Міжнародні підходи до AI Governance та їх практичне застосування в українських страхових компаніях

Штучний інтелект поступово стає частиною повсякденної діяльності страхових компаній, його використовують для аналізу клієнтських даних, підтримки андеррайтингових рішень, виявлення ознак страхового шахрайства, оброблення документів, оцінювання пошкоджень автомобілів і комунікації зі страхувальниками. Можливості цих технологій справді значні, але разом із ними виникають нові ризики, які страховикам необхідно навчитися розпізнавати, оцінювати та контролювати.

У міжнародному професійному середовищі дедалі активніше обговорюють AI Governance — управління використанням штучного інтелекту, яке охоплює відповідальність за його застосування, якість даних, надійність моделей, контроль рішень та їхніх наслідків. Для страхування це особливо актуально, адже помилка алгоритму може вплинути не лише на обслуговування окремого клієнта, а й на страхові тарифи, збитковість портфеля, достатність резервів і фінансову стійкість компанії. Водночас виникає принципове запитання: чи потребує впровадження штучного інтелекту створення ще однієї самостійної системи управління, чи варто насамперед адаптувати й розвивати механізми, які вже існують у страховиків?

Для українського страхового ринку, що проходить складний процес трансформації регулювання та поступового наближення до європейських підходів, це питання має не лише методологічне, а й практичне значення. Кожна нова система потребує відповідальних осіб, документів, процедур, звітності та ресурсів. Якщо ці механізми не узгоджені між собою, кількість контролів може зростати значно швидше, ніж реальна здатність компанії управляти ризиками.

Від швидкості аналізу до якості управлінських рішень

Цікаву думку щодо майбутнього ризик-менеджменту висловив швейцарський професор Стефан Гунцікер (Stefan Hunziker) у публікації Risk Management Shifts with AI: From Outputs to Decision Governance. На його погляд, штучний інтелект поступово робить підготовку аналітичних матеріалів, реєстрів ризиків, сценаріїв і звітів швидшою та дешевшою, але це не означає автоматичного підвищення якості ризик-менеджменту. Справжня цінність дедалі більше переміщується до правильної постановки запитань, перевірки припущень, оцінювання достовірності результатів і забезпечення якості управлінських рішень.

Ця думка має особливе значення для страхування. Алгоритм може швидко опрацювати великий масив даних, знайти статистичні закономірності та запропонувати оптимальне, на його погляд, рішення, але він не визначає самостійно, чи відповідає таке рішення бізнес-моделі страховика, його ризик-апетиту, фінансовим можливостям і довгостроковим зобов’язанням перед страхувальниками.

Уявімо модель, яка рекомендує знизити тариф для певного сегмента клієнтів, оскільки історичні дані демонструють відносно невисоку частоту страхових випадків. З погляду статистичної закономірності рекомендація може бути цілком обґрунтованою, але якщо модель недостатньо враховує зміну вартості ремонту, інфляцію страхових виплат або особливості формування резервів, її впровадження здатне погіршити фінансові результати страховика.

У такому випадку проблема полягає не обов’язково в неправильній роботі алгоритму. Можливо, він правильно виконав поставлене завдання, але завдання було сформульоване без урахування всіх суттєвих обставин. Управління ризиками повинно забезпечити, щоб технологічно коректні результати не перетворювалися на економічно помилкові рішення.

Не кожен алгоритм є штучним інтелектом

Починати розмову про ризики ШІ варто з розмежування технологій, які застосовують страховики. Автоматизований розрахунок страхового тарифу, традиційна актуарна модель, система перевірки документів за встановленими правилами та модель машинного навчання — не одне й те саме, хоча всі вони можуть використовуватися в межах одного бізнес-процесу, наприклад, тарифна система може автоматично застосовувати затверджені коефіцієнти, не використовуючи методів штучного інтелекту. Модель машинного навчання, навпаки, може виявляти складні статистичні закономірності в історичних даних. Генеративний ШІ здатний аналізувати документи та формувати рекомендації, але водночас може створювати переконливі відповіді, які не відповідають фактичним обставинам.

Відмінності між цими технологіями визначають і характер ризиків. Для традиційної автоматизації критичними можуть бути правильність бізнес-правил та якість програмної реалізації, для машинного навчання — репрезентативність даних, стабільність моделі та її здатність працювати за зміни зовнішніх умов, а для генеративного ШІ додаються ризики недостовірних відповідей, витоку конфіденційної інформації та недостатньої пояснюваності результатів.

Універсальний набір контрольних процедур для всіх цих випадків навряд чи буде ефективним. Страховик повинен насамперед розуміти, яку технологію він використовує, яке рішення вона підтримує та які наслідки матиме її помилка. Відповідно, інвентаризація систем ШІ має супроводжуватися їх класифікацією за призначенням, суттєвістю, рівнем автономності та потенційним впливом на діяльність компанії.

Страховий тариф — не просто результат роботи алгоритму

Особливої уваги заслуговує застосування ШІ в андеррайтингу та тарифоутворенні. Здатність алгоритму знаходити складні закономірності в даних ще не означає, що він правильно оцінює страховий ризик або забезпечує економічно обґрунтовану вартість страхового продукту.

Економічно обґрунтований страховий тариф формується з урахуванням очікуваної частоти страхових випадків і розміру збитків, витрат на врегулювання, адміністративних та аквізиційних витрат, ризикового навантаження, а також вимог до прибутковості й капіталу страховика. Модель, яка демонструє високу точність прогнозування частоти страхових випадків, може водночас недостатньо добре оцінювати їхню тяжкість або не враховувати зміну вартості відновлювального ремонту. Наслідком використання такої моделі може стати систематична недостатність страхових премій, погіршення збитковості портфеля, необхідність перегляду оцінки страхових зобов’язань та зростання навантаження на капітал страховика.

Водночас застосування складних алгоритмів може породжувати й інші проблеми, пов’язані з необґрунтованою диференціацією тарифів, використанням непрямих ознак чутливих характеристик клієнтів або недостатньою прозорістю критеріїв оцінювання. Висока прогнозна точність не гарантує відповідності моделі правовим, етичним і регуляторним вимогам.

Отже, управління ризиками ШІ в тарифоутворенні неможливо відокремити від актуарної функції, андеррайтингу, управління страховими ризиками та контролю фінансової стійкості. Перевіряти потрібно не тільки точність алгоритму, а й економічні та правові наслідки його використання.

Врегулювання збитків: ризик прихований у процесі

Не менш складною є ситуація з використанням ШІ під час врегулювання страхових випадків. Автоматичний аналіз фотографій пошкодженого автомобіля, перевірка документів або виявлення підозрілих обставин можуть суттєво прискорити роботу страховика, але врегулювання не обмежується оцінюванням пошкоджень чи пошуком ознак шахрайства.

Це послідовність взаємопов’язаних операцій: від реєстрації повідомлення та встановлення обставин події до визначення страхового покриття, оцінювання збитку, ухвалення рішення й організації виплати. Помилка на будь-якому етапі здатна вплинути на кінцевий результат, навіть якщо інші елементи процесу працюють бездоганно.

Уявімо, що система ШІ правильно визначає орієнтовну вартість ремонту автомобіля, але алгоритм маршрутизації помилково відносить частину справ до категорії, яка потребує додаткової перевірки. У результаті рішення затримуються, строки врегулювання збільшуються, кількість скарг зростає, а компанія зазнає фінансових і репутаційних втрат. У такому випадку проблема полягає не в точності оцінювання пошкоджень, а в організації бізнес-процесу загалом. Контролювати потрібно не лише окрему модель, а й те, як її результати впливають на роботу всієї системи врегулювання.

Особливого значення набуває також можливість встановити причини помилкового рішення. Якщо рекомендація алгоритму вплинула на розмір відшкодування або строк виплати, страховик повинен мати достатню інформацію, щоб відтворити логіку ухвалення рішення, перевірити використані дані та забезпечити належний розгляд звернення клієнта.

Людина в контурі управління: необхідність чи формальність?

Поширеною відповіддю на ризики ШІ є вимога залишати остаточне рішення за людиною. На перший погляд, це універсальний спосіб запобігти помилкам алгоритму, але практика значно складніша. Якщо працівник щодня отримує сотні рекомендацій автоматизованої системи, його участь може поступово перетворитися на формальне підтвердження запропонованих рішень. Виникає ризик надмірної довіри до автоматизації, коли людина перестає критично оцінювати результати роботи алгоритму, особливо якщо протягом тривалого часу вони здавалися правильними. З іншого боку, обов’язкова повноцінна перевірка кожного автоматизованого рішення може позбавити впровадження ШІ значної частини економічного сенсу.

Вихід полягає в ризик-орієнтованому підході. Для простих операцій із незначними можливими наслідками можуть застосовуватися автоматичні перевірки та вибірковий контроль. Рішення, пов’язані зі значними страховими виплатами, спірними обставинами, можливим порушенням прав клієнтів або істотним впливом на фінансові результати, потребують посиленого контролю та участі компетентних працівників. При цьому людський контроль повинен бути змістовним: працівник має розуміти межі застосування моделі, мати доступ до необхідної інформації та реальні повноваження відхилити її рекомендацію.

У своїй публікації Measure Twice, Sign Once: Verifying AI-Generated Risk Analysis Before Making Decisions Стефан Гунцікер звертає увагу на необхідність незалежної перевірки результатів ШІ, зокрема за допомогою сценарного аналізу, моделювання та експертних оцінок. Для страховиків це особливо важливо, оскільки формальне підтвердження рекомендації алгоритму не може замінити професійного судження актуарія, андеррайтера, фахівця з врегулювання або ризик-менеджера.

Управляти ризиком означає вміти його вимірювати

Одна з найважливіших проблем практичного впровадження AI Governance полягає в тому, що загальні принципи відповідального використання технологій не завжди перетворюються на вимірювані управлінські рішення. Страховикові недостатньо задекларувати необхідність контролю алгоритмів, захисту даних і можливості людського втручання, а й потрібно визначити, які відхилення є прийнятними, за яких обставин необхідна ескалація, хто відповідає за перевірку моделі та коли її використання має бути обмежене або припинене.

Наприклад, для системи автоматизованого оцінювання збитків можна контролювати частку рішень, переглянутих після перевірки, величину відхилень від незалежної оцінки та частоту обґрунтованих скарг. Для антифрод-моделі важливими будуть не лише виявлені підозрілі випадки, а й частка помилкових спрацювань, затримки врегулювання та наслідки необґрунтованого блокування справ. Для моделей андеррайтингу — стабільність прогнозів, фактична збитковість відповідних сегментів і відхилення від очікуваних результатів.

Такі показники повинні бути пов’язані з ризик-апетитом страховика, його системою ключових індикаторів ризику (KRI), процедурами ескалації та звітністю перед органами управління. При цьому порогові значення не можуть бути універсальними для всіх компаній: вони мають визначатися з урахуванням конкретного бізнес-процесу, суттєвості ризику, доступних даних і можливостей контролю. Окремого значення набуває незалежна валідація моделей, глибина та періодичність якої мають визначатися з урахуванням їхньої складності, суттєвості ризиків і можливих наслідків помилкових рішень. Така перевірка повинна проводитися до впровадження критичних моделей, після їх суттєвого оновлення, а також у разі виявлення ознак погіршення результатів, оскільки модель, яка добре працювала на історичних даних, не обов’язково залишатиметься надійною після зміни структури страхового портфеля, поведінки клієнтів або зовнішніх економічних умов.

У міжнародній професійній дискусії дедалі частіше наголошують на необхідності переходу від формальної наявності політик до підтвердження фактичної результативності управління, зокрема, експертка Elle Pyle у публікації про AI Governance та страхування професійної відповідальності звертає увагу на те, що організаціям недостатньо мати добре оформлені документи: вони повинні бути здатними продемонструвати перелік використовуваних моделей, визначених відповідальних осіб, ключові контролі та докази постійного нагляду за їхньою роботою.

Для страховиків цей підхід має подвійне значення. З одного боку, вони повинні контролювати власне використання ШІ, а з іншого — дедалі частіше оцінюватимуть пов’язані з ним ризики під час страхування відповідальності інших підприємств. Отже, якість AI Governance поступово може ставати не лише питанням внутрішнього управління, а й чинником андеррайтингової оцінки.

Чужий алгоритм — власна відповідальність

Ще один аспект, який не можна залишати поза увагою, — використання зовнішніх технологічних рішень. Далеко не кожен страховик має ресурси для самостійного створення та підтримки складних моделей ШІ, а тому придбання готових продуктів або використання хмарних сервісів стає природним варіантом технологічного розвитку. Разом із перевагами виникає залежність від постачальника, який може змінювати модель, правила її роботи, умови доступу або порядок оброблення інформації. Страховик не завжди має можливість повноцінно перевірити алгоритм, оцінити якість навчальних даних чи отримати достатнє пояснення окремого результату. Водночас перед страхувальником відповідальність за належне виконання страхових зобов’язань залишається за страховою компанією. Посилання на помилку зовнішнього алгоритму не може замінити виконання її договірних та законодавчих обов’язків.

Отже, управління ризиками ШІ повинно охоплювати також ризики третіх сторін, договірні вимоги до постачальників, захист даних, можливість незалежного контролю, порядок повідомлення про інциденти та плани дій у разі недоступності технологічного сервісу. Особливо важливо враховувати спільні залежності, коли декілька критичних бізнес-процесів страховика або навіть кілька страхових компаній використовують одного технологічного постачальника. У такій ситуації локальний технологічний збій може перетворитися на масштабний операційний ризик.

Українські реалії надають цьому питанню додаткової гостроти. Воєнні загрози, перебої енергопостачання, пошкодження інфраструктури та ризики втрати доступу до інформаційних систем змушують страховиків розглядати технологічну стійкість значно ширше, ніж звичайну доступність програмного забезпечення. Навіть надійна модель ШІ не має практичної цінності, якщо компанія втрачає доступ до даних, критичного постачальника або можливості продовжувати основні бізнес-процеси.

Відповідно, управління ризиками зовнішніх систем ШІ повинно бути узгоджене з планами забезпечення безперервності діяльності, відновлення після надзвичайних подій та загальною системою управління операційними ризиками.

Європейський підхід: не нова система, а розвиток чинного управління

Важливим орієнтиром для страхового ринку є документ Європейського органу зі страхування та професійних пенсій EIOPA — Opinion on Artificial Intelligence Governance and Risk Management, оприлюднений 6 серпня 2025 року. EIOPA розглядає управління ризиками ШІ через призму чинного страхового законодавства та наголошує на необхідності ризик-орієнтованого і пропорційного підходу. Документ адресований національним органам нагляду й роз’яснює принципи та вимоги, які мають враховуватися під час використання і нагляду за системами ШІ у страхуванні.

Це важливий методологічний орієнтир. Європейський підхід не зводиться до механічного створення нової управлінської вертикалі для кожної технологічної інновації, йдеться про застосування та розвиток чинних механізмів корпоративного управління, внутрішнього контролю, управління ризиками й захисту споживачів з урахуванням особливостей штучного інтелекту.

Водночас інтеграція управління ШІ в чинну систему управління страховика не означає відсутності спеціальних регуляторних вимог. Документ EIOPA від 6 серпня 2025 року стосується насамперед тих систем ШІ, які не належать до заборонених практик або високоризикових систем за AI Act. Для окремих високоризикових застосувань, зокрема визначених випадків оцінювання ризику та ціноутворення у страхуванні життя і здоров’я фізичних осіб, європейське законодавство встановлює спеціальні вимоги. Відповідно, завдання страховика полягає в узгодженні загальних механізмів корпоративного управління з вимогами, що застосовуються до конкретної технології, без необґрунтованого дублювання процедур і функцій.

Для українського ринку цей підхід особливо важливий. У процесі наближення до європейського регулювання варто враховувати не лише зміст окремих нормативних вимог, а й загальну логіку їх застосування — пропорційність, відповідальність органів управління, інтеграцію ризиків у бізнес-процеси та орієнтацію на фактичні результати контролю.

Де місце AI Governance у системі управління страховика?

Українські страхові компанії вже мають нормативно визначені вимоги до корпоративного управління, системи управління ризиками, внутрішнього контролю, комплаєнсу та внутрішнього аудиту. Подальше наближення до європейських підходів посилює значення цих механізмів, зокрема ризик-орієнтованого управління та перспективного оцінювання фінансової стійкості. У цих умовах створення автономної системи управління ризиками ШІ, яка існуватиме паралельно з чинною СУР, може породити дублювання функцій, розмиття відповідальності та додаткове адміністративне навантаження.

Більш раціональним видається інтегрований підхід, за якого органи управління визначають політику використання ШІ та межі прийнятного ризику, власники бізнес-процесів і технологічних рішень відповідають за розроблення, впровадження, належне функціонування моделей та результати їх застосування, функція управління ризиками як друга лінія забезпечує незалежне оцінювання, моніторинг і контроль суттєвих ризиків без перебрання відповідальності за операційні рішення, комплаєнс контролює дотримання відповідних вимог, а внутрішній аудит надає незалежну оцінку ефективності всієї системи.

Особливо важливо, щоб функція управління ризиками не перетворювалася на формального адміністратора реєстру моделей ШІ. Її професійне завдання полягає в оцінюванні суттєвості ризиків, перевірці відповідності встановленому ризик-апетиту, аналізі можливих фінансових наслідків та забезпеченні керівництва інформацією, необхідною для прийняття обґрунтованих рішень.

У цьому контексті доречно згадати ще одну думку Стефана Гунцікера, висловлену в його публікації про два завдання ризик-менеджменту. Він пропонує розмежовувати захист фінансової стійкості організації та підвищення якості стратегічних рішень в умовах невизначеності. Для управління ризиками ШІ це розмежування особливо корисне, оскільки технологія може одночасно створювати загрозу фінансовим результатам і впливати на якість рішень, які визначатимуть майбутній розвиток компанії.

Відповідно, ефективна система управління повинна не лише запобігати помилкам алгоритмів, а й допомагати керівництву розуміти, коли використання ШІ створює додаткову цінність, а коли його ризики перевищують очікувані переваги.

Регуляторний ризик: не перетворити нові технології на нову бюрократію

Окремої уваги потребує регуляторний аспект використання ШІ у страхуванні. Європейське законодавство та наглядова практика поступово формують вимоги до окремих сфер застосування штучного інтелекту, але їх упровадження має враховувати особливості страхового бізнесу.

Для українського ринку небезпечним може виявитися механічне перенесення універсальних або запозичених із банківського сектору підходів без достатньої оцінки їхньої відповідності страховим ризикам. Страхування має власну економіку, актуарні механізми, специфіку формування зобов’язань, довгострокові наслідки андеррайтингових рішень і складну систему врегулювання збитків. Ігнорування цих особливостей здатне призвести до появи формально правильних, але практично малоефективних регуляторних вимог.

Конструктивною альтернативою має бути пропорційне, ризик-орієнтоване регулювання, яке враховує суттєвість застосування ШІ, складність моделей, масштаби діяльності страховика та потенційні наслідки помилкових рішень. Вимоги до використання генеративного ШІ для підготовки внутрішніх довідок і до моделі, яка безпосередньо впливає на тарифи або рішення щодо страхових виплат, не повинні бути однаковими. Відмінності мають визначатися реальними ризиками, характером застосування технології та відповідними законодавчими вимогами.

Регулятору також варто враховувати, які механізми контролю вже існують у страховиків, щоб нові вимоги доповнювали їх, а не створювали паралельну систему формального звітування. Не менш важливо, щоб наглядова оцінка зосереджувалася не лише на наявності затверджених політик і процедур, а й на їхній результативності. Страховик, який має бездоганно оформлений пакет документів, але не здатний своєчасно виявити погіршення роботи критичної моделі, навряд чи може вважатися більш захищеним, ніж компанія з компактнішою, але реально дієвою системою контролю.

Замість висновку

Штучний інтелект не скасовує фундаментальних принципів страхування та управління ризиками. Він змінює інструменти, швидкість оброблення інформації, характер окремих рішень і можливі масштаби помилок, але відповідальність за фінансову стійкість, виконання зобов’язань і захист інтересів страхувальників залишається за страховою компанією.

Міжнародна професійна дискусія поступово зміщує увагу від технічних можливостей ШІ до якості управлінських рішень, відповідальності за їхні наслідки та здатності організацій підтверджувати ефективність власних контролів. Для страховиків це означає необхідність поєднати технологічну експертизу з актуарними знаннями, розумінням страхових бізнес-процесів і професійним ризик-менеджментом.

Справжня зрілість AI Governance визначатиметься не кількістю затверджених політик, створених комітетів чи заповнених контрольних форм, а здатністю страховика розуміти, які ризики породжує конкретна технологія, оцінювати їхній вплив на бізнес, своєчасно виявляти небезпечні відхилення та запобігати їхнім наслідкам.

І головне питання сьогодні полягає не в тому, чи потрібне страховикам управління ризиками штучного інтелекту. Безумовно, потрібне. Питання в іншому: чи зможемо ми використати появу ШІ для вдосконалення наявної системи управління ризиками та підвищення якості управлінських рішень, чи обмежимося створенням ще одного поверху управлінської бюрократії, під яким реальні ризики залишаться майже непомітними?

Сергій БАБИЧ