公开材料支持的是“接入”，还不是“替代”
2023年初，国内已有银行开始尝试用大模型和生成式AI写文章、代码，随后把试验扩展到更多业务场景。中小银行互联网金融（深圳）联盟梳理了6大国有银行、12家股份制银行，以及部分城农商行和民营银行披露的信息，材料来自各家银行2023年半年报、年报和网上公开资料。
这个样本能确认多类银行已经开始布局大模型，也有部分应用进入业务流程。但它没有提供证据表明，银行正在成批撤掉规则引擎，或把风控最终决策交给生成式模型。
2024年10月，新浪财经关于银行业大模型的报道提到，工商银行同时开展金融行业和企业级大模型二次训练，并将相关能力用于金融市场业务流程、产品问答和营销活动方案设计。这些公开信息说明大模型已进入银行业务系统，却不足以推导出规则引擎正在被整体替换。
规则引擎为什么还得留着
银行风控由多种任务组成。名单匹配、明确的准入条件和业务硬阈值，需要结果稳定、响应及时，还要能说明具体命中了哪项条件。规则引擎在这些环节依然直接、可测试，也方便审计和回溯。
大模型适合参与另一类工作：读取尽调材料、案件记录、客户说明和制度文本，整理散落在线索中的上下文，再把结果交给现有风控系统。它能补充规则难以覆盖的语义信息，但输出会受到提示词、上下文和模型版本影响，直接承担最终拦截容易带来稳定性和责任认定问题。
更可控的链路通常是分工处理：规则负责硬边界，传统评分模型处理高频结构化数据，大模型分析文本和跨来源线索，冲突或影响较大的结果再进入人工复核。
大模型先坐风控“副驾驶”
实时交易没有必要全部调用生成式模型。高频、结构清晰的请求可以继续走规则和传统评分链路，只有需要语义判断或多份材料归纳的案件，才转给大模型处理。
交易请求 → 规则与传统模型初筛 → 语义类案件进入大模型 → 冲突结果交由人工复核 → 处置结果回写
模型输出也不应只有一段“高风险”或“低风险”的文字。更实用的格式包括涉及的字段、引用的材料、关联的历史记录、风险标签和证据位置。自然语言解释可以帮助审核人员阅读，但不能代替原始证据。
Chain-of-Thought（思维链）同样不能自动解决可解释性问题。冗长的推理文字不等于可审计记录。银行更需要保存模型版本、输入数据、规则命中项、证据来源和人工操作，而不是把模型自述直接当成决策依据。
真正费工夫的是数据和审计
数据回写。 欺诈标签往往要等案件处置后才能确认，业务系统之间的口径也可能不同。训练前需要记录标签来源、样本时间和数据版本，避免把处置结果提前泄露给模型。人工复核结论还要能回写，形成后续可复用的样本。
实时链路。 生成式模型的响应时间和资源占用不够稳定时，可以通过请求路由、小模型、量化和缓存控制成本。复杂分析也可以放到异步环节，不必挤进每一笔交易的实时决策链。
权限与审计。 私有化部署只解决数据边界的一部分问题。谁能调用模型、哪些字段需要脱敏、知识库如何更新、模型升级后能否重放历史样本，都需要留下记录。一次风控决策至少应能追溯到模型版本、提示词版本、知识库版本、输入快照和审核人员。
公开案例要读到“证据”这一层
FineBI数据分析知识库将智能信贷审批、欺诈交易监测等列为金融AI应用场景，并提到某股份制银行将大模型与FineBI结合用于智能风控。现有可引用摘要没有披露银行名称、样本量、误报率、覆盖率、推理延迟或对照试验设计。
因此，这项材料可以支持一种产品组合思路：模型负责分析，数据平台帮助风控人员查看和核验结果。它不能直接证明某套系统取得了确定的性能提升，更不能据此补写具体百分比或处理耗时。
AI TNT《银行业AI大模型，从入局到求变》援引《麻省理工科技评论》的全球金融机构大模型榜单称，中国有12家金融机构进入全球TOP20，其中蚂蚁集团、平安集团、工商银行、建设银行、中国银行、马上消费金融和农业银行位于全球TOP10。榜单能说明金融机构投入活跃，无法单独回答大模型在风控中替代了多少规则、承担了多少自动决策。
上线顺序从“影子运行”开始
风控团队可以先选一个边界清楚的环节，例如贷前材料核验、可疑交易辅助审查或风险规则检索。旧系统继续给出正式结果，大模型只在旁路输出建议，两套结果同步留存。
误报、漏报、人工复核量、响应时间和系统稳定性，应在试验前确定统计口径。发现冲突时，还要区分问题来自数据、规则、模型还是审核流程。只有旁路结果稳定，并且审计记录完整，模型才适合进入有限的自动处置环节。
模型升级后也不能直接覆盖旧版本。银行需要用固定样本回放，检查结果变化，并保留快速回滚能力。风控系统面对的是资金和客户权益，版本管理本身就是决策链的一部分。
规则会变薄，不会消失
大模型进入银行风控后，最先被改写的可能是规则维护和人工审核方式：文本读取更快，线索更容易聚合，待补充的规则也能更早暴露。规则引擎仍负责硬边界，传统模型继续处理结构化评分，大模型填补语义理解和关联分析的空白。
这条路线不如“端到端替代”醒目，却更符合银行对稳定性、可解释性和责任边界的要求。判断一个项目是否真正落地，也不该只看用了多大的模型，而要看它能否在现有风控链路中被验证、被追溯，并在出错时及时撤回。
