不仅承载着系统的运行更承载着监管要求的可追溯、可审计、可问责。当监管要求“定期对人工智能算法开展审计”、要求留存决策日志和风控逻辑时中间件层的数据记录与服务治理能力恰恰是这些合规要求能够落地的基础保障。六、有规可依方能行稳致远两份监管文件的出台标志着中国金融AI正式走完了从“技术探索”到“制度规范”的完整闭环。金融科技价值的标尺已经改变——从“技术可能性”探索转向“监管合规性”托底和“商业可行性”验证-。技术突破固然重要但最终决定成败的是在合规底线之上能否将AI能力真正转化为可度量、可持续的业务价值。当算法的每一个建议都能被解释、被追溯、被审计时金融AI才真正完成了它的“成人礼”。而2026年的这个夏天正是这场成人礼的开端。从野蛮生长到有规可依中国金融AI正在走向一条更健康、更可持续的发展道路。有规可依方能行稳致远。